L'identità e l'autorizzazione sono i controlli che rispondono a due domande di sicurezza fondamentali: chi è questo sistema e cosa gli è consentito fare? L'identità prova che un servizio, un agente o un utente è autentico, spesso tramite chiavi, certificati, token o messaggi firmati. L'autorizzazione poi limita le azioni in base a criteri, come l'accesso in sola lettura, le autorizzazioni API con ambito definito o i ruoli per singola attività.
Sono importanti perché un sistema affidabile può comunque essere pericoloso se i suoi permessi sono troppo ampi o se la sua identità può essere falsificata. Negli attacchi informatici, controlli deboli sull'identità consentono agli aggressori di impersonare servizi, muoversi lateralmente o inviare comandi dannosi attraverso canali fidati. In difesa, un'identità e un'autorizzazione solide supportano il principio del privilegio minimo, la verifica dei messaggi e i log di audit, rendendo più difficile per agenti o account compromessi attivare azioni non autorizzate all'interno di una rete.