La gestione dei permessi è il processo continuo di assegnazione, revisione e modifica dei diritti di accesso, in modo che utenti, account di servizio e applicazioni possano raggiungere solo le risorse di cui hanno bisogno. Fa parte dell'autorizzazione, non dell'autenticazione: l'accesso verifica chi è una persona, mentre i permessi decidono cosa può fare in seguito.
Questo è importante perché i diritti di accesso raramente rimangono corretti da soli. Le persone cambiano ruolo, i team si fondono, i progetti terminano e le eccezioni temporanee diventano permanenti se nessuno le rimuove. Una gestione debole dei permessi crea account con privilegi eccessivi, che aumentano il raggio di esplosione di una password, di un token o di una chiave API compromessi. Le buone pratiche usano il principio del privilegio minimo, revisioni periodiche degli accessi e una rapida rimozione dei diritti obsoleti. Negli ambienti reali, i difensori si affidano alla gestione dei permessi per limitare il movimento laterale, ridurre gli abusi accidentali e mantenere regole di accesso abbastanza comprensibili da operare in sicurezza.