La terminología en torno a los modelos de autorización acumula décadas de confusión. Términos como RBAC, ABAC, MAC, DAC, ACL, ReBAC y PBAC se usan a menudo como si compitieran entre sí, pero en realidad responden a preguntas distintas sobre un sistema de autorización: qué datos utiliza una decisión, dónde se evalúa la regla, quién la administra o cómo se expresa. Compararlos directamente, afirma Andrea Chiarelli en IDPro, es tan desacertado como comparar una receta con una cocina.
El artículo propone sustituir la pregunta única «¿qué modelo usa este sistema?» por cinco preguntas más estrechas y concretas, extraídas de las etapas por las que pasa cualquier solicitud de autorización: definición de reglas, forma concreta de la política, datos que alimentan la evaluación, cálculo de la decisión y aplicación del resultado. Estas cinco fases se corresponden con los conceptos clásicos de la arquitectura de control de acceso: Policy Administration Point (PAP), Policy Information Point (PIP), Policy Decision Point (PDP) y Policy Enforcement Point (PEP).
A partir de ahí, el autor articula una clasificación en seis ejes que cubren cada etapa de forma independiente. Cada etiqueta conocida del sector encaja como respuesta a un eje concreto, no como etiqueta global del sistema. La administración puede ser centralizada (MAC), descentralizada (DAC) o híbrida; el modelo puede basarse en roles, atributos o relaciones; la política puede expresarse como código, JSON o XACML; el motor de decisión puede estar embebido en la aplicación o externalizado (PBAC); y la ejecución se delega en un punto de enforcement dedicado. El texto incorpora además una revisión bibliográfica de 2022 que separa estrategia, modelo, política y mecanismo como capas independientes, y recurre a una analogía con el sistema jurídico para ilustrar la separación de funciones.