Il parametro get nella pagina login serve perchè se è presenta vuol dire che la pagina autentify ha fatto un redirect con quella varibile specificando l'errore di login.

La sessione si crea solo se l'utente è stato accettato (Combinazione user+pass ok),
a quel punto nelle pagine di accesso riservato ti basterà verificare:

Codice PHP:
session_start();
if(!isset(
$_SESSION['ACCESS']))
{

    
header("location:login.php?errn=nosession");
}

if(isset(
$_SESSION['ACCESS']))
{
    if(
$_SESSION['ACCESS'] != "OK")
    {
        
header("location:login.php?errn=nosession");
    }