autorisering (informasjonssikkerhet)

Autorisering er prosessen med å avgjøre om en bruker skal få tilgang til en bestemt tjeneste eller informasjon. For å avgjøre dette er det viktig å først utføre en autentisering slik at man er sikker på identiteten. En innlogging vil for eksempel bestå av en autentisering og en autorisering, selv om det oppleves som én operasjon.

Autorisering er i stor grad samhørende med sikkerhetstjenesten tilgangskontroll. Autorisering er prosessen med å definere hvilke tilganger et subjekt skal ha til et objekt, altså at man får en autorisering. Ofte er denne prosessen basert på fastsatte regler og ender i tilgangsrettigheter eller tildeling av roller. Tilgangskontroll er den faktiske kontrollen som, basert på tidligere autorisering eller en autoriseringspolicy, avgjør om et subjekts forespørsel om tilgang skal innvilges eller ikke. Et subjekt kan være en bruker, en maskin eller en tjeneste. Et objekt vil vanligvis være en tjeneste eller informasjon.

I mange tilfeller utføres autorisering samtidig som forespørselen, og dermed også samtidig som tilgangskontrollen, sett fra brukerens perspektiv. Det kan derfor være vanskelig å skille de to fra hverandre, og mange systemer benytter derfor kun betegnelsen autorisering om prosessen.

Vanligvis er ikke autorisering en direkte teknologisk prosess, men heller utarbeidelsen av en autoriseringspolicy eller fastsetting av roller og rettigheter. I enkelte definisjoner omtales imidlertid autorisering som den faktiske prosessen med å innvilge og kontrollere tilgang, mens tilgangskontroll er en mer teoretisk tilnærming av hva man ønsker å utføre og oppnå.