De fleste virksomheder indser ikke, at de har et problem med adgangskoder, før et problem tvinger dem til at anerkende det, såsom en admin-adgangskode i et regneark eller login-legitimationsoplysninger, der fortsat er aktive for teammedlemmer, som forlod Deres virksomhed for flere år siden.

Dette er en almindelig forekomst. I Storbritannien viste regeringens Cyber Security Breaches Survey 2024(nyt vindue), at 50 % af virksomhederne identificerede et cybersikkerheds-databrud eller -angreb i de foregående 12 måneder, hvilket stiger til 70 % af mellemstore virksomheder og 74 % af store virksomheder.

I denne situation er en adgangskoderevision en af de mest værdifulde handlinger, Deres virksomhed kan foretage for at forblive sikker. Det er en praktisk måde at afdække risici vedrørende legitimationsoplysninger, som har tendens til at opbygge sig i det stille i baggrunden gennem svage adgangskoder, uautoriseret adgang, inaktive konti og loginoplysninger, der er lagret uden for godkendte systemer.

Særligt for små og mellemstore organisationer kan denne form for gennemgang hjælpe med at foretage meningsfulde sikkerhedsforbedringer uden at bruge penge eller gennemføre et komplekst transformationsprogram.

Denne artikel forklarer, hvordan De udfører en adgangskoderevision for Deres virksomhed, hvad De skal kigge efter, og hvordan De forvandler processen fra en engangsoprydning til en mere konsistent sikkerhedspraksis.

Hvad er en adgangskoderevision?

En adgangskoderevision er en systematisk gennemgang af de adgangskoder, konti og adgangstilladelser, der bruges på tværs af en virksomhed. Formålet er at identificere risici relateret til legitimationsoplysninger, såsom svage adgangskoder, genbrugte adgangskoder, forældede logins, inaktive konti, overflødig adgang og legitimationsoplysninger, der er lagret uden for godkendte systemer.

I praksis rækker en adgangskoderevision ud over at kontrollere, om en adgangskode er stærk nok. Den ser også på:

  • Hvordan adgangskoder administreres på tværs af Deres organisation
  • Hvem der har adgang til hvad, og om denne adgang stadig er nødvendig
  • Hvordan adgangskoder lagres og deles
  • Om Deres virksomhed har tilstrækkelig synlighed til at spotte risici, før de bliver til et sikkerhedsproblem

Dette brede omfang er det, der gør en adgangskoderevision nyttig. I de fleste organisationer opstår risikoen ved legitimationsoplysninger ikke på grund af en enkelt dårlig adgangskode. Den opbygges gradvist gennem små svigt i tilsynet, inkonsekvent adgangskontrol, dårlige lagringsvaner og konti, der forbliver aktive længe efter, de burde have været gennemgået eller fjernet.

En effektiv adgangskoderevision hjælper med at synliggøre disse problemer. Den giver virksomheder en klarere forståelse af deres nuværende adgangskodehygiejne og skaber et praktisk grundlag for at forbedre adgangskontrol, stramme administrationen af legitimationsoplysninger og reducere undgåelig eksponering over tid. Denne form for gennemgang er meget nemmere at udføre, når De bruger en adgangskodeadministrator til virksomheder med admin-værktøjer, der understøtter synlighed, adgangsgennemgang og håndhævelse af politikker.

Sådan udfører De en adgangskodesikkerhedsrevision: en praktisk femtrinsmodel

En nyttig adgangskoderevision behøver ikke at begynde med et perfekt kort over hver enkelt konto, hvert værktøj og hver adgangsvej i virksomheden. Den kræver blot en klar struktur og et kontrolleret system til at administrere legitimationsoplysninger. Uden disse to ting kan processen hurtigt blive for bred og for nem at udskyde.

Måden at bryde cirklen med at undgå adgangskoderevisioner på er at centralisere adgangskodeadministrationen, definere ejerskab og gennemgå adgang via én godkendt arbejdsgang.

Her er en dybdegående guide til at køre Deres egen adgangskoderevision:

Trin 1: Opret en fuldstændig oversigt over legitimationsoplysninger

Begynd med at opbygge en aktiv oversigt over de systemer, Deres virksomhed er afhængig af. Det omfatter de oplagte kerneplatforme, såsom:

  • E-mail
  • Økonomiværktøjer
  • Skylagerplads
  • Samarbejdssoftware
  • CRM-systemer
  • Admin-konsoller
  • Ethvert miljø, der indeholder virksomheds- eller kundedata

Det bør også omfatte mindre åbenlyse værktøjer og tjenester, der kører på Deres netværk:

  • Delte sociale konti
  • Inaktive SaaS-abonnementer
  • Værktøjer til eksterne konsulenter
  • Testmiljøer
  • Tjenester, der er taget i brug af individuelle teams uden centralt tilsyn

Det er vigtigt at registrere hvert eneste værktøj, fordi de fleste risici ved legitimationsoplysninger starter med manglende synlighed. Hvis De ikke ved, hvilke værktøjer der er i brug, kan De ikke gennemgå, hvordan adgangen administreres på tværs af dem.

Virksomheder, der allerede bruger en adgangskodeadministrator til virksomheder som f.eks. Proton Pass for Business, begynder deres adgangskoderevision med en praktisk fordel, fordi legitimationsoplysningerne ligger i krypterede bokse.

Trin 2: Kortlæg adgang i forhold til virksomhedens behov

Når De har et klarere overblik over Deres systemer, er næste trin at undersøge adgangen. De skal gennemgå, om de rigtige personer stadig har det rette adgangsniveau til de rigtige værktøjer.

Start med at se på hvert enkelt nøglesystem og spørg, hvem der i øjeblikket har adgang, om det afspejler deres nuværende ansvarsområder, og om nogen konti har bredere rettigheder end nødvendigt.

I mange virksomheder udvides adgangen gradvist over tid. Brede admin-rettigheder kan f.eks. tildeles af hensyn til bekvemmelighed og aldrig blive fjernet. Eksterne konsulenter kan beholde adgangen efter et projekts afslutning, eller teammedlemmer kan skifte roller og beholde tilladelser fra tidligere roller.

Den form for glidning øger risikoen, selv når selve adgangskoden er stærk. NCSC’s vejledning(nyt vindue) om adgangskontrol anbefaler kun at tildele konti til autoriserede personer og give brugere den minimale adgang og de tilladelser, de har brug for, da alle kan blive en sikkerhedsrisiko. En adgangskoderevision bør derfor undersøge årsagen bag hvert adgangsniveau.

Trin 3: Foretag et tjek af adgangskodesundheden

Dette stadie af adgangskoderevisionen er til for at identificere eventuelle genbrugte eller svage adgangskoder, inaktiv to-faktor-godkendelse (2FA), forældede logins og usikre lagringsvaner, der gør kompromittering mere sandsynlig.

På dette tidspunkt bør gennemgangen fokusere på nogle få praktiske spørgsmål:

  • Er adgangskoderne unikke for hver enkelt konto?
  • Er nogle af adgangskoderne svage eller nemme at gætte?
  • Er gamle legitimationsoplysninger stadig i brug og uregistrerede?,
  • Skriver medarbejderne deres adgangskoder ned i browserlagring eller note-apps i stedet for i forretningsgodkendte systemer?
  • Er 2FA aktiveret alle de steder, hvor det er muligt?

Proton Pass for Business hjælper Dem med Pass Monitor, som inkluderer:

  • Værktøjer til tjek af adgangskodesundhed til automatisk at registrere gentagne eller svage adgangskoder og inaktiv 2FA
  • Monitorering af det mørke net, der advarer Dem, hvis Deres legitimationsoplysninger er involveret i databrud
  • Proton Sentinel til at registrere og blokere mistænkelig loginaktivitet, der kan føre til kontoovertagelse

Trin 4: Gennemgå inaktive konti

En af de hurtigste måder at reducere risikoen ved legitimationsoplysninger på er simpelthen at fjerne det, der ikke længere behøver at eksistere. De fleste virksomheder ophober inaktive konti over tid. For eksempel:

  • Tidligere medarbejdere, der stadig har adgang til Deres virksomheds værktøjer
  • Gamle SaaS-platforme, der forbliver knyttet til gyldige virksomhedslegitimationsoplysninger længe efter, at brugen er ebbet ud
  • Delte konti, der er designet til kortvarig brug, men ender med at forblive aktive i måneder eller år, fordi ingen ved, hvem der ejer dem

Disse konti tiltrækker mindre opmærksomhed end aktive, hvilket gør dem særligt nemme at overse. Denne gennemgang er også tæt afstemt med bredere compliance-disciplin.

En stærk gennemgang af virksomhedens adgangskoder skal omfatte en bevidst indsats for at:

  • Fjerne inaktiv adgang
  • Lukke forældede konti
  • Bekræfte klart ejerskab for de systemer, der er tilbage

Proton Pass for Business hjælper med at reducere den friktion, der ofte holder disse konti i live, ved at gøre ejerskabet klarere, adgangen nemmere at gennemgå og ændringer af legitimationsoplysninger nemmere at administrere, når folk rejser, eller roller ændres.

Trin 5: Udbedr og standardiser

Det sidste trin er at omsætte Deres fund til handling. En adgangskoderevision forbedrer kun Deres organisations sikkerhed, hvis de problemer, den afdækker, håndteres på en struktureret måde.

Når De har identificeret manglerne, kan De opbygge en plan, der er systematisk snarere end reaktiv. Her er en simpel tjekliste til adgangskoderevision:

  • Skift straks svage eller eksponerede legitimationsoplysninger.
  • Erstat genbrugte adgangskoder med unikke adgangskoder.
  • Aktiver 2FA overalt, startende med kritiske konti.
  • Fjern inaktive eller unødvendige konti.
  • Tilbagekald overflødige privilegier.
  • Flyt legitimationsoplysninger ud af regneark, dokumenter eller browserlagring.
  • Konsolider lagring af adgangskoder i et godkendt virksomhedssystem.
  • Opdater Deres adgangskode- og adgangspolitikker.

Dette er også det rette øjeblik til at afstemme tekniske handlinger med politikken. Hvis Deres nuværende adgangskodepolitik er uklar, ikke håndhæves eller er urealistisk, vil Deres revision blot bringe de samme problemer frem i lyset igen om seks måneder.

Adgangskoderevisioner og adgangskodepolitikker fungerer rigtig godt sammen: Protons guide til at oprette en adgangskodepolitik er en stærk supplerende ressource. Og De kan nemt komme i gang med vores skabelon til adgangskodepolitik.

Udbedring skal prioriteres efter risiko, ikke efter sirlighed. Start med admin-konti, systemer, der indeholder følsomme data, eksternt eksponerede tjenester og delte legitimationsoplysninger med uklart ejerskab. Arbejd derefter udad.

Hvorfor springer virksomheder adgangskoderevisioner over?

Hvis adgangskoderevisioner er så nyttige, hvorfor gør så mange virksomheder sig så ikke den ulejlighed at udføre dem? Processen kan føles sværere at påbegynde, end den reelt er.

I mange organisationer er legitimationsoplysninger lagret på alt for mange placeringer til, at de nemt kan gennemgås. Nogle medarbejdere gemmer adgangskoder i browsere. Andre gemmer dem i regneark, delte dokumenter, note-apps eller interne beskeder.

Forskellige teams bruger måske deres egne værktøjer, køber software uafhængigt eller administrerer adgang uformelt. Som følge heraf kan virksomheden miste overblikket over, hvilke systemer der er i brug, og hvem der har adgang til dem, hvilket gør det vanskeligt at identificere og håndtere sikkerhedsrisici.

Fraværet af et centraliseret system gør dette endnu sværere. Uden en enkelt placering til at administrere virksomhedens legitimationsoplysninger kan selv en grundlæggende revision af adgangskodesikkerheden udvikle sig til en manuel opgave baseret på gætterier, skærmfotos og personlig hukommelse. Mange SMV’er udskyder at gennemgå deres adgangskodepraksis, fordi de antager, at det vil kræve et fuldskala sikkerhedsprojekt. In reality, the first step is simply to create structure around what already exists.

Adgangskoderevisioner overses også ofte, fordi risikoen ved legitimationsoplysninger har tendens til at opbygge sig i det stille. I modsætning til et softwarenedbrud eller en phishing-hændelse er dårlig adgangskodehygiejne ikke altid indlysende. Svage adgangskoder, unødvendig adgang, inaktive konti og uformel delingspraksis kan forblive uændret i måneder uden at tiltrække opmærksomhed. Når de endelig bliver bemærket, er de ofte dybt integreret i den daglige drift.

En adgangskoderevision bringer denne skjulte risiko frem i lyset. Den indsamler dokumentation og giver en organisation den synlighed og det ejerskab, den har brug for til at styrke adgangskontrol, forbedre lagringspraksis og træffe mere konsistente sikkerhedsbeslutninger.

Gør Deres adgangskoderevision til en løbende kontrol

En adgangskoderevision bliver meget more værdifuld, når den er en del af en løbende praksis frem for en engangsgennemgang. Risikoen ved legitimationsoplysninger fortsætter med at vokse, hvis der ikke gøres noget ved den. Adgangsforholdene ændrer sig, efterhånden som folk starter, rejser, skifter roller, tager nye værktøjer i brug eller arbejder sammen med eksterne partnere i begrænsede perioder. Hvis en gennemgang kun sker én gang, begynder resultaterne at blive forældede næsten med det samme.

Centraliseret adgangskodeadministration er Deres bedste investering. Det giver IT-teams mere end blot et sikkert sted at lagre legitimationsoplysninger. Det skaber den synlighed og kontrol, der kræves for at gennemgå adgang more konsekvent, håndhæve stærkere standarder og reagere hurtigere, når noget kræver opmærksomhed.

Valget af en adgangskodeadministrator til IT-teams understøtter denne driftsmodel gennem effektive admin-kontrolpaneler, centraliseret administration, teampolitikker, rollebaseret adgang, SCIM-klargøring, SSO og revisionslogfiler, hvilket gør adgangskodeadministration til en stærkere drifts- og compliance-kontrol.