Virksomheder står ofte over for mange små risici som genbrugte adgangskoder, aktive konti til eks-medarbejdere og konti til tjenester, som ikke længere bruges. Hver for sig virker de ikke farlige, men i takt med at de hober sig op, skaber de et legitimationsmiljø, der er sværere at betragte som betroet.

Løsningen på dette problem er regelmæssige tjek af adgangskodesundheden. En engangsrevision kan vise, hvad der skal rettes i det øjeblik, men risikoen ved adgangskoder ændrer sig hele tiden, efterhånden som medarbejdere opretter nye konti, teams tager ny software i brug, og nye databrud dukker op online.

Overvågning af adgangskodesundhed gør sikringen af legitimationsoplysninger til en løbende praksis, som virksomheden kan stole på. I stedet for at vente på den næste årlige gennemgang kan admins straks holde styr på svage, genbrugte, kompromitterede og inaktive legitimationsoplysninger i hele virksomheden og derefter rette de mest presserende risici, før de bliver en indgangsport.

Denne indsigt er især nyttig for små og mellemstore virksomheder, fordi medarbejderne ofte arbejder på tværs af flere discipliner og afdelinger. De deler muligvis adgang for at kunne arbejde hurtigere, genbruger adgangskoder for at have mindre at huske, eller lader gamle konti forblive aktive, selvom ingen bruger dem længere. Uden løbende overvågning og solide procedurer for databeskyttelse mod databrud kan disse nyttige, men risikable vaner forblive skjulte i måneder.

Hvad er overvågning af adgangskodesundhed?

Overvågning af adgangskodesundhed betyder, at virksomhedens legitimationsoplysninger løbende tjekkes for tegn på risiko. I moderne adgangskodeadministratorer til virksomheder fungerer det som en indbygget funktion i stedet for en manuel proces, som teams selv skal gennemføre.

I modsætning til en engangsrevision af adgangskoder er overvågning løbende og ikke begrænset til en årlig sikkerhedsgennemgang eller en compliance-forespørgsel. Det giver admins et fast overblik over legitimationernes sundhed, så detektion af svage adgangskoder og reaktion på databrud bliver en del af den normale, hurtige drift.

I praksis giver overvågning af adgangskodesundhed admins en mulighed for at se problemer med legitimationsoplysningerne, mens de stadig kan håndteres. Svage og gentagne adgangskoder, kompromitterede logins eller konti uden en tydelig ejer kan alle ligne separate problemer. Tilsammen viser de, om en virksomhed har risikoen ved legitimationsoplysningerne under kontrol, eller om den stille og roligt hober sig op.

En sikker adgangskodeadministrator til virksomheder som Proton Pass for Business giver teams den indsigt, de har brug for. Den tjekker løbende adgangskodernes styrke, opdager genbrug på tværs af konti og overvåger dark web for kompromitterede legitimationsoplysninger, så admins kan se problemerne uden at gennemføre manuelle gennemgange.

Storbritanniens Cyber Security Breaches Survey 2024(nyt vindue) viste, at halvdelen af de britiske virksomheder oplyste, at de inden for de seneste 12 måneder havde identificeret et databrud eller et cyberangreb. Ikke alle hændelser begynder med en adgangskode, men resultatet bekræfter, at grundlæggende sikkerhedshygiejne skal opretholdes løbende.

For legitimationsoplysningerne betyder det, at adgangskodesundheden skal tjekkes ofte nok til at opdage svage, genbrugte, kompromitterede, glemte eller inaktive konti, før de bliver en del af et større problem.

De fire dimensioner af adgangskodesundhed

En rapport om adgangskodesundheden bør vise mere end, om legitimationsoplysningerne er gemt det rigtige sted. En adgangskodeboks kan forhindre, at adgangskoder spredes ud over chats og regneark, og med Proton Pass kan boksene også deles sikkert på tværs af teamet. Men bare fordi en legitimation er gemt sikkert, betyder det ikke, at selve legitimationen er sikker.

Nogle kan stadig være for svage, genbrugt på tværs af tjenester, eksponeret i data fra databrud eller knyttet til konti, som virksomheden ikke længere har brug for. Overvågning af disse signaler er det, der forvandler adgangskodeadministration fra en passiv boks til et aktivt sikkerhedsværktøj.

Derfor er det bedst at forstå adgangskodesundheden på tværs af fire områder:

  • Styrke
  • Unikhed
  • Eksponering i databrud
  • Kontoaktivitet

Adgangskodestyrke

En stærk adgangskode er lang, uforudsigelig og svær at gætte eller knække. Svage adgangskoder stammer ofte fra vaner: et firmanavn med et årstal, en kendt sætning med et tal eller en variation af en gammel adgangskode, der føles lettere at huske.

Protons test af adgangskodestyrke kan hjælpe folk med at forstå, hvad der gør en adgangskode stærkere, men til erhvervsbrug er det også vigtigt at vide, om der oprettes og gemmes svage legitimationsoplysninger på tværs af virksomhedens netværk.

Hvis svage adgangskoder hele tiden dukker op, kan virksomheden have brug for en stærkere adgangskodepolitik, en tydeligere onboarding eller bedre vejledning af medarbejderne. Proton Pass for Business gør det lettere: Den indbyggede adgangskodegenerator opretter en stærk, tilfældig adgangskode, hver gang en medarbejder får brug for en, så det ikke kræver ekstra indsats at opfylde politikken.

Adgangskodens unikhed

Genbrug af adgangskoder er en af de mest almindelige risici ved legitimationsoplysninger, fordi det føles belejligt. Det er let at oprette en konto til en ny tjeneste, genbruge en adgangskode og gå videre. Problemet er, at én eksponeret adgangskode så kan åbne mere end én dør.

I en virksomhed kan genbrug ske på tværs af arbejdsværktøjer, mellem private og arbejdsrelaterede konti eller på tværs af delte legitimationsoplysninger. Overvågning hjælper admins med at se, hvor den samme adgangskode optræder mere end én gang, og hvilke konti der først skal ændres.

Det er især vigtigt for admin-portaler, finanskonti, e-mail, CRM-systemer, skytjenester og alle værktøjer, der gemmer kunde- eller medarbejderoplysninger. En genbrugt adgangskode i et værktøj med lav risiko kan blive langt mere alvorlig, hvis den samme adgangskode også beskytter en følsom konto.

Status for databrud

En adgangskode kan være stærk og unik, når den oprettes, og derefter blive risikabel senere, fordi den optræder i data fra et databrud. Regelmæssig overvågning af adgangskoder hjælper dig med at opdage dette problem, hvis og når det opstår.

Nye databrud opdages hele tiden, og eksponering af legitimationsoplysninger bliver ikke altid synlig i det øjeblik, en hændelse sker. En adgangskode kan dukke op i offentlige datasæt flere måneder senere, en medarbejder kan have brugt en virksomheds-e-mailadresse på en tjeneste, som virksomheden ikke administrerer, eller en legitimation, der blev markeret som sikker ved den seneste gennemgang, er måske ikke længere sikker på grund af eksponering i et databrud.

Protons Data Breach Observatory viser, hvordan eksponerede legitimationsoplysninger kan skabe risiko på tværs af virksomheder, teams og brancher. Løbende overvågning forkorter tiden mellem eksponering og handling. Det hjælper også admins med at vurdere, hvor presserende noget er. En kompromitteret legitimation til en gammel nyhedsbrevsplatform kan være nødvendig at udskifte, men den vejer ikke så tungt som en eksponering, der er knyttet til lønsystemer, cloudhosting, en domæneregistrator eller enhver konto med admin-rettigheder.

Kontoaktivitet

Kontoaktivitet er noget andet end adgangskodernes kvalitet. En adgangskode kan være stærk, genbrugt eller eksponeret uanset, hvor ofte kontoen bruges. Denne dimension ser på, om selve kontoen stadig er aktiv, har en ejer og er nødvendig. En inaktiv konto er en, der ikke har været brugt for nylig. En glemt konto er en, som ingen gør krav på ejerskab af, eller som nogen overhovedet husker, findes.

Begge dele er lette at overse. De kan tilhøre tidligere medarbejdere, midlertidige konsulenter, ældre software eller værktøjer, som et team er holdt op med at bruge. Selv hvis ingen bruger dem længere, kan de stadig skabe risiko, hvis legitimationsoplysningerne fortsat er gyldige.

Sundhedsovervågning kan finde frem til konti, der ikke har været brugt i lang tid, men det er en ledelsesopgave at beslutte, hvad der skal ske med dem. Ud fra den gennemgang kan admins fjerne legitimationsoplysninger fra boksen, tildele ejerskab, justere adgangen eller lukke kontoen direkte i tjenesten. Andre konti kan have brug for tildelt ejerskab, en gennemgang af adgangen eller at blive lukket direkte i tjenesten.

Inaktivitet er ikke altid farligt i sig selv. Nogle legitimationsoplysninger bruges sjældent, fordi de tilhører sikkerhedskopieringssystemer, nødkonti eller portaler til årlig fornyelse. Men hvis virksomheden ikke kan forklare, hvorfor en konto findes, hvem der ejer den, og om den stadig er nødvendig, bør den konto gennemgås.

Hvilke legitimationsoplysninger og konti virksomheder bør overvåge løbende

Ikke alle problemer med adgangskoder indebærer den samme risiko. Løbende overvågning bør hjælpe med at skelne mellem presserende problemer og oprydning med lavere prioritet.

Et praktisk tjek af adgangskodesundheden bør overvåge:

  • Svage adgangskoder under grænserne i politikken. De bør udskiftes med stærke, genererede adgangskoder, især til konti, der er forbundet med kundedata, finanser, admin-indstillinger eller infrastruktur.
  • Genbrugte adgangskoder på tværs af flere tjenester. Genbrug bør hurtigt fjernes, når det berører følsomme systemer eller konti med bred adgang.
  • Legitimationsoplysninger knyttet til eksponering i databrud. Kompromitterede legitimationsoplysninger bør behandles som presserende, selvom kontoen ser ud til at have lav risiko. Den samme adgangskode kan have været brugt et andet sted.
  • Konti uden MFA aktiveret. Adgangskodesundheden er stærkere, når vigtige konti er beskyttet med multifaktorgodkendelse (MFA). Overvågningen bør fremhæve værdifulde konti, der stadig udelukkende er afhængige af en adgangskode.
  • Inaktive eller uklare konti. Legitimationsoplysninger uden en tydelig ejer eller et aktuelt formål bør gennemgås, tildeles en ny ejer, arkiveres eller fjernes, hvor det er hensigtsmæssigt.
  • Priviligerede legitimationsoplysninger. Admin-konti, finansportaler, HR-systemer, sikkerhedskopitjenester og logins til infrastruktur fortjener en strengere standard end almindelige driftskonti.

Her hjælper en tydelig politik. Protons guide til at oprette en adgangskodepolitik forklarer, hvordan virksomheder kan definere regler for oprettelse af adgangskoder, sikker deling, MFA og adgangsstyring. Overvågning er det, der omsætter reglerne til en løbende praksis. Uden den kan en politik eksistere på papiret, mens svage eller genbrugte adgangskoder fortsat dukker op i hverdagen.

Sådan opbygger du en rytme for overvågning af adgangskodesundheden

Løbende overvågning betyder ikke, at alle problemer skal gennemgås hver dag. For de fleste virksomheder kombinerer den rette rytme regelmæssige rapporter med hurtigere handling, når en kritisk hændelse opstår.

Her er et enkelt udgangspunkt for overvågningsrytmen:

  • Kritiske advarsler hurtigst muligt: kompromitterede legitimationsoplysninger, genbrugte adgangskoder på følsomme konti eller svage adgangskoder forbundet med admin-, økonomi-, HR-, kunde- eller infrastruktursystemer.
  • Monthly rapporter om adgangskode-sundhed: samlet score, antal svage adgangskoder, antal genbrugte adgangskoder, kompromitterede legitimationsoplysninger, inaktive konti, MFA-dækning og fremgang siden den foregående måned.
  • Kvartalsvise gennemgange: dybere gennemgang af delte legitimationsoplysninger, privilegierede bokse, inaktive konti og adgang på afdelingsniveau.
  • Hændelsesbaserede tjek: onboarding, offboarding, rolleændringer, leverandørskift, fusioner, indførelse af ny software eller store databrud-meddelelser.

Denne rytme holder adgangskode-sundheden synlig uden at gøre den til en konstant manuel byrde. Den skaber også en rytme for ansvarlighed. IT kan se, hvor risikoen stiger. Ledere kan gennemse legitimationsoplysninger, der ejes af deres teams. Ledelsen kan følge med i, om hygiene omkring legitimationsoplysninger forbedres eller forringes.

Hvad en nyttig rapport om adgangskode-sundhed bør vise

En rapport om adgangskode-sundhed bør hjælpe folk med at beslutte, hvad der skal rettes først. Hvis den kun viser rå tal, bliver den nem at ignorere. Hvis den giver alle problemer samme vægt, kan den sende teams i den forkerte retning.

Det mest nyttige visning er en, der kombinerer status, hastende karakter og fremgang. Admins skal se, hvor der findes svage, genbrugte, kompromitterede eller inaktive legitimationsoplysninger, men de skal også forstå, hvilke af disse problemer der udgør den største risiko for virksomheden. En svag adgangskode på en gammel testkonto fortjener stadig opmærksomhed, men den bør ikke konkurrere med kompromitterede legitimationsoplysninger knyttet til løn, cloudhosting, e-mail eller en domæneregistrator.

Gruppestyring i Proton Pass for Business understøtter denne form for prioritering. IT kan oprette grupper, der svarer til afdelinger, teams eller kundekonti, og tildele adgang til bokse på gruppeniveau, så adgangen til bokse automatisk opdateres, når nogen kommer til eller forlader et team, og sundhedsrapporten afspejler en struktur, der matcher, hvordan virksomheden faktisk fungerer.

Rapporten bør også vise, om sikkerheden omkring legitimationsoplysninger forbedres. Et stigende antal genbrugte adgangskoder kan tyde på, at adgangskodeadministratoren er dårligt taget i brug. Langsom udbedring af kompromitterede legitimationsoplysninger kan vise, at ejerskabet er uklart. For mange inaktive konti kan tyde på, at processer for offboarding og softwaregennemgang trænger til forbedring.

Samlet set bør adgangskode-sundhed være en klar indikator for virksomhedens hygiene omkring legitimationsoplysninger: hvor risikoen opbygges, hvor hurtigt teams reagerer, og om adgangskodepolitikken ændrer adfærd over tid.

Sådan gør Proton Pass Monitor risikoen ved legitimationsoplysninger synlig

Proton Pass for Business er en sikker adgangskodeadministrator til virksomheder, der hjælper teams med at gemme, generere, autofylde og dele legitimationsoplysninger på en sikker måde. Til overvågning af adgangskode-sundhed kan virksomheder bruge Pass Monitor.

Pass Monitor giver admins indsigt i svage, genbrugte og kompromitterede legitimationsoplysninger på tværs af teamet. I stedet for at vente på en manuel gennemgang kan virksomheder se, hvilke adgangskoder der kræver opmærksomhed, og hvor de alvorligste risici er. Det gør det lettere at administrere adgangskode-sundhed som en del af den daglige sikkerhedsdrift.

For virksomheder med voksende teams er denne indsigt vigtig, fordi risikoen ved legitimationsoplysninger sjældent er koncentreret ét sted. Nogle problemer stammer fra gamle delte adgangskoder. Andre kommer fra personlige vaner, forhastet onboarding, forladte konti eller værktøjer, der er taget i brug uden inddragelse af IT. Pass Monitor hjælper med at bringe disse problemer frem, så teams kan handle, før en svag eller eksponeret legitimationsoplysning udvikler sig til en større hændelse.

Proton Pass for Business giver teams fundamentet for stærkere styring af legitimationsoplysninger: krypterede bokse, sikker deling, stærk generering af adgangskoder, autofyld, indbygget to-faktor-godkendelse, adgangsnøgler, adminpolitikker, logfiler, rollebaseret adgangskontrol, SCIM-provisionering og SSO-integration. For IT-teams forklarer Protons Pass for IT teams-side, hvordan disse funktioner understøtter centraliseret styring af legitimationsoplysninger i hele virksomheden.

Pass Monitor bør ikke erstatte politikker, træning, MFA eller adgangsgennemgange. Det gør disse kontroller lettere at håndhæve, fordi admins ikke længere er afhængige af gætteri. Det lukker også kløften mellem politik og praksis: regler, der ellers kun ville findes på papir, bliver målbare og håndhævelige, og legitimationsoplysninger, der er spredt på snesevis af platforme, holder op med at ophobe usynlig risiko. De kan se, hvilke legitimationsoplysninger der er svage, genbrugte eller kompromitterede, og derefter bruge disse oplysninger til at styre udbedringen.

Overvåg teamets sundhed for legitimationsoplysninger løbende med en adgangskodeadministrator til virksomheder.