Deres organisation har ikke længere råd til at overlade adgangskodesikkerheden til de enkelte teammedlemmer. På trods af de bedste intentioner falder mennesker ofte tilbage i bekvemme, men risikable vaner, såsom at gemme legitimationsoplysninger i browsere, regneark eller på huskesedler.
En stærk adgangskodepolitik etablerer en tydelig standard, der kan håndhæves, for hvordan adgangskoder oprettes, lagres, deles, gennemgås og beskyttes i hele organisationen. En moderne politik reducerer risikoen forbundet med legitimationsoplysninger, understøtter overholdelse af regler og skaber konsistens i adgangssikkerheden på tværs af systemer, teams og arbejdsgange.
Dette er ikke noget, som virksomheder har råd til at ignorere. Verizons Data Breach Investigations Report for 2025 viste, at misbrug af legitimationsoplysninger tegnede sig for 22 % af de førende indledende angrebsvektorer i bekræftede databrud. Omkostningerne ved dårlig sikkerhed omkring legitimationsoplysninger viser sig også i driftsforstyrrelser, regulatorisk eksponering, skade på omdømmet og den langvarige nedetid, der følger, når teams kæmper for at gendanne mistet eller kompromitteret adgang.
Ud over at oprette en adgangskodepolitik har Deres organisation brug for systemer og værktøjer, der gør det nemt at indføre sikre vaner. Regler er ikke nok til at sikre driftssikkerheden, for hvor der findes modstand, vil selv velmenende fagfolk tage genveje. Målet er at gøre god adgangskodehygiejne til den sti, der yder mindst modstand.
Skabelonen til adgangskodepolitik herunder kan hjælpe Deres virksomhed med at holde sig orienteret om aktuel bedste praksis og NIST-baseret vejledning. De kan tilpasse den til en intern politik, en sikkerhedshåndbog eller en ledelseskontrol for organisationer, der har brug for noget mere praktisk end generelle råd.
Skabelon til adgangskodepolitik (eksempel)
| Afsnit | Politikkrav (eksempelsprog) | Implementeringsnoter |
| Omfang | Denne politik gælder for alle medarbejdere, kontrahenter, leverandører og tredjeparter, der får adgang til virksomhedens systemer eller data ved hjælp af adgangskodebaseret godkendelse. Den omfatter alle systemer, herunder SaaS-platforme, skytjenester, interne værktøjer, endepunkter og administrative miljøer. | Sørg for, at ingen systemer eller brugergrupper falder uden for omfanget. Medtag leverandører og delte miljøer. |
| Brugeransvar | Alle brugere skal oprette, lagre og administrere adgangskoder i overensstemmelse med denne politik. Brugere må ikke dele legitimationsoplysninger, genbruge adgangskoder eller gemme dem på ikke-godkendte placeringer. Mistanke om kompromittering af legitimationsoplysninger skal rapporteres øjeblikkeligt. | Medtag i onboarding og sikkerhedstræning. |
| Ledelsesansvar | Ledere skal sikre rettidig kommunikation om onboarding, rolleændringer og offboarding for at muliggøre korrekt adgangskontrol og opdatering af legitimationsoplysninger. | Forbind til HR-arbejdsgange. |
| IT- og sikkerhedsansvar | IT- og sikkerhedsteams er ansvarlige for at håndhæve denne politik, godkende værktøjer til administration af adgangskoder, overvåge overholdelse og reagere på hændelser relateret til legitimationsoplysninger. | Tildel et tydeligt ejerskab internt. |
| Adgangskodelængde | Adgangskoder skal opfylde følgende minimumslængder: 15 tegn (standardkonti), 16 tegn (privilegerede konti) og 20 tegn (delte konti eller tjenestekonti, hvor det er muligt). | Systemer bør understøtte lange adgangskoder (ideelt set op til 64 tegn). |
| Oprettelse af adgangskode | Adgangskoder skal genereres tilfældigt ved hjælp af organisationens godkendte adgangskodeadministrator til erhverv. Brugeroprettede adgangskoder baseret på mønstre, personlige data eller forudsigelige strukturer er ikke tilladt. | Proton Pass for Business kan automatisere oprettelsen af stærke, tilfældige adgangskoder. |
| Unikke adgangskoder | Adgangskoder skal være unikke for hver konto, hvert system og hver tjeneste. Genbrug på tværs af arbejdssystemer, personlige konti eller klientmiljøer er strengt forbudt. | Håndhæv gennem værktøjer og træning, ikke kun hukommelse. |
| Test af adgangskodestyrke | Adgangskoder må ikke være svage, genbrugte eller tidligere eksponeret i kendte databrud. | Brug systemer, der understøtter registrering af lækkede adgangskoder, hvor det er muligt. |
| Forbudt praksis | Følgende er forbudt: genbrug af adgangskoder, brug af personlige eller virksomhedsrelaterede termer, forudsigelige mønstre, lagring af adgangskoder i almindelig tekst samt deling af legitimationsoplysninger via e-mail, chat eller noter. | Hold dette afsnit eksplicit for at fjerne enhver tvivl. |
| Flerfaktorautentificering (MFA) | MFA skal aktiveres på alle systemer, der understøtter det, især for e-mail, identitetsudbydere, fjernadgang, finansielle systemer, HR-platforme og administrative konti. | Prioriter højrisikosystemer først. |
| Lagring af adgangskoder | Alle legitimationsoplysninger må kun lagres i organisationens godkendte adgangskodeadministrator. Lagring i browsere eller lokale værktøjer er ikke tilladt, medmindre det er centralt administreret og godkendt. | Proton Pass for Business tilbyder krypterede bokse med kontrolleret adgang. |
| Forbudte lagringsmetoder | Adgangskoder må ikke gemmes i regneark, dokumenter, e-mail-udkast, billetsystemer, delte drev eller personlige noter. | Foretag regelmæssig revision af disse, da de er meget almindelige. |
| Deling af adgangskoder | Adgangskoder må ikke deles via uformelle kanaler. Hvor deling er påkrævet, skal det ske gennem godkendte sikre systemer, der understøtter adgangskontrol, revision og tilbagekaldelse. | Proton Pass for Business muliggør sikker deling af legitimationsoplysninger uden at afsløre selve adgangskoden. |
| Delte konti | Legitimationsoplysninger til delte konti eller tjenestekonti skal have en udpeget ejer, begrænset adgang, sikker lagerplads og regelmæssig gennemgang. Legitimationsoplysninger skal roteres, når der sker personaleudskiftninger, eller hvis der er mistanke om, at de er blevet kompromitteret. | Foretræk individuelle konti, hvor det er muligt. |
| Træning og bevidstgørelse | Alle brugere skal gennemføre sikkerhedstræning i adgangskoder og legitimationsoplysninger ved onboarding og derefter med jævne mellemrum. Træningen skal omfatte administration af adgangskoder, brug af MFA, bevidsthed om phishing og rapportering af hændelser. | Hold træningen praktisk og opdateret. |
| Håndtering af hændelser | Enhver mistænkt eller bekræftet kompromittering af legitimationsoplysninger skal rapporteres øjeblikkeligt. Berørte legitimationsoplysninger skal nulstilles, sessioner skal tilbagekaldes, og adgangen skal gennemgås. Hændelser skal dokumenteres. | Responshastighed betyder mere end perfektion. |
| Krav til rapportering | Brugere skal rapportere mistanke om eksponering af legitimationsoplysninger via den dertil indrettede rapporteringskanal. Ingen disciplinære foranstaltninger vil følge af rapportering i god tro. | Opmuntrer til tidlig rapportering. |
| Overvågning og logning | Godkendelsesaktivitet skal logges, hvor det er muligt, herunder login-forsøg, ændringer af legitimationsoplysninger og privilegeret adgang. Logfiler bør gennemgås med jævne mellemrum for anomalier. | Fokuser på højrisikosystemer først. |
| Offboarding og tilbagekaldelse af adgang | Ved ændring af rolle eller opsigelse skal adgangen fjernes øjeblikkeligt. Delte legitimationsoplysninger skal gennemgås og roteres, hvor det er nødvendigt. | Væsentligt, da dette er et af de mest almindelige fejlpunkter for organisationer. |
| Overensstemmelse med compliance | Denne politik understøtter organisatorisk compliance med anerkendte rammeværk såsom NIST og ISO 27001-krav til adgangskontrol. | Nyttig til revisioner og ledelse. |
| Håndhævelse | Manglende overholdelse af denne politik kan resultere i genuddannelse, adgangsbegrænsninger eller disciplinære foranstaltninger afhængigt af alvoren. | Anvend konsekvent. |
| Gennemgangscyklus | Denne politik skal gennemgås mindst en gang om året eller efter væsentlige ændringer i systemer, risici eller lovkrav. | Udpeg en ansvarlig for opdateringer. |
Hvad er en adgangskodepolitik? Definition, formål og mål
En adgangskodepolitik er et formelt sæt regler, der definerer, hvordan legitimationsoplysninger oprettes, administreres, lagres og beskyttes på tværs af en organisations systemer.
Konceptet bag en adgangskodepolitik lyder simpelt, men virkningen er bred. Det er meget mere end blot at pålægge brug af en adgangskodeadministrator til erhverv til professionelle legitimationsoplysninger. I moderne organisationer fungerer adgangskodepolitikker som fundamentet for identitetssikkerhed.
Uden en konsekvent politik for, hvordan legitimationsoplysninger håndteres på tværs af systemer, har adgangskodepraksis tendens til at blive fragmenteret, og organisationer mister gradvist overblikket over, hvordan adgangen faktisk administreres.
Formålet med en stærk adgangskodepolitik
En veldefineret adgangskodepolitik adresserer sikkerhedshuller ved at opstille klare forventninger til, hvordan legitimationsoplysninger skal håndteres i hele Deres organisation. Den fastlægger konsekvente standarder for oprettelse, opbevaring, deling og livscyklusstyring af adgangskoder.
Adgangskodepolitikker spiller også en vigtig rolle i ledelse og compliance. Sikkerhedsrammeværk såsom NIST Digital Identity Guidelines(nyt vindue) og standarder som ISO 27001(nyt vindue) understreger vigtigheden af stærk godkendelsespraksis som en del af moderne adgangskontrol.
Der forventes i stigende grad, at organisationer, der håndterer følsomme data – især personoplysninger, finansielle oplysninger eller fortrolige forretningsoplysninger – kan påvise, at adgangen til disse systemer styres af dokumenterede sikkerhedskontroller.
Med en adgangskodepolitik definerer Deres organisation minimumskravene til oprettelse, opbevaring, deling og administration af de adgangskoder, der bruges til at få adgang til virksomhedens systemer, tjenester, enheder, applikationer og data.
Hvad skal en adgangskodepolitik gøre?
Et dokument om adgangskodepolitik har til formål at:
- Reducere adgangskoderelaterede sikkerhedshændelser
- Forhindre genbrug af adgangskoder og usikker opbevaringspraksis
- Kræve sikker oprettelse af adgangskoder og sikker administrationspraksis
- Understøtte sikker adgang på tværs af medarbejdere, leverandører og systemer
- Styrke revisionsparathed og styring af adgang
- Definere responsprocedurer for kompromitterede legitimationsoplysninger
Tilsammen hjælper disse mål med at sikre, at adgangskodesikkerhed behandles som en operationel standard snarere end en uformel forventning.
Adgangskodepolitik: omfang, roller og ansvar
En stærk adgangskodepolitik bør tydeliggøre to ting. For det første skal den klart definere, hvilke brugere, systemer og data der skal overholde politikken.
For det andet bør den præcisere, hvem der er ansvarlig for at følge, implementere og vedligeholde disse standarder i hele Deres organisation.
Definer omfanget af Deres adgangskodepolitik
I moderne organisationer er adgang sjældent begrænset til fuldtidsansatte på interne netværk. Eksterne konsulenter, leverandører og tjenesteudbydere kan alle kræve adgang til virksomhedens systemer, så politikken bør omfatte alle, der interagerer med virksomhedens systemer eller data via adgangskodebaseret godkendelse.
Den bør også gælde for hele teknologimiljøet, herunder:
- Cloud-platforme
- SaaS-værktøjer
- Interne systemer
- Udviklingsmiljøer
- Administrative konsoller
- Delte driftskonti
Dette er vigtigt, fordi angribere sjældent skelner mellem primære og sekundære systemer, når de leder efter indgangspunkter.
Definer roller og ansvarsområder i Deres adgangskodepolitik
Uden klart ejerskab bliver adgangskodeadministration fragmenteret. Medarbejdere antager, at IT håndterer sikkerheden automatisk, mens IT antager, at brugere følger bedste praksis uafhængigt. Effektiv sikkerhed for legitimationsoplysninger kræver koordinering på tværs af Deres organisation.
Mens medarbejdere og eksterne leverandører opretholder adgangskodesikkerheden i deres daglige interaktion med systemer, fører ledere tilsyn med adgangsstyring under onboarding, rolleændringer og offboarding. IT- og sikkerhedsteams vil være ansvarlige for at implementere tekniske kontroller og overvågning af overholdelse. Systemejere vil også sikre, at standarder håndhæves i de applikationer og miljøer, de administrerer.
Retningslinjer for adgangskodepolitik vedrørende minimumslængde for adgangskoder og krav til entropi
Adgangskodens længde er en af de vigtigste faktorer for at bestemme styrken af legitimationsoplysninger. Længere adgangskoder øger dramatisk antallet af mulige kombinationer, som en angriber skal teste under et brute-force-angreb.
Faktisk anbefaler NIST(nyt vindue) at prioritere adgangskodens længde over strenge sammensætningsregler. I stedet for at tvinge brugere til at inkludere specifikke kombinationer af symboler, tal og store bogstaver, fokuserer moderne politikker på at sikre, at adgangskoder er tilstrækkeligt lange og screenes mod kendte kompromitterede legitimationsoplysninger.
Følgelig bør organisationer også sikre, at deres systemer understøtter længere, mere komplekse adgangskoder, hvor det er teknisk muligt. Dette gør det muligt for sikkerhedsteams at vedtage stærkere standarder for legitimationsoplysninger over tid og sikrer, at Deres organisation er forberedt på at imødekomme skiftende sikkerhedskrav i fremtiden.
En stærk adgangskode bør opfylde eller overstige disse vigtigste krav:
- Tilstrækkelig længde til at modstå brute-force og automatiserede forsøg på dekryptering
- Unik for en enkelt konto eller tjeneste, hvilket forhindrer genbrug af legitimationsoplysninger på tværs af systemer
- Svær at gætte, undgå personlige oplysninger, virksomhedsreferencer eller forudsigelige mønstre
- Tilfældig eller meget uforudsigelig, ideelt set genereret af en godkendt adgangskodeadministrator
- Ikke tidligere eksponeret i kendte databrud eller findes på almindelige adgangskodelister
Bemærk, at adgangskoder baseret på navne, fødselsdage, virksomhedstermer eller enkle tastaturmønstre ofte kan knækkes hurtigt ved hjælp af automatiserede værktøjer til adgangskodeknækning, uanset længde. Se vores detaljerede vejledning om krav til stærke adgangskoder for både enkeltpersoner og virksomheder.
Tilfældighed og kompleksitet af adgangskoder
Moderne sikkerhedsrammer anbefaler at generere adgangskoder tilfældigt frem for at bede brugere om at finde på dem manuelt. Tilfældige adgangskoder genereret af godkendte adgangskodeadministratorer giver betydeligt stærkere beskyttelse, fordi de undgår forudsigelige mønstre og kan oprettes i længder, der er upraktiske at huske.
For eksempel kan De bruge den sikre adgangskodegenerator og sikker praksis for administration af legitimationsoplysninger, der er indbygget i Proton Pass. Sammen hjælper disse værktøjer med at generere stærke, uforudsigelige adgangskoder, samtidig med at de adresserer almindelige udfordringer omkring lagring, deling og livscyklusstyring af adgangskoder.
Følgende minimumskrav kan inkluderes i en adgangskodepolitik for at fraråde svage eller genbrugte adgangskoder:
- Standardbrugeres adgangskoder skal være mindst 15 tegn lange.
- Adgangskoder til privilegerede konti eller administratorkonti skal være mindst 16 tegn lange.
- Legitimationsoplysninger til delte konti eller tjenestekonti bør være mindst 20 tegn lange, hvor det er teknisk muligt.
- Systemer bør understøtte adgangskoder på mindst 64 tegn, hvor det er muligt.
- Lange adgangssætninger kan anvendes, hvor det understøttes og er relevant.
- Adgangskoder skal opfylde organisationens godkendte krav til styrke og screening før brug.
Brug af unikke adgangskoder pr. system eller tjeneste
Genbrug af adgangskoder er en af de mest almindelige årsager til sikkerhedshændelser baseret på legitimationsoplysninger. Når den samme adgangskode bruges på tværs af flere tjenester, kan et enkelt databrud eksponere adgang til flere systemer på én gang.
Angribere udnytter rutinemæssigt denne adfærd ved hjælp af en teknik kendt som credential stuffing, hvor stjålne brugernavne og adgangskoder fra én tjeneste automatisk testes på tværs af andre platforme.
Af denne grund er unikhed et ufravigeligt krav. Hver konto, tjeneste og system bør have sin egen adgangskode, der aldrig genbruges andre steder.
Administration af snesevis eller hundredvis af unikke adgangskoder ville være urealistisk uden støtte fra sikre adgangskodeadministratorer. Værktøjer til enterprise-adgangskodeadministration gør dette krav praktisk ved at generere stærke adgangskoder automatisk og gemme dem sikkert, hvilket gør det muligt for medarbejdere at opretholde unikke legitimationsoplysninger uden at være afhængige af hukommelsen.
Krav til multifaktorgodkendelse (MFA)
Multifaktorgodkendelse (MFA) er en af de mest effektive måder at reducere risikoen for uautoriseret adgang på, især i miljøer, hvor legitimationsoplysninger kan blive eksponeret gennem phishing, malware(nyt vindue) eller eksterne databrud.
MFA fungerer ved at kræve, at brugere bekræfter deres identitet gennem mindst to uafhængige faktorer, før de får adgang til en konto. Disse omfatter:
- Noget brugeren ved (en adgangskode)
- Noget de har (f.eks. en sikkerhedsnøgle, godkendelsesapp eller mobilenhed)
- Noget de er (biometrisk godkendelse såsom fingeraftryk eller ansigtsgenkendelse).
Da angribere sjældent har adgang til alle disse faktorer samtidigt, reducerer MFA sandsynligheden for, at stjålne legitimationsoplysninger alene kan bruges til at kompromittere en konto, betydeligt.
Retningslinjer fra organisationer som NIST og CISA opfordrer kraftigt(nyt vindue) til brug af multifaktorgodkendelse, uanset hvor adgangskodebaseret adgang anvendes, især for systemer, der indeholder følsomme data eller giver administrative rettigheder.
Inddragelse af MFA i Deres adgangskodepolitik
Deres organisation kan styrke udbredelsen af MFA yderligere ved at bruge værktøjer, der gør to-faktor-godkendelse lettere at udrulle og administrere på tværs af konti. For eksempel kan Proton Pass gemme og udfylde tidsbaserede engangskoder (TOTP) sammen med gemte legitimationsoplysninger, hvilket forenkler login-arbejdsgange og samtidig holder godkendelsesdata krypteret.
For organisationer, der foretrækker at adskille godkendelsesfaktorer, tilbyder Proton også en dedikeret Proton Authenticator-app, som genererer sikre sekscifrede bekræftelseskoder og kan synkronisere dem på tværs af enheder ved hjælp af end-to-end-kryptering. Godkenderen fungerer offline og er open source, hvilket gør det muligt for organisationer at implementere MFA på tværs af erhvervskonti, samtidig med at gennemsigtighed og stærk beskyttelse af privatlivet opretholdes
Sikker praksis for deling af adgangskoder
Selvom mange sikkerhedsretningslinjer fraråder deling af adgangskoder overhovedet, kræver erhvervsmiljøer i den virkelige verden det stadig. Tjenestekonti, leverandøradgang og nødprocedurer kan lejlighedsvis kræve, at flere autoriserede brugere får adgang til de samme legitimationsoplysninger.
Når deling sker uformelt, såsom via e-mail, chat eller mundtlig kommunikation, bliver legitimationsoplysninger eksponeret og svære at kontrollere. Når de først er delt via disse kanaler, er der typisk ingen pålidelig måde at spore, hvem der har adgang, eller tilbagekalde den senere.
Adgangskodepolitikker bør derfor definere, hvordan og hvornår deling er tilladt. I de fleste organisationer bør det kun ske gennem godkendte værktøjer til administration af legitimationsoplysninger, der giver adgangskontrol, revision og mulighed for at tilbagekalde adgangen, når det er nødvendigt.
Procedurer for offboarding og tilbagekaldelse af adgang
Når medarbejdere skifter roller, forlader organisationen, eller leverandørforhold ophører, skal adgangen gennemgås og justeres med det samme. Manglende rettidig tilbagekaldelse af legitimationsoplysninger er en af de mest almindelige kilder til uautoriseret adgang.
En stærk adgangskodepolitik bør integreres med onboarding- og offboarding-processer, hvilket sikrer, at adgangsprivilegier opdateres med det samme for at afspejle rolleændringer eller fratrædelser, herunder deaktivering af konti, rotation af delte legitimationsoplysninger og tilbagekaldelse af unødvendig systemadgang.
Hvis flere personer har haft adgang til en delt tjenestekonto, bør adgangskoden roteres, så snart der sker personaleændringer, for at forhindre tidligere medarbejdere eller eksterne konsulenter i at beholde adgangen, efter deres konti er blevet deaktiveret.
Bridge kløften mellem adgangskodepolitik og menneskelige vaner
Adgangskodepolitikker er kun effektive, hvis folk følger dem.
I de fleste organisationer sker fejl ikke, fordi der mangler politikker; de sker, fordi politikkerne ikke er integreret i de daglige arbejdsgange. Medarbejdere tager genveje, når processer er uklare, værktøjer er utilstrækkelige, eller forventninger ikke håndhæves. Når den implementeres korrekt (og i kombination med en adgangskodeadministrator til erhverv), erstatter en stærk adgangskodepolitik uformelle vaner med konsekvent kontrol, reducerer risikoen forbundet med legitimationsoplysninger og gør sikker adgangsadministration til en del af den daglige drift, ikke blot en eftertanke.
