Adgangsproblemer opstår sjældent på grund af en enkelt stor hændelse. Oftere opbygges de gennem små undtagelser, der gav mening på det pågældende tidspunkt: Et teammedlem skifter måske til en ny rolle og beholder adgangsrettighederne fra sin tidligere rolle. Et delt login oprettes måske for at løse et akut problem og fortsætter med at florere, efter det akutte problem er løst.

Disse begivenheder sker hurtigt i små og mellemstore virksomheder (SMV’er). Teamene er små, ansvarsområder overlapper hinanden, og der tildeles adgang blot for at holde arbejdet i gang. Under disse omstændigheder mister en virksomhed det klare overblik over, hvem der har adgang til hvilke systemer, legitimationsoplysninger, data og leverandørkonti, og om denne adgang stadig er berettiget.

Når kontrollen glider ud, er det sværere at inddæmme og genoprette efter hændelser. En kompromitteret konto har måske stadig adgang til systemer, den ikke længere har brug for, og en delt legitimationsoplysning kan gøre det svært at spore, hvem der udførte en handling.

Princippet om mindste privilegium giver virksomheder en måde at forhindre ophobning af adgangsrettigheder på. Vi undersøger, hvad mindste privilegium er, hvordan De implementerer det i Deres virksomhed, og giver Dem en praktisk guide til at komme i gang.

Hvad er princippet om mindste privilegium?

Hvorfor er overprivilegeret adgang standarden for mange SMV’er?

Risiciene ved lemfældig adgangskontrol

Sådan implementeres princippet om mindste privilegium

En praktisk tjekliste til mindste privilegium for SMV’er

Gør mindste privilegium nemmere med Proton Pass for Business

Hvad er princippet om mindste privilegium?

Princippet om mindste privilegium er praksissen med at begrænse adgang til det absolut nødvendige for at udføre en specifik rolle eller opgave. Teammedlemmer, systemer og applikationer bør kun have adgang til det, de har brug for, så længe de har brug for det, og ikke mere.

Dette princip betyder, at adgangsbeslutninger bør følge det arbejde, som en person reelt har brug for at udføre. Den samme logik gælder for medarbejdere, eksterne konsulenter, administratorer, tjenestekonti, tredjepartsintegrationer og automatiserede arbejdsgange: Hver især bør kun have de tilladelser, der er nødvendige for deres rolle eller opgave.

Dette gælder også for deling af adgangskoder. Et teammedlem, der har brug for adgang til én kundekonto, bør ikke automatisk kunne bruge økonomilogins, infrastruktur-legitimationsoplysninger, HR-administrator-konti eller andre følsomme forretningsmæssige legitimationsoplysninger, som ikke er relateret til vedkommendes arbejde.

Hvorfor er overprivilegeret adgang standarden for mange SMV’er?

De fleste virksomheder opretter ikke overprivilegerede miljøer med vilje. De skaber dem gradvist. Når nye medarbejdere starter, får de adgang til de systemer, de har brug for. Gradvist får de tildelt mere adgang til specifikke projekter eller for at dække arbejdet for et andet teammedlem. Adgangen fjernes aldrig, og den vokser sig langt større end det, de har brug for til arbejdet.

Det samme sker med delte legitimationsoplysninger. En adgangskode deles én gang for nemheds skyld og bliver derefter en permanent del af en medarbejders arbejdsgang.

Dette mønster har tendens til at opstå af nogle få almindelige årsager:

  • Hastighed føles vigtigere end struktur. Når teamene er små og har travlt, kan det føles hurtigere at give en medarbejder bredere adgang end at konfigurere de nøjagtige tilladelser, vedkommende har brug for.
  • Roller er ikke altid klart definerede. Hvis ansvarsområder skifter fra uge til uge, bliver beslutninger om adgang ofte også uformelle.
  • Kontrollen med legitimationsoplysninger er svag under rolleskift og offboarding. Hvis et teammedlem rejser, skifter team eller afslutter en kontrakt, og deres delte adgangskoder ikke roteres, bliver deres boksadgang ikke gennemgået, og deres gamle tilladelser forbliver aktive.

Ingen enkeltstående lille beslutning føles farlig på det pågældende tidspunkt, men over uger, måneder og år skaber overprivilegering en betydelig risiko i en organisation.

Risiciene ved lemfældig adgangskontrol

Overprivilegeret adgang skaber sikkerhedsmæssige, operationelle og compliance-mæssige risici. Nogle af de mest almindelige risici omfatter:

Lateral bevægelse

Hvis en angriber får adgang til én konto, giver for vidtgående tilladelser dem mulighed for at bevæge sig dybere ind i miljøet. I stedet for at kompromittere ét enkelt system, kan de måske nå flere.

Dataeksponering

Hvis adgangen til kunderegistre, interne dokumenter eller økonomiske systemer ikke er begrænset til de personer, der har brug for den, bliver flere konti mulige adgangspunkter til disse data. Et kompromitteret login kan eksponere oplysninger, som personen ikke burde have haft adgang til, og en simpel fejl, såsom deling af den forkerte fil eller ændring af den forkerte indstilling, kan påvirke følsomme systemer unødigt.

Utilsigtet sletning eller fejlkonfiguration

En person med unødvendige admin-rettigheder kan ændre indstillinger, fjerne data eller blotlægge systemer ved en fejl. Mindste privilegier reducerer skadesradiusen for disse fejl.

Interne trusler

Interne trusler kan vise sig på mange måder. Det kan være hackeres bevidste forsøg på at infiltrere Deres netværk, utilfredse medarbejderes datalækage eller, hvilket er mere almindeligt, simple fejl. De fleste medarbejdere har ikke onde hensigter, men bred adgang øger risikoen for misbrug, overdeling eller skødesløs håndtering af følsomme oplysninger.

Governance-problemer

Hvis Deres virksomhed ikke tydeligt kan forklare, hvem der har adgang til hvad, hvorfor de har den, og hvornår denne adgang evalueres eller fjernes, bliver det sværere at efterforske hændelser, gennemføre sikkerhedsevalueringer, besvare revisioner eller bevise, at adgangskontrollerne fungerer som tilsigtet.

Sådan implementeres princippet om mindste privilegier

For de fleste SMV’er er mindste privilegier ikke noget, De implementerer på én gang. Det er noget, De opbygger ved at gøre adgangen mere bevidst, more begrænset og nemmere at revurdere over tid.

Brug rollebaseret adgangskontrol

En af de mest praktiske måder at anvende princippet om mindste privilegier på er gennem rollebaseret adgangskontrol. Dette hjælper Dem med at definere roller baseret på ansvarsområder, såsom økonomi, HR, marketing, kundesupport, IT-admin eller en ekstern konsulent. Derefter tildeler De adgang i henhold til disse roller i stedet for at håndtere hver tilladelse individuelt. Rollebaseret adgangskontrol er ikke det nøjagtigt samme som mindste privilegier. Mindste privilegier er princippet. Rollebaseret adgangskontrol er en af de mest praktiske måder at anvende det konsekvent på.

Adskil standardadgang fra privilegeret adgang

En af de mest almindelige fejl, virksomheder begår, er at lade admin-rettigheder blive brugt til rutinearbejde.

Privilegeret adgang bør behandles anderledes end rutinemæssig adgang.

Hvis nogen har brug for flere tilladelser, bør den adgang være knyttet til et specifikt ansvarsområde og begrænses så meget som muligt. Målet er at undgå at give personer permanent adgang på højt niveau, blot fordi de måske har brug for det en gang imellem.

Gennemgå adgang regelmæssigt

Mindste privilegier fungerer kun, når adgangen afspejler teammedlemmernes nuværende ansvarsområder. Derfor skal adgangsevalueringer være en del af Deres rutine, ikke en engangsindsats.

En simpel månedlig eller kvartalsvis gennemgang kan afsløre forældede tilladelser, unødvendig adgang til systemer, inaktive integrationer eller eksterne konsulenter, der ikke længere bør være forbundet. Disse gennemgange hjælper Dem med at afdække risici, som kunne have ligget ubemærket i baggrunden i månedsvis.

Gør midlertidig adgang virkeligt midlertidig

Kortvarigt arbejde bør ikke resultere i langvarig adgang. Eksterne konsulenter, rådgivere, bureauer og projektbaserede samarbejdspartnere bør kun have adgang, så længe deres arbejde kræver det.

Midlertidig adgang kræver en ejer, som forpligter sig til at føre tilsyn med den, samt et klart formål og en slutdato. Uden dette kan konti, bokstilladelser og delte legitimationsoplysninger forblive aktive, blot fordi ingen har ansvaret for at gennemgå og fjerne dem.

Behandl offboarding som en sikkerhedsproces

Mindste privilegier ophører ikke, når nogen forlader virksomheden eller skifter roller.

Offboarding bør omfatte fjernelse af adgang to alle konti, tilbagekaldelse af bokstilladelser og vurdering af, om følsomme legitimationsoplysninger skal roteres. Når fjernelse af adgang forsinkes eller håndteres uregelmæssigt, skaber virksomheder unødig eksponering længe efter, at det oprindelige behov er forsvundet.

Inkluder legitimationsoplysninger i Deres adgangsmodel

Mindste privilegier handler ikke kun om systemtilladelser. Det gælder også de legitimationsoplysninger, der låser op for Deres virksomhed.

Adgangskoder, adgangsnøgler, gendannelseskoder, admin-logins og delte konti bør alle behandles som kontrollerede aktiver. Hvis kontrol med legitimationsoplysninger stadig håndteres uformelt, anvendes princippet om mindste privilegier kun halvt.

En praktisk tjekliste til mindste privilegier for SMV’er

At forpligte sig til at føre mindste privilegier ud i livet i Deres virksomhed er let at blive enig om, men kompliceret at implementere i praksis. Det er endnu mere kompliceret for SMV’er med begrænset tid og ressourcer.

Men bare rolig: En storstilet omlægning af adgangen er generelt ikke nødvendig for de fleste SMV’er. Deres organisation bør snarere begynde med at træffe et par klare beslutninger om, hvem der reelt har brug for adgang til hvad, hvor der findes unødvendig eksponering i dag, og hvordan disse tilladelser vil blive evalueret fremover.

Tjeklisten nedenfor er designet til at hjælpe virksomheder med at begynde at træffe beslutninger og udarbejde en realistisk plan for at implementere mindste privilegier.

  • Identificer Deres mest følsomme systemer, delte konti og legitimationsoplysninger.
  • Definer kerneroller og den minimale adgang, som hver enkelt kræver.
  • Organiser adgangen til legitimationsoplysninger efter team, rolle eller funktion.
  • Fjern forældede, nedarvede eller unødvendige tilladelser.
  • Etabler en klar proces for midlertidig adgang og adgang for eksterne konsulenter.
  • Gennemgå adgang efter en fast tidsplan.
  • Styrk offboarding, så adgang tilbagekaldes hurtigt og pålideligt.
  • Roter kritiske legitimationsoplysninger efter fratrædelser eller rolleskift.
  • Adskil administrative identiteter fra almindelige brugerkonti.
  • Placer et klart ejerskab over adgangsbeslutninger.

Det, der gør en tjekliste som denne effektiv, er ikke, hvor kompleks den er, men om virksomheden følger den konsekvent. For mange SMV’er kommer meningsfulde forbedringer ved at erstatte uformelle adgangsvaner med en proces, der er nemmere at gentage, gennemgå og vedligeholde.

Gør mindste privilegier nemmere med Proton Pass for Business

Mindste privilegier svigter ofte, når det kommer til legitimationsoplysninger. En virksomhed kan for eksempel have de rette adgangsniveauer klart kortlagt på papir, men stadig dele adgangskoder uden at have den rette kontrol på plads.

Teams kan gemme login-detaljer i regneark, chats, noter eller interne dokumenter. Delte konti kan blive videregivet uformelt med ringe eller ingen synlighed og kontrol. Fratrædende medarbejdere kan forlade virksomheden med fortsat adgang til legitimationsoplysninger, som virksomheden aldrig roterer. Dette er alle adgangsproblemer, som kan løses med en tilgang baseret på mindste privilegier styret af effektiv adgang til legitimationsoplysninger.

I mange virksomheder afhænger adgangen til legitimationsoplysninger stadig af genveje, der er svære at styre. Adgangskoder sendes via beskeder, gemmes i dokumenter, videregives mellem teams eller efterlades tilgængelige, efter det oprindelige behov er ophørt.

Over tid er det nemt at miste overblikket over, hvem der kan bruge hvilke legitimationsoplysninger, om denne adgang stadig er berettiget, og hvad der skal tilbagekaldes eller roteres, når nogen skifter rolle eller forlader virksomheden.

En adgangskodeadministrator til virksomheder tilbyder både administration af legitimationsoplysninger og adgang for teams i alle størrelser. I stedet for at behandle legitimationsoplysninger som noget, teams administrerer ad hoc, kan virksomheder bruge et specialiseret værktøj til at organisere, dele og tilbagekalde adgang. Legitimationsoplysninger kan grupperes efter team, rolle eller funktion, følsomme logins kan blotlægges for færre personer, og adgangen kan tilpasses meget hurtigere, når ansvarsområder ændrer sig.

Proton Pass for Business understøtter denne indsats ved at hjælpe organisationer med at reducere spredning af legitimationsoplysninger, stramme adgangen omkring delte logins og gøre mindste privilegier lettere at håndhæve i den daglige drift. Ved at oprette grupper kan admins også administrere deling på gruppeniveau, hvilket gør det nemmere at give et team adgang til de rette bokse og fjerne denne adgang, når forretningsbehovene ændres.Hvis Deres organisation er klar til at indføre mindste privilegier, kan De prøve Proton Pass gratis eller kontakte vores salgsteam.