Adgangskodehåndtering i teams efter afdeling

Administration af teamets adgangskoder er enkel med tre personer. Ved 15 personer begynder det at gå i opløsning.

En lille virksomhed har måske en håndfuld værktøjer, nogle få delte konti og normalt ét uformelt sted, hvor adgangskoderne opbevares: et regneark, en fastgjort besked i chatten eller et delt dokument.

Efterhånden som flere kommer til i en virksomhed, gør uformel deling det svært at se forskellen på nyttig adgang og risikabel adgang. Adgangskoder til hverdagens værktøjer ender med at blive blandet sammen med legitimationsoplysninger til økonomi-, admin-, kunde- og infrastruktursystemer. Listen kan stadig se organiseret ud udefra, men den afspejler ikke længere, hvem der reelt har brug for adgang til hvad.

Efterhånden som en virksomhed vokser, har delte legitimationsoplysninger brug for struktur og kontrol: hvem der kan få adgang til hver adgangskode, hvilken afdeling der ejer legitimationsoplysningerne, og hvordan adgangen ændrer sig, efterhånden som folk kommer til, forlader virksomheden og skifter rolle.

Vi forklarer, hvordan du organiserer adgangskodebokse efter team eller afdeling, hvordan gruppebaseret adgang understøtter princippet om mindst mulige rettigheder, og hvordan du gør onboarding og offboarding mere sikker – før spredningen af legitimationsoplysninger bliver et sikkerheds- og driftsmæssigt problem.

Hvorfor delt adgangskodeadgang ikke skalerer

Uformel deling er normalt den første model, voksende virksomheder tyr til. Uformel deling er skabt med henblik på bekvemmelighed: Adgangskoder kan ligge i et regneark, en chattråd eller i en persons browser, og ingen behøver at bede om adgang, hver gang de skal bruge et login.

Bekvemmeligheden opvejes dog hurtigt af kaos og risiko. Så snart flere teams, freelancere, kunder og værktøjer kommer til i virksomheden, bliver den delte liste for bred i forhold til det arbejde, folk reelt laver. Økonomiteamet kan have brug for bank-, løn- og faktureringslegitimationsoplysninger, men ikke adgang til reklamekonti eller udviklerværktøjer. Marketing kan have brug for adgang til analyser, indhold og sociale medier, men ikke juridiske portaler eller infrastrukturlegitimationsoplysninger.

Sprækkerne viser sig i hverdagen, men offboarding er, hvor denne model bliver farlig. Når nogen forlader virksomheden, er der ingen pålidelig måde at vide, hvilke legitimationsoplysninger personen havde adgang til, havde kopieret eller stadig husker. At rotere en adgangskode betyder, at den nye skal distribueres igen gennem de samme ubeskyttede kanaler uden registrering af, hvem der har modtaget den. Over for det arbejde springer mange virksomheder rotationen over.

En adgangskodeadministrator til virksomheder med strukturerede bokse og gruppebaseret adgang erstatter upræcision med kontrol: Adgang kan bevidst gives, gennemgås og tilbagekaldes.

Jo større boksen bliver, jo mindre nyttig er den som adgangskontrol. Den kan stadig opbevare adgangskoder sikkert, men den afspejler ikke længere, hvordan virksomheden reelt fungerer, hvem der ejer hver legitimationsoplysning, eller hvem der bør kunne bruge den.

Teamorienteret adgang understøtter princippet om mindst mulige rettigheder

Princippet bag adgang til legitimationsoplysninger fordelt på afdelinger er enkelt: Folk bør kun have adgang til de legitimationsoplysninger, de har brug for i deres arbejde.

Princippet om mindst mulige rettigheder er nyttigt, fordi det giver adgang til legitimationsoplysninger en klar test: Har denne person brug for denne legitimationsoplysning for at udføre sit arbejde, eller har vedkommende den, fordi adgangen blev givet én gang og aldrig blev sat i tvivl igen? I administrationen af teamets adgangskoder bør det spørgsmål forme, hvordan bokse oprettes, hvem der kommer med i dem, og hvornår adgangen fjernes.

Det er især vigtigt for delte legitimationsoplysninger. Et delt login er allerede sværere at styre end en individuel konto, fordi mere end én person kan bruge det.

Når den legitimationsoplysning også er tilgængelig for folk, der ikke har brug for adgang til den, bærer virksomheden en risiko uden nogen fordel: Hver ekstra person, der kan se den, er endnu en enhed, hvor den kan blive autofyldt, kopieret eller udsat for phishing. Virksomheden ved måske, at adgangskoden er lagret et sikkert sted, men ikke om alle med adgang til boksen stadig har en gyldig grund til at bruge den.

Grupper i Proton Pass for Business løser dette: Admins kan organisere folk i grupper, der afspejler teams, afdelinger eller projekter, og derefter tildele disse grupper specifikke bokse og elementer, så adgangen følger rollen frem for en liste over enkelte tildelinger.

Boksstrukturen bør afspejle risikoen. Driftslogins med lav risiko kan nemt deles, mens admin-legitimationsoplysninger, økonomiværktøjer, HR-systemer, kundeeksporter og adgang til sikkerhedskopier kræver strammere kontrol.

Sådan ser en god boksstruktur ud

En nyttig boksstruktur bør hjælpe folk med at finde det, de har brug for, uden at give dem alt.

Et praktisk udgangspunkt for de fleste voksende SMV’er omfatter seks adgangskodebokse opdelt efter team:

Økonomi: Bogholderi, løn, bank, fakturering, skatteportaler, betalingsplatforme.
Marketing: Sociale medier, analyse, annoncering, indholdsadministration, designværktøjer.
Salg og kundeservice: CRM, tilbudsværktøjer, kundeportaler, supportplatforme.
Drift: Leverandørportaler, projektstyringsværktøjer, logistik, indkøb.
IT og sikkerhed: Adminkonsoller, sikkerhedskopikonti, enhedsadministration, DNS, hosting, infrastruktur.
Ledelse: Bestyrelsesmaterialer, investorportaler, tjenester på direktionsniveau, følsomme leverandørkonti.

Når boksstruktur og gruppeadgang arbejder sammen, kan admins administrere tilladelser i stor skala: Tildel en økonomigruppe til økonomiboksen, en IT-gruppe til infrastrukturboksene og en projektgruppe til midlertidigt kundearbejde. Adgangen skalerer derefter med organisationsdiagrammet i stedet for med en admins hukommelse.

Når basisstrukturen er på plads, kan du oprette begrænsede bokse, hvor risikoen berettiger det. Et IT-team kan have en generel IT-boks og en separat privilegeret admin-boks, som begge tildeles de relevante grupper.

Dette bliver afgørende i forbindelse med onboarding og offboarding. Ved at tilføje en person til en gruppe gives vedkommende alle nødvendige bokse på én gang, og ved at fjerne personen tilbagekaldes alt på én gang.

Målet er ikke at gøre boksene komplicerede. Målet er at undgå at blande legitimationsoplysninger med meget forskellige risikoniveauer. Et planlægningsværktøj til sociale medier bør ikke dele adgang med lønadministration.

Adgangskodeboksstrukturer til teams af forskellige størrelser

En meget lille virksomhed har ikke brug for boksarkitektur på enterprise-niveau. For meget struktur for tidligt kan skabe forvirring og sænke implementeringen.

Selv med én til to personer lægger det et fundament for vækst at adskille virksomhedens legitimationsoplysninger fra de personlige i separate bokse.

For et team på tre til ti personer kan et par brede bokse være nok: virksomhedens drift, økonomi, marketing og IT. Hovedprioriteten er at undgå én boks til det hele og holde de mest følsomme legitimationsoplysninger adskilt.

For et team på 10 til 50 personer skal boksstrukturen følge, hvordan virksomheden reelt er organiseret. På dette stadie bliver adgang til legitimationsoplysninger en del af hverdagen: Folk kommer til i teams, freelancere kommer ind til specifikke projekter, ledere får ansvaret for deres teams værktøjer, og admins har brug for en måde at gennemgå adgangen på uden at åbne hver enkelt legitimationsoplysning én ad gangen. Freelancere og eksterne samarbejdspartnere kan tildeles projektspecifikke bokse med afgrænset adgang, så de kun ser det, deres opgave kræver – og mister adgangen automatisk, når projektet slutter.

For teams på 50 eller flere personer – større SMV’er og teams i mellemmarkedet – skal boksene muligvis følge både afdelinger og roller. En afdelingsetiket er ikke altid specifik nok; nogen kan arbejde i økonomiafdelingen uden at have brug for bankadgang, eller supportere IT-driften uden at have brug for privilegerede admin-legitimationsoplysninger.

Strukturen skal passe til virksomheden, ikke omvendt. De følgende afsnit forklarer, hvordan strukturen gøres operationel gennem onboarding, offboarding og løbende adgangsgennemgange.

At indbygge struktur i onboardingen

Onboarding afslører ofte svag adgangskodeadministration. En ny medarbejder starter, og nogen skal huske, hvilke legitimationsoplysninger vedkommende har brug for, hvor adgangskoderne findes, hvem der kan dele dem, og hvilken adgang der bør vente til efter oplæring eller godkendelse.

En teambaseret model fjerner det behov for at huske. Når en ny medarbejder starter i økonomiafdelingen, behøver vedkommende ikke en kollega til manuelt at identificere og dele hver enkelt legitimationsoplysning. Vedkommende kan blot tilføjes til økonomigruppen for at få den nødvendige adgang. Ingen behøver at videresende links, indsætte adgangskoder i chatten eller huske, hvilke værktøjer økonomiteamet normalt bruger.

Personen skal blot tilføjes til økonomigruppen og arver automatisk de bokse og elementer, der er tildelt den – kun de legitimationsoplysninger, der er knyttet til den rolle. Det gør onboarding hurtigere og forhindrer, at følsomme konti spredes ud over det team, der har brug for dem. Folk kan begynde at arbejde uden at lede efter adgangskoder, mens virksomheden undgår at give bred adgang af bekvemmelighed.

Det er også her, en klar adgangskodepolitik hjælper. Protons guide om at oprette en adgangskodepolitik forklarer, hvordan virksomheder kan definere regler for oprettelse af adgangskoder, sikker deling, adgangsadministration og godkendelse. Reglerne bliver nemmere at anvende, når legitimationsoplysningerne allerede er organiseret efter team.

At gøre offboarding mere sikker

Med én delt virksomhedsboks er tilbagekaldelse alt-eller-intet: Den afgående medarbejder kan have berørt snesevis eller hundredvis af legitimationsoplysninger, hvilket betyder omfattende rotation af adgangskoder – eller, værre, at tidligere medarbejdere fortsat har adgang.

En præcis offboarding ser sådan ud:

Fjern personen fra team- og projektgrupper.
Gennemgå alle legitimationsoplysninger, personen ejede eller administrerede.
Rotér adgangskoder med højere risiko efter behov.

Virksomheden kan fokusere rotation og gennemgang på de legitimationsoplysninger, der faktisk indebærer en risiko, i stedet for at behandle hver adgangskode som en brandøvelse.

Det er her, oprettelse af grupper betaler sig. Hvis adgangen kun administreres via delte bokse, skal en admin tilbagekalde personens adgang fra hver boks én ad gangen. Med grupper fjerner man personen fra gruppen og tilbagekalder dermed alle bokse og elementer, der er tildelt gruppen, på én gang – én handling i stedet for en revision.

Den samme logik gælder, når nogen skifter rolle. En person, der skifter fra salg til drift, bør ikke som standard beholde gamle CRM-admin-legitimationsoplysninger. Rolleskift bør udløse en gennemgang af boksadgangen ligeså meget som fratrædelser. Med gruppebaseret adgang er gennemgangen hurtig: Flyt personen mellem grupper, og adgangen opdateres automatisk – de gamle CRM-legitimationsoplysninger forsvinder, og de nye driftsbokse tildeles, alt sammen i ét enkelt trin.

Bedre overblik for admins

God adgangskodehåndtering i teams giver admins et klart overblik over adgangen. De bør kunne besvare grundlæggende spørgsmål hurtigt.

Centrale adgangsspørgsmål, som admins skal kunne besvare

Hvem kan få adgang til økonomiafdelingens legitimationsoplysninger?
Hvilke bokse inkluderer eksterne konsulenter?
Hvilke brugere har adgang til admin-adgangskoder?
Hvilke legitimationsoplysninger deles på tværs af afdelinger?
Hvad ændrede sig, efter at en medarbejder fratrådte?
Hvilke bokse indeholder konti med høj risiko eller særlige rettigheder?

NCSC’s vejledning om identitets- og adgangsstyring(nyt vindue) lægger vægt på at kontrollere, hvem og hvad der kan få adgang til systemer og data. Den fremhæver også vigtigheden af at begrænse adgangen til det nødvendige og gennemgå adgangen regelmæssigt.

Det er svært, når adgangen er organiseret omkring bekvemmelighed frem for ansvar. En ryddelig boksstruktur giver admins et stærkere udgangspunkt for sikkerhedsrevisoner, adgangsgennemgange og kundeundersøgelser.

For IT-teams understøtter Proton Pass for Business centraliseret administration, politikker, sikker deling, rapportering og logs, SCIM-provisionering og SSO-integrationer. Teams får et centraliseret overblik, som adgangskoder gemt i browseren og delte regneark ikke giver.

Almindelige fejl i håndteringen af delte bokse

Problemer med delte bokse begynder typisk som genveje. De gør adgangen lettere her og nu, men de gør det også sværere senere at vide, hvem der kan bruge hvilke legitimationsoplysninger.

Fem fejl står for de fleste problemer med delte bokse i voksende virksomheder:

At beholde én fælles virksomhedsboks for længe

Én enkelt boks kan fungere i begyndelsen, men den ender med at give for mange personer adgang til legitimationsoplysninger uden for deres rolle.

At være afhængig af én admins viden

Hvis kun én person ved, hvor de kritiske legitimationsoplysninger findes, er virksomheden afhængig af hukommelse i stedet for processer – og den viden forsvinder ud ad døren sammen med personen.

At behandle boksadgang som permanent

Personer skifter rolle, eksterne konsulenter afslutter projekter, og leverandører trækker sig ud. Boksadgangen bør ændres sammen med dem.

At glemme rotation af legitimationsoplysninger

Nogle adgangskoder skal ændres efter fratrædelser, rolleskift eller perioder med for bred deling, især for admin-konti, økonomiværktøjer, kundesystemer og leverandørportaler.

At blande daglige logins med adgang med særlige rettigheder

En teamboks kan gøre det daglige arbejde lettere, men legitimationsoplysninger med høj risiko kræver stadig en strengere gennemgang og snævrere adgang.

Hver af disse fejl har samme rodårsag – adgang organiseret omkring bekvemmelighed – og samme kur: en struktur, der afspejler team, roller og risiko.

Sådan understøtter Proton Pass for Business adgangskodehåndtering i teams

Proton Pass for Business hjælper virksomheder med at gå fra uformel deling af adgangskoder til struktureret håndtering af legitimationsoplysninger. Teams kan generere stærke adgangskoder, gemme legitimationsoplysninger i krypterede bokse, dele adgang sikkert og administrere virksomhedens adgangskoder fra ét sted.

En adgangskodeadministrator til virksomheder giver teams et sikrere sted at gemme og dele legitimationsoplysninger, men strukturen omkring dem betyder stadig noget. For voksende teams er næste skridt at sikre, at den delte adgang afspejler, hvordan folk faktisk arbejder: efter afdeling, rolle, projekt og risikoniveau.

Med grupper i Proton Pass administreres adgang til legitimationsoplysninger på det niveau, hvor teams faktisk arbejder: Admins tildeler bokse og elementer til grupper, der afspejler deres afdelinger eller projekter, og ændringer i medlemskabet opdaterer adgangen automatisk – tilføjelse af en ny medarbejder giver alt, hvad personen har brug for, og fjernelse tilbagekalder det hele.

En klarere struktur gør sikker deling lettere at administrere i arbejdsgangen. Legitimationsoplysningerne er organiseret omkring de teams og roller, der faktisk bruger dem, admins har et bedre overblik over adgangen, og medarbejderne kan finde de adgangskoder, de har brug for, uden at flytte hemmeligheder til chat, e-mail eller personlige noter.

Organisér teamets adgang til legitimationsoplysninger med en adgangskodeadministrator til virksomheder.

Teamets adgangskodeadministration: Sådan organiserer du adgangskodebokse efter afdeling