Organisasjonen din har ikke lenger råd til å overlate passordsikkerhet til individuelle teammedlemmer. Til tross for de beste intensjoner, tyr mennesker ofte til praktiske, men risikable vaner, som å lagre påloggingsinformasjon i nettlesere, regneark eller på klistrelapper.
En sterk retningslinje for passord etablerer en tydelig standard som kan håndheves for hvordan passord opprettes, lagres, deles, gjennomgås og beskyttes på tvers av organisasjonen. En moderne retningslinje reduserer risiko knyttet til påloggingsinformasjon, støtter samsvar og skaper konsekvent tilgangssikkerhet på tvers av systemer, team og arbeidsflyter.
Dette er ikke noe bedrifter har råd til å ignorere. Verizons «2025 Data Breach Investigations Report» fant at misbruk av påloggingsinformasjon sto for 22 % av de viktigste innledende angrepsvektorene i bekreftede brudd. Kostnaden ved dårlig sikkerhet for påloggingsinformasjon viser seg også i driftsforstyrrelser, regulatorisk eksponering, omdømmeskade og den langvarige nedetiden som følger når team kjemper for å gjenopprette tapt eller kompromittert tilgang.
I tillegg til å utarbeide en retningslinje for passord, trenger organisasjonen din systemer og verktøy som gjør det enkelt å ta i bruk sikre vaner. Regler er ikke nok til å ivareta driftssikkerheten, for der det finnes friksjon, vil selv velmenende fagfolk ta snarveier. Målet er å gjøre god passordhygiene til den minste motstands vei.
Malen for retningslinjer for passord nedenfor kan hjelpe bedriften din med å holde seg oppdatert på gjeldende beste praksis og NIST-tilpasset veiledning. Du kan tilpasse den til en intern retningslinje, sikkerhetshåndbok eller styringskontroll for organisasjoner som trenger noe mer praktisk enn generelle råd.
Mal for retningslinje for passord (eksempel)
| Seksjon | Krav i retningslinjen (eksempeltekst) | Merknader om implementering |
| Omfang | Denne retningslinjen gjelder for alle ansatte, kontraktører, leverandører og tredjeparter som har tilgang til selskapets systemer eller data ved bruk av passordbasert autentisering. Den dekker alle systemer, inkludert SaaS-plattformer, skytjenester, interne verktøy, endepunkter og administrative miljøer. | Sørg for at ingen systemer eller brukergrupper faller utenfor omfanget. Inkluder leverandører og delte miljøer. |
| Brukeransvar | Alle brukere må opprette, lagre og administrere passord i samsvar med denne retningslinjen. Brukere må ikke dele påloggingsinformasjon, gjenbruke passord eller lagre dem på uautoriserte steder. Mistanke om kompromittert påloggingsinformasjon må rapporteres umiddelbart. | Inkluder i onboarding og sikkerhetsopplæring. |
| Ledelsens ansvar | Ledere må sørge for rettidig kommunikasjon om onboarding, rolleendringer og offboarding for å muliggjøre korrekt tilgangskontroll og oppdatering av påloggingsinformasjon. | Knytt opp mot HR-arbeidsflyter. |
| IT- og sikkerhetsansvar | IT- og sikkerhetsteam er ansvarlige for å håndheve denne retningslinjen, godkjenne verktøy for passordadministrasjon, overvåke etterlevelse og håndtere hendelser knyttet til påloggingsinformasjon. | Tildel et tydelig internt eierskap. |
| Passordlengde | Passord må oppfylle følgende minimumslengder: 15 tegn (standardkontoer), 16 tegn (privilegerte kontoer) og 20 tegn (delte kontoer eller tjenestekontoer der det er praktisk mulig). | Systemer bør støtte lange passord (ideelt sett opptil 64 tegn). |
| Opprettelse av passord | Passord må genereres tilfeldig ved hjelp av organisasjonens godkjente passordapp for bedrifter. Brukergenererte passord basert på mønstre, personopplysninger eller forutsigbare strukturer er ikke tillatt. | Proton Pass for Business kan automatisere opprettelsen av sterke, tilfeldige passord. |
| Unike passord | Passord må være unike for hver konto, hvert system og hver tjeneste. Gjenbruk på tvers av arbeidsrelaterte systemer, personlige kontoer eller klientmiljøer er strengt forbudt. | Håndhev gjennom verktøy og opplæring, ikke bare basert på hukommelse. |
| Testing av passordstyrke | Passord må ikke være svake, gjenbrukte eller tidligere eksponert i kjente databrudd. | Bruk systemer som støtter gjenkjenning av passord som har vært utsatt for brudd der det er mulig. |
| Forbudt praksis | Følgende er forbudt: gjenbruk av passord; bruk av personlige eller selskapsrelaterte begreper; forutsigbare mønstre; lagring av passord i ren tekst; deling av påloggingsinformasjon via e-post, chat eller notater. | Hold denne seksjonen eksplisitt for å fjerne tvil. |
| Flerfaktorautentisering (MFA) | MFA må være aktivert på alle systemer som støtter det, spesielt for e-post, identitetsleverandører, fjerntilgang, økonomisystemer, HR-plattformer og administrative kontoer. | Prioriter høyrisikosystemer først. |
| Lagring av passord | All påloggingsinformasjon må kun lagres i organisasjonens godkjente passordapp. Lagring i nettlesere eller lokale verktøy er ikke tillatt med mindre det er sentralt administrert og godkjent. | Proton Pass for Business tilbyr krypterte hvelv med kontrollert tilgang. |
| Forbudte lagringsmetoder | Passord må ikke lagres i regneark, dokumenter, e-postutkast, sakssystemer, delte stasjoner eller personlige notater. | Utfør jevnlige revisjoner av disse, da de er svært vanlige. |
| Deling av passord | Passord må ikke deles gjennom uformelle kanaler. Der deling er nødvendig, må det skje gjennom godkjente sikre systemer som støtter tilgangskontroll, revisjon og tilbakekalling. | Proton Pass for Business muliggjør sikker deling av påloggingsinformasjon uten å eksponere selve passordet. |
| Delte kontoer | Påloggingsinformasjon for delte kontoer eller tjenestekontoer må ha en utpekt eier, begrenset tilgang, sikker lagring og regelmessig gjennomgang. Påloggingsinformasjon må roteres når det skjer endringer i personell eller ved mistanke om kompromittering. | Foretrekk individuelle kontoer der det er mulig. |
| Opplæring og bevisstgjøring | Alle brukere må fullføre sikkerhetsopplæring for passord og påloggingsinformasjon ved oppstart og med jevne mellomrom deretter. Opplæringen må inkludere passordbehandling, bruk av MFA, bevissthet rundt nettfisking og rapportering av hendelser. | Hold opplæringen praktisk og oppdatert. |
| Hendelseshåndtering | Enhver mistenkt eller bekreftet kompromittering av påloggingsinformasjon må rapporteres umiddelbart. Berørt påloggingsinformasjon må tilbakestilles, økter må tilbakekalles, og tilgang må gjennomgås. Hendelser må dokumenteres. | Responshastighet betyr mer enn perfeksjon. |
| Rapporteringskrav | Brukere må rapportere mistenkt eksponering av påloggingsinformasjon gjennom den utpekte rapporteringskanalen. Ingen disiplinærtiltak vil følge av rapportering gjort i god tro. | Oppmuntrer til tidlig rapportering. |
| Overvåking og logging | Autentiseringsaktivitet må logges der det er gjennomførbart, inkludert påloggingsforsøk, endringer i påloggingsinformasjon og privilegert tilgang. Logger bør gjennomgås med jevne mellomrom for avvik. | Fokuser på høyrisikosystemer først. |
| Utfasering og tilbakekalling av tilgang | Ved endring av rolle eller oppsigelse må tilgang fjernes umiddelbart. Delt påloggingsinformasjon må gjennomgås og roteres der det er nødvendig. | Viktig, da dette er et av de vanligste feilpunktene for organisasjoner. |
| Samsvarsjustering | Denne retningslinjen støtter organisasjonens samsvar med anerkjente rammeverk, som kravene til tilgangskontroll i NIST og ISO 27001. | Nyttig for revisjoner og styring. |
| Håndheving | Unlatelse av å følge denne retningslinjen kan føre til ny opplæring, tilgangsbegrensninger eller disiplinærtiltak, avhengig av alvorlighetsgrad. | Bruk konsekvent. |
| Gjennomgangssyklus | Denne retningslinjen må gjennomgås minst årlig eller etter betydelige endringer i systemer, risikoer eller regulatoriske krav. | Tildel en eier for oppdateringer. |
Hva er en passordretningslinje? Definisjon, formål og målsettinger
En passordretningslinje er et formelt sett med regler som definerer hvordan påloggingsinformasjon opprettes, administreres, lagres og beskyttes på tvers av en organisasjons systemer.
Konseptet med en passordretningslinje høres enkelt ut, men effekten er bred. Det er mye mer enn bare å pålegge bruk av en passordapp for bedrifter for påloggingsinformasjon i jobbmenheng. I moderne organisasjoner fungerer passordretningslinjer som fundamentet for identitetssikkerhet.
Uten en konsekvent retningslinje som styrer hvordan påloggingsinformasjon håndteres på tvers av systemer, har passordpraksis en tendens til å bli fragmentert, og organisasjoner mister gradvis oversikten over hvordan tilgang faktisk blir administrert.
Formålet med en sterk passordretningslinje
En veldefinert passordretningslinje adresserer sikkerhetshull ved å sette klare forventninger til hvordan påloggingsinformasjon skal håndteres i organisasjonen din. Den etablerer konsekvente standarder for opprettelse, lagring, deling og livssyklushåndtering av passord.
Passordretningslinjer spiller også en viktig rolle i styring og samsvar. Sikkerhetsrammeverk som NIST Digital Identity Guidelines(nytt vindu) og standarder som ISO 27001(nytt vindu) understreker viktigheten av sterk autentiseringspraksis som en del av moderne tilgangskontroll.
Organisasjoner som håndterer sensitive data, spesielt personopplysninger, finansielle poster eller proprietær forretningsinformasjon, forventes i økende grad å demonstrere at tilgang til disse systemene styres av dokumenterte sikkerhetskontroller.
Med en passordretningslinje definerer organisasjonen din minimumskravene for å opprette, lagre, dele og administrere passord som brukes til å få tilgang til selskapets systemer, tjenester, enheter, applikasjoner og data.
Hva bør en passordretningslinje gjøre?
Et dokument for passordretningslinjer er ment å:
- Redusere passordrelaterte sikkerhetshendelser
- Forhindre gjenbruk av passord og usikker lagringspraksis
- Kreve sikker opprettelse og praksis for passordbehandling
- Støtte sikker tilgang på tvers av ansatte, leverandører og systemer
- Styrke revisjonsberedskap og styring av tilgang
- Definere responsprosedyrer for kompromittert påloggingsinformasjon
Sammen bidrar disse målene til å sikre at passordsikkerhet behandles som en operasjonell standard snarere enn en uformell forventning.
Passordretningslinje: omfang, roller og ansvar
En sterk passordretningslinje bør tydeliggjøre to ting. For det første bør den klart definere hvilke brukere, systemer og data som må følge retningslinjen.
For det andre bør den klargjøre hvem som er ansvarlig for å følge, implementere og vedlikeholde disse standardene i hele organisasjonen din.
Definer omfanget av passordretningslinjen din
I moderne organisasjoner er tilgang sjelden begrenset til fulltidsansatte på interne nettverk. Entreprenører, forhandlere og tjenesteleverandører kan alle trenge tilgang til bedriftens systemer, så retningslinjen bør gjelde for alle som samhandler med selskapets systemer eller data gjennom passordbasert autentisering.
Den bør også gjelde på tvers av hele teknologimiljøet, inkludert:
- Skyplattformer
- SaaS-verktøy
- Interne systemer
- Utviklingsmiljøer
- Administrasjonskonsoller
- Delte driftskontoer
Dette er viktig fordi angripere sjelden skiller mellom primære og sekundære systemer når de ser etter inngangspunkter.
Definer roller og ansvar i retningslinjen din for passord
Uten et tydelig eierskap blir passordbehandlingen fragmentert. Ansatte antar at IT håndterer sikkerheten automatisk, mens IT antar at brukerne følger beste praksis på egen hånd. Effektiv sikkerhet for påloggingsinformasjon krever koordinering på tvers av hele organisasjonen.
Mens ansatte og innleide opprettholder passordsikkerheten i sin daglige interaksjon med systemer, fører ledere tilsyn med tilgangsstyring under onboarding, rolleenheter og offboarding. IT- og sikkerhetsteam vil være ansvarlige for å implementere tekniske kontroller og overvåking av samsvar. Systemeierne skal også sørge for at standarder håndheves i applikasjonene og miljøene de administrerer.
Retningslinjer for passord med krav til minimum lengde og entropi
Passordlengde er en av de viktigste faktorene for å avgjøre styrken på en påloggingsinformasjon. Lengre passord øker antallet mulige kombinasjoner en angriper må teste dramatisk under et brute force-angrep.
Faktisk anbefaler NIST(nytt vindu) å prioritere passordlengde over strenge sammensetningsregler. I stedet for å tvinge brukere til å inkludere bestemte kombinasjoner av symboler, tall og store bokstaver, fokuserer moderne retningslinjer på å sikre at passordene er tilstrekkelig lange og sjekkes mot kjent kompromittert påloggingsinformasjon.
Organisasjoner bør derfor også sørge for at systemene deres støtter lengre og mer komplekse passord der det er teknisk gjennomførbart. Ved å gjøre dette kan sikkerhetsteam ta i bruk strengere standarder for påloggingsinformasjon over tid, og sikre at organisasjonen din er forberedt på å møte fremtidige sikkerhetskrav i utvikling.
Et sterkt passord bør oppfylle eller overgå disse hovedkravene:
- Tilstrekkelig lengde for å motstå brute force-angrep og automatiserte forsøk på knekking
- Unikt for en enkelt konto eller tjeneste, som forhindrer gjenbruk av påloggingsinformasjon på tvers av systemer
- Vanskelig å gjette, unngå personlig informasjon, selskapsreferanser eller forutsigbare mønstre
- Tilfeldig eller svært uforutsigbart, ideelt sett generert av en godkjent passordapp
- Ikke tidligere eksponert i kjente databrudn eller til stede i vanlige passordlister
Merk at passord basert på navn, fødselsdager, bedriftstermer eller enkle tastaturmønstre ofte kan knekkes raskt med automatiserte passordverktøy, uavhengig av lengde. Se vår detaljerte guide om krav til sterke passord for både privatpersoner og bedrifter.
Passordtilfeldighet og kompleksitet
Moderne sikkerhetsrammeverk anbefaler å generere passord tilfeldig i stedet for å be brukere om å finne dem opp manuelt. Tilfeldige passord generert av godkjente verktøy for passordadministrasjon gir betydelig sterkere beskyttelse fordi de unngår forutsigbare mønstre og kan lages med lengder som er upraktiske å huske.
For eksempel kan du bruke den sikre passordgeneratoren og praksisene for sikker håndtering av påloggingsinformasjon som er innebygd i Proton Pass. Sammen hjelper disse verktøyene med å generere sterke, uforutsigbare passord samtidig som de løser vanlige utfordringer rundt lagring, deling og livssyklusbehandling av passord.
Følgende minimumskrav kan inkluderes i en retningslinje for passord for å motvirke svake eller gjenbrukte passord:
- Passord for standard brukerkontoer må være minst 15 tegn lange.
- Passord for kontoer med utvidede rettigheter eller administratorkontoer må være minst 16 tegn lange.
- Påloggingsinformasjon for delte kontoer eller tjenestekontoer bør være minst 20 tegn lange der det er teknisk gjennomførbart.
- Systemer bør støtte passord på minst 64 tegn der det er mulig.
- Lange passfraser kan brukes der det er støttet og hensiktsmessig.
- Passord må oppfylle organisasjonens godkjente krav til styrke og kontroll før bruk.
Bruk av unike passord per system eller tjeneste
Gjenbruk av passord er en av de vanligste årsakene til sikkerhetshendelser knyttet til påloggingsinformasjon. Når det samme passordet brukes på tvers av flere tjenester, kan ett enkelt brudd eksponere tilgang til flere systemer samtidig.
Angripere utnytter rutinemessig denne oppførselen ved å bruke en teknikk kjent som credential stuffing, der stjålne brukernavn og passord fra én tjeneste testes automatisk på andre plattformer.
Av denne grunn er unikhet et krav som ikke er forhandlingsbart. Hver konto, tjeneste og system bør ha sitt eget passord som aldri gjenbrukes andre steder.
Å administrere dusinvis eller hundrevis av unike passord ville vært urealistisk uten støtte fra sikre verktøy for passordadministrasjon. Verktøy for passordadministrasjon for bedrifter gjør dette kravet praktisk ved å generere sterke passord automatisk og lagre dem sikkert, slik at ansatte kan opprettholde unik påloggingsinformasjon uten å måtte stole på hukommelsen.
Krav til multifaktorautentisering (MFA)
Multifaktorautentisering (MFA) er en av de mest effektive måtene å redusere risikoen for uautorisert tilgang på, spesielt i miljøer der påloggingsinformasjon kan bli eksponert gjennom nettfisking, skadelig programvare(nytt vindu) eller eksterne databrudd.
MFA fungerer ved å kreve at brukerne verifiserer identiteten sin gjennom minst to uavhengige faktorer før de får tilgang til en konto. Disse inkluderer:
- Noe brukeren vet (et passord)
- Noe de har (for eksempel en sikkerhetsnøkkel, autentiseringsapp eller mobilenhet)
- Noe de er (biometrisk autentisering som fingerprint eller ansiktsgjenkjenning).
Siden angripere sjelden har tilgang til alle disse faktorene samtidig, reduserer MFA sannsynligheten for at stjålet påloggingsinformasjon alene kan brukes til å kompromittere en konto betydelig.
Retningslinjer fra organisasjoner som NIST og CISA oppfordrer sterkt(nytt vindu) til bruk av multifaktorautentisering overalt hvor passordbasert tilgang brukes, spesielt for systemer som inneholder sensitive data eller gir administrative rettigheter.
Integrer MFA i retningslinjen din for passord
Organisasjonen din kan styrke innføringen av MFA ytterligere ved å bruke verktøy som gjør tofaktorautentisering enklere å distribuere og administrere på tvers av kontoer. For eksempel kan Proton Pass lagre og fylle ut tidsbaserte engangspassord (TOTP) sammen med lagret påloggingsinformasjon, noe som forenkler påloggingsflyten samtidig som autentiseringsdata holdes kryptert.
For organisasjoner som foretrekker å skille autentiseringsfaktorer, tilbyr Proton også en dedikert Proton Authenticator-app, som genererer sikre sekssifrede verifiseringskoder og kan synkronisere dem på tvers av enheter med ende-til-ende-kryptering. Autentiseringsappen fungerer frakoblet og har åpen kildekode, noe som lar organisasjoner implementere MFA på bedriftskontoer samtidig som de opprettholder åpenhet og sterkt personvern
Praksis for sikker deling av passord
Selv om mange sikkerhetsretningslinjer fraråder å dele passord i det hele tatt, kreves det likevel i virkelige forretningsmiljøer. Tjenestekontoer, leverandørtilgang og nødprosedyrer kan av og til kreve at flere autoriserte brukere har tilgang til samme påloggingsinformasjon.
Når deling skjer uformelt, som via e-post, chat eller muntlig kommunikasjon, blir påloggingsinformasjonen eksponert og vanskelig å kontrollere. Når den først er delt gjennom disse kanalene, finnes det vanligvis ingen pålitelig måte å spore hvem som har tilgang eller trekke den tilbake senere.
Retningslinjer for passord bør derfor definere hvordan og når deling er tillatt. I de fleste organisasjoner bør det bare skje gjennom godkjente verktøy for administrasjon av påloggingsinformasjon som gir tilgangskontroller, revisjon og muligheten til å tilbakekalle tilgang når det er nødvendig.
Prosedyrer for offboarding og tilbakekalling av tilgang
Når ansatte endrer roller, forlater organisasjonen eller leverandørforhold opphører, må tilgangen vurderes og justeres umiddelbart. Manglende tilbakekall av påloggingsinformasjon i tide er en av de vanligste kildene til uautorisert tilgang.
En sterk retningslinje for passord bør integreres med onboarding- og offboarding-prosesser, slik at tilgangsprivilegier oppdateres umiddelbart for å gjenspeile rolleendringer eller avganger, inkludert å deaktivere kontoer, rotere delt påloggingsinformasjon og tilbakekalle unødvendig systemtilgang.
Hvis flere personer hadde tilgang til en delt tjenestekonto, bør passordet roteres så snart det skjer endringer i personalet for å hindre at tidligere ansatte eller kontraktører beholder tilgangen etter at kontoene deres er deaktivert.
Bygg bro mellom retningslinjer for passord og menneskelige vaner
Retningslinjer for passord er bare effektive hvis folk følger dem.
I de fleste organisasjoner skjer ikke feil fordi retningslinjer mangler; de skjer fordi retningslinjene ikke er innfelt i de daglige arbeidsflytene. Ansatte tar snarveier når prosesser er uklare, verktøy er utilstrekkelige eller forventninger ikke blir håndhevet. Når den implementeres riktig (og i kombinasjon med en passordapp for bedrifter), erstatter en sterk retningslinje for passord uformelle vaner med konsekvente kontroller, reduserer risiko knyttet til påloggingsinformasjon og gjør sikker tilgangsadministrasjon til en del av den daglige driften, ikke bare en ettertanke.
