Passordadministrering for team: Slik organiserer du passordhvelv etter avdeling

Passordadministrering for team er enkelt med tre personer. Ved 15 personer begynner det å rakne.

Et lite firma kan ha en håndfull verktøy, noen delte kontoer og vanligvis ett uformelt sted der passordene befinner seg: et regneark, en festet melding i en chat eller et delt dokument.

Etter hvert som flere personer blir med i et firma, gjør uformell deling det vanskelig å se forskjellen mellom nyttig tilgang og risikofylt tilgang. Passord for hverdagsverktøy ender opp blandet sammen med påloggingsinformasjon for økonomi-, administrator-, kunde- og infrastruktursystemer. Listen kan fortsatt se organisert ut utenfra, men den gjenspeiler ikke lenger hvem som faktisk trenger tilgang til hva.

Etter hvert som et firma vokser, trenger delt påloggingsinformasjon struktur og kontroll: hvem som kan få tilgang til hvert passord, hvilken avdeling som eier påloggingsinformasjonen, og hvordan tilgangen endres når personer blir med, slutter og skifter rolle.

Vi forklarer hvordan du organiserer passordhvelv etter team eller avdeling, hvordan gruppebasert tilgang støtter prinsippet om minst mulige rettigheter, og hvordan du gjør onboarding og offboarding sikrere – før spredning av påloggingsinformasjon blir et sikkerhets- og driftsproblem.

Hvorfor delt passordtilgang ikke skalerer

Uformell deling er vanligvis den første modellen voksende firmaer støtter seg på. Uformell deling er bygget for bekvemmelighet: passord kan ligge i et regneark, en chattråd eller i noens nettleser, og ingen trenger å be om tilgang hver gang de trenger en pålogging.

Denne bekvemmeligheten veies raskt opp av kaos og risiko. Når flere team, konsulenter, kunder og verktøy kommer inn i firmaet, blir den delte listen for bred i forhold til arbeidet folk faktisk gjør. Økonomiteamet kan trenge påloggingsinformasjon for bank, lønn og fakturering, men ikke for annonsekontoer eller utviklerverktøy, for eksempel. Markedsavdelingen kan trenge tilgang til analyse, innhold og sosiale medier, men ikke til juridiske portaler eller infrastrukturpåloggingsinformasjon.

Sprekkene viser seg i hverdagen, men offboarding er der denne modellen blir farlig. Når noen slutter, har firmaet ingen pålitelig måte å finne ut hvilken påloggingsinformasjon de hadde tilgang til, kopiert eller fortsatt husker. Å rotere et passord betyr å distribuere det nye på nytt gjennom de samme ubeskyttede kanalene, uten oversikt over hvem som mottok det. Med den innsatsen for øyne hopper mange firmaer over rotasjonen.

En passordapp for bedrifter med strukturerte hvelv og gruppebasert tilgang erstatter upresisitet med kontroll: tilgang kan gis, gjennomgås og tilbakekalles bevisst.

Jo større hvelvet blir, jo mindre nyttig er det som tilgangskontroll. Det kan fortsatt lagre passord sikkert, men det gjenspeiler ikke lenger hvordan firmaet faktisk fungerer, hvem som eier hver enkelt påloggingsinformasjon, eller hvem som bør kunne bruke den.

Team basert tilgang støtter prinsippet om minst mulige rettigheter

Prinsippet bak tilgang til påloggingsinformasjon per avdeling er enkelt: personer skal bare ha tilgang til påloggingsinformasjonen de trenger for arbeidet sitt.

Prinsippet om minst mulige rettigheter er nyttig fordi det gir tilgang til påloggingsinformasjon en tydelig test: trenger denne personen denne påloggingsinformasjonen for å gjøre jobben sin, eller har personen den fordi tilgangen ble gitt én gang og aldri ble stilt spørsmål ved igjen? I passordadministrering for team bør det spørsmålet bestemme hvordan hvelv opprettes, hvem som blir med i dem, og når tilgang fjernes.

Dette er spesielt viktig for delt påloggingsinformasjon. En delt pålogging er allerede vanskeligere å styre enn en individuell konto, fordi mer enn én person kan bruke den.

Når den påloggingsinformasjonen også er tilgjengelig for personer som ikke trenger tilgang til den, bærer firmaet en risiko uten noen fordel: hver ekstra person som kan se den, er en ny enhet der den kan fylles ut automatisk, kopieres eller brukes til nettfisking. Firmaet kan vite at passordet er lagret et trygt sted, men ikke om alle med tilgang til hvelvet fortsatt har en gyldig grunn til å bruke det.

Grupper i Proton Pass for Business løser dette: administratorer kan organisere personer i grupper som speiler team, avdelinger eller prosjekter, og deretter tildele disse gruppene til bestemte hvelv og elementer, slik at tilgang følger rollen i stedet for en liste over individuelle tildelinger.

Hvelvstrukturen bør samsvare med risikoen. Driftsinnlogginger med lav risiko kan deles enkelt, mens administratorpåloggingsinformasjon, økonomiverktøy, HR-systemer, kundeeksporter og sikkerhetskopitilgang trenger strammere kontroller.

Hvordan en god hvelvstruktur ser ut

En nyttig hvelvstruktur bør hjelpe personer med å finne det de trenger, uten å gi dem alt.

Et praktisk utgangspunkt for de fleste voksende SMB-er inkluderer seks passordhvelv etter team::

• Økonomi: Regnskap, lønn, bank, fakturering, skatteportaler, betalingsplattformer.
• Markedsføring: Sosiale medier, analyse, annonsering, innholdsadministrering, designverktøy.
• Salg og kundesuksess: CRM, tilbudsverktøy, kundeportaler, støtteplattformer.
• Drift: Leverandørportaler, prosjektadministreringsverktøy, logistikk, innkjøp.
• IT og sikkerhet: Administratorkonsoller, sikkerhetskopikontoer, enhetsadministrering, DNS, hosting, infrastruktur.
• Ledelse: Styremateriell, investorportaler, tjenester på leder­nivå, sensitive leverandørkontoer.

Når hvelvstruktur og gruppetilgang fungerer sammen, kan administratorer administrere tillatelser i stor skala: tilordne en økonomigruppe til økonomihvelvet, en IT-gruppe til infrastrukturhvelv og en prosjektgruppe til midlertidig kundearbeid. Tilgangen skalerer da med organisasjonsdiagramet i stedet for med en administrators hukommelse.

Etter at grunnstrukturen er på plass, oppretter du begrensede hvelv der risikoen rettferdiggjør dem. Et IT-team kan ha et generelt IT-hvelv og et separat privilegiert administratorhvelv, begge tildelt de aktuelle gruppene.

Dette blir avgjørende under onboarding og offboarding. Å legge noen til i en gruppe gir dem alle nødvendige hvelv på én gang; å fjerne dem tilbakekaller alt på én gang.

Målet er ikke å gjøre hvelvene kompliserte. Målet er å unngå å blande påloggingsinformasjon med svært ulike risikonivåer. Et planleggingsverktøy for sosiale medier bør ikke dele tilgang med lønnsadministrering.

Passordhvelvstrukturer for ulike teamstørrelser

Et svært lite firma trenger ikke hvelvarbeitektur på bedriftsnivå. For mye struktur for tidlig kan skape forvirring og bremse innføringen.

Selv med én til to personer legger du et fundament for vekst ved å skille firmapåloggingsinformasjon fra privat i separate hvelv.

For et team på tre til ti personer kan noen brede hvelv være nok: firmaoperasjoner, økonomi, markedsføring og IT. Hovedprioriteten er å unngå ett hvelv for alt og holde den mest sensitive påloggingsinformasjonen adskilt.

For et team på 10 til 50 personer må hvelvstrukturen følge hvordan firmaet faktisk er organisert. På dette stadiet blir tilgang til påloggingsinformasjon en del av den daglige driften: personer blir med i team, konsulenter kommer inn for bestemte prosjekter, ledere blir ansvarlige for verktøyene teamene deres bruker, og administratorer trenger en måte å gå gjennom tilgang på uten å åpne hver enkelt påloggingsinformasjon én etter én. Konsulenter og eksterne samarbeidspartnere kan tildeles prosjektspesifikke hvelv uten omfattende tilgang, slik at de bare ser det oppdraget deres krever – og mister tilgangen automatisk når prosjektet er over.

For team på 50 eller flere – større SMB-er og team i mellommarkedet – kan hvelv måtte følge både avdelinger og roller. En avdelingsetikett er ikke alltid spesifikk nok; noen kan jobbe med økonomi uten å trenge banktilgang, eller støtte IT-driften uten å trenge privilegiert administratorpåloggingsinformasjon.

Strukturen bør passe firmaet, ikke omvendt. De følgende avsnittene forklarer hvordan du gjør den strukturen operativ gjennom onboarding, offboarding og løpende gjennomganger av tilgang.

Bygger struktur inn i onboarding

Onboarding avdekker ofte svak passordadministrering. En ny ansatt blir med, og noen må huske hvilken påloggingsinformasjon de trenger, hvor passordene befinner seg, hvem som kan dele dem, og hvilken tilgang som bør vente til etter opplæring eller godkjenning.

En teambilordnet modell fjerner den avhengigheten av hukommelse. Når en ny økonomiansatt begynner, trenger de ikke en kollega som manuelt identifiserer og deler hver enkelt påloggingsinformasjon. De kan rett og slett legges til i økonomigruppen for tilgangen de trenger. Ingen bør måtte videresende lenker, lime inn passord i en chat eller huske hvilke verktøy økonomiteamet vanligvis bruker.

Personen skal rett og slett legges til i økonomigruppen og arver automatisk hvelvene og elementene som er tildelt den – bare påloggingsinformasjonen knyttet til den rollen. Dette gjør onboarding raskere og hindrer sensitive kontoer i å spres utover teamet som trenger dem. Personer kan begynne å jobbe uten å jakte på passord, mens firmaet unngår å gi bred tilgang av hensyn til bekvemmelighet.

Det er også her tydelige passordretningslinjer hjelper. Protons veiledning om å lage passordretningslinjer forklarer hvordan bedrifter kan definere regler for oppretting av passord, sikker deling, tilgangsadministrering og autentisering. Disse reglene blir enklere å bruke når påloggingsinformasjon allerede er organisert etter team.

Gjør offboarding sikrere

Med ett delt firmahvelv er tilbakekalling alt-eller-ingenting: den avgående ansatte kan ha rørt dusinvis eller hundrevis av oppføringer med påloggingsinformasjon, noe som krever omfattende rotasjon eller – verre – at tidligere ansatte sitter med tilgang som lever videre.

En presis offboarding ser slik ut:

1. Gjennomgå all påloggingsinformasjon de eide eller administrerte.
2. Gjennomgå all påloggingsinformasjon de eide eller administrerte.
3. Roter passord med høyere risiko der det er nødvendig.

Bedriften kan konsentrere rotasjons- og gjennomgangsarbeidet om påloggingsinformasjonen som faktisk medfører risiko, i stedet for å behandle hvert passord som en brannøvelse.

Det er her det lønner seg å opprette grupper. Hvis tilgang bare administreres gjennom delte hvelv, må en administrator tilbakekalle personen fra hvert hvelv én etter én. Med grupper fjerner du personen fra gruppen, og alle hvelv og elementer som er tildelt gruppen tilbakekalles da på én gang – én handling i stedet for en revisjon.

Den samme logikken gjelder når noen bytter rolle. En person som går fra salg til drift, bør ikke beholde gammel påloggingsinformasjon for CRM-administrator som standard. Rolleendringer bør utløse en gjennomgang av hvelvtilgang like mye som avslutning av arbeidsforhold gjør. Med gruppebasert tilgang går denne gjennomgangen raskt: Flytt personen mellom grupper, og tilgangen oppdateres automatisk – gammel CRM-påloggingsinformasjon fjernes, nye driftshvelv tildeles, alt i ett enkelt trinn.

Bedre oversikt for administratorer

God passordadministrasjon i teamet gir administratorer en tydelig oversikt over tilgangen. De bør kunne svare raskt på grunnleggende spørsmål.

Viktige tilgangsspørsmål administratorer bør kunne svare på

• Hvem kan få tilgang til påloggingsinformasjonen til finansavdelingen?
• Hvilke hvelv inkluderer eksterne konsulenter?
• Hvilke brukere har tilgang til administratorpassord?
• Hvilken påloggingsinformasjon deles på tvers av avdelinger?
• Hva endret seg etter at en ansatt sluttet?
• Hvilke hvelv inneholder høyrisiko- eller priviligerte kontoer?

NCSCs veiledning om identitets- og tilgangsstyring(nytt vindu) legger vekt på å kontrollere hvem og hva som kan få tilgang til systemer og data. Den peker også på viktigheten av å begrense tilgangen til det som trengs, og å gå gjennom tilgangen regelmessig.

Dette blir vanskelig når tilgangen er organisert rundt bekvemmelighet i stedet for ansvar. En ryddig hvelvstruktur gir administratorer et bedre utgangspunkt for sikkerhetsgjennomganger, tilgangsgjennomganger og kundeundersøkelser.

For IT-team støtter Proton Pass for Business sentralisert administrasjon, retningslinjer, sikker deling, rapportering og logger, SCIM-provisjonering og SSO-integrasjoner. Teamene får sentralisert oversikt som passord lagret i nettleseren og delte regneark ikke gir.

Vanlige feil ved administrasjon av delte hvelv

Problemer med delte hvelv begynner vanligvis som snarveier. De gjør tilgangen enklere der og da, men gjør det også vanskeligere å vite hvem som kan bruke hvilken påloggingsinformasjon senere.

Fem feil ligger bak de fleste problemer med delte hvelv i voksende bedrifter:

Å beholde ett selskapshvelv i for lang tid

Ett hvelv kan fungere i starten, men før eller siden får for mange personer tilgang til påloggingsinformasjon som ligger utenfor rollen deres.

Å være avhengig av én administrators kunnskap

Hvis bare én person vet hvor kritisk påloggingsinformasjon finnes, er bedriften avhengig av hukommelse i stedet for prosesser – og den kunnskapen forsvinner ut døren sammen med personen.

Å behandle hvelvtilgang som permanent

Personer bytter rolle, konsulenter fullfører prosjekter, og leverandører slutter. Hvelvtilgangen bør endres sammen med dem.

Å glemme rotasjon av påloggingsinformasjon

Noen passord må endres etter at ansatte slutter, ved rolleendringer eller etter perioder med for vid deling, spesielt for administratorkontoer, finansverktøy, kundesystemer og leverandørportaler.

Å blande vanlige pålogginger med priviligert tilgang

Et teamhvelv kan gjøre hverdagen enklere, men påloggingsinformasjon med høy risiko krever fortsatt strengere gjennomgang og snevrere tilgang.

Alle disse feilene har samme rotårsak – en tilgang som er organisert rundt bekvemmelighet – og samme kur: en struktur som gjenspeiler team, roller og risiko.

Slik støtter Proton Pass for Business passordadministrasjon i team

Proton Pass for Business hjelper bedrifter med å gå fra uformell deling av passord til strukturert administrasjon av påloggingsinformasjon. Teamene kan generere sterke passord, lagre påloggingsinformasjon i krypterte hvelv, dele tilgang på en sikker måte og administrere bedriftens passord fra ett sted.

En passordapp for bedrifter gir teamene et tryggere sted å lagre og dele påloggingsinformasjon, men strukturen rundt påloggingsinformasjonen er fortsatt viktig. For team i vekst er neste steg å sørge for at delt tilgang gjenspeiler hvordan folk faktisk jobber: per avdeling, rolle, prosjekt og risikonivå.

Med grupper i Proton Pass administreres tilgang til påloggingsinformasjon på det nivået teamene faktisk jobber: Administratorer tildeler hvelv og elementer til grupper som gjenspeiler avdelingene eller prosjektene, og medlemsendringer oppdaterer tilgangen automatisk – legger du til en ny ansatt, får vedkommende alt som trengs; fjerner du personen, tilbakekalles alt.

En tydeligere struktur gjør sikker deling enklere å administrere i arbeidsflyten. Påloggingsinformasjonen er organisert rundt teamene og rollene som faktisk bruker den, administratorene har bedre oversikt over tilgangen, og de ansatte kan finne passordene de trenger uten å flytte hemmeligheter over til chat, e-post eller personlige notater.

Organiser teamets tilgang til påloggingsinformasjon med en passordapp for bedrifter.