De flesta företag inser inte att de har ett lösenordsproblem förrän ett problem tvingar dem att inse det, till exempel ett adminlösenord som sparas i ett kalkylblad, eller inloggningsuppgifter som är aktiva för teammedlemmar som lämnade ditt företag för flera år sedan.

Detta är en vanlig förekomst. I Storbritannien visade regeringens Cyber Security Breaches Survey 2024(nytt fönster) att 50 % av företagen upptäckte ett intrång eller en attack mot cybersäkerheten under de senaste 12 månaderna, vilket stiger till 70 % av medelstora företag och 74 % av stora företag.

I den här situationen är en lösenordsrevision en av de mest värdefulla åtgärder ditt företag kan vidta för att förbli säkert. Det är ett praktiskt sätt att upptäcka risker med inloggningsuppgifter som tenderar att byggas upp i tysthet i bakgrunden genom svaga lösenord, obehörig åtkomst, vilande konton och inloggningar lagrade utanför godkända system.€

Särskilt för små och medelstora organisationer kan den här typen av granskning bidra till betydande säkerhetsförbättringar utan att spendera pengar eller genomföra ett komplext förändringsprogram.

Den här artikeln förklarar hur du genomför en lösenordsrevision för ditt företag, vad du ska leta efter och hur du förvandlar processen från en engångsuppstädning till en mer konsekvent säkerhetsrutin.

Vad är en lösenordsrevision?

En lösenordsrevision är en systematisk granskning av lösenord, konton och åtkomstbehörigheter som används i ett företag. Syftet är att identifiera risker kopplade till inloggningsuppgifter, såsom svaga lösenord, återanvända lösenord, föråldrade inloggningar, inaktiva konton, överdriven åtkomst och inloggningsuppgifter lagrade utanför godkända system.

I praktiken handlar en lösenordsrevision om mer än att bara kontrollera om ett lösenord är tillräckligt starkt. Den tittar även på:

  • Hur lösenord hanteras i din organisation
  • Vem som har åtkomst till vad och om den åtkomsten fortfarande är nödvändig€
  • Hur lösenord lagras och delas
  • Om ditt företag har tillräcklig insyn för att upptäcka risker innan de blir ett säkerhetsproblem

Detta breda omfång är vad som gör en lösenordsrevision användbar. I de flesta organisationer skapas inte risker med inloggningsuppgifter av ett enda dåligt lösenord. De byggs upp gradvis genom små brister i tillsynen, inkonsekventa åtkomstkontroller, dåliga lagringsvanor och konton som förblir aktiva långt efter att de borde ha granskats eller tagits bort.

En effektiv lösenordsrevision hjälper till att synliggöra dessa problem. Den ger företag en tydligare förståelse för sin nuvarande lösenordshygien och skapar en praktisk grund för att förbättra åtkomstkontrollen, strama åt hanteringen av inloggningsuppgifter och minska onödig exponering över tid. Den här typen av granskning är mycket lättere att genomföra när du använder en lösenordshanterare för företag med adminverktyg som stöder insyn, åtkomstgranskning och policyefterlevnad.

Så genomför du en säkerhetsrevision av lösenord: ett praktiskt ramverk i fem steg

En användbar lösenordsrevision behöver inte börja med en perfekt kartläggning av varje konto, verktyg och åtkomstsökväg i företaget. Det krävs bara en tydlig struktur och ett kontrollerat system för att hantera inloggningsuppgifter. Utan dessa två saker kan processen snabbt bli för bred och för lätt att skjuta upp.€

Sättet att bryta mönstret av att undvika lösenordsrevisioner är att centralisera lösenordshanteringen, definiera ägarskap och granska åtkomst genom ett godkänt arbetsflöde.

Här är en djupgående guide till att genomföra din egen lösenordsrevision:

Steg 1: Skapa en fullständig inventering av inloggningsuppgifter

Börja med att bygga upp en fungerande inventering av de system som ditt företag är beroende av. Det inkluderar de uppenbara kärnplattformarna, såsom:

  • E-post€
  • Ekonomiverktyg
  • Molnlagring
  • Samarbetsmjukvara€
  • CRM-system
  • Admin-konsoler
  • Alla miljöer som innehåller företags- eller kunddata€

Det bör också inkludera mindre uppenbara verktyg och tjänster som är aktiva i ditt nätverk:

  • Delade sociala konton
  • Vilande SaaS-prenumerationer
  • Konsultverktyg
  • Testmiljöer
  • Tjänster som antagits av enskilda team utan central tillsyn

Att katalogisera varje verktyg är viktigt eftersom de flesta risker med inloggningsuppgifter börjar med ofullständig insyn. Om du inte vet vilka verktyg som används kan du inte granska hur åtkomst hanteras för dem.

Företag som redan använder en lösenordshanterare för företag som Proton Pass for Business påbörjar sin lösenordsrevision med en praktisk fördel eftersom inloggningsuppgifter ligger i krypterade valv.

Steg 2: Kartlägg åtkomst mot verksamhetens behov

När du har en tydligare bild av dina system är nästa steg att undersöka åtkomsten. Du behöver granska om rätt personer fortfarande har rätt nivå av åtkomst till rätt verktyg.

Börja med att titta på varje nyckelsystem och fråga vem som för närvarande har åtkomst, om det speglar deras nuvarande ansvarsområden och om några konton har bredare behörigheter än nödvändigt.

I många företag utökas åtkomsten gradvis över tid. Breda adminbehörigheter kan beviljas för bekvämlighets skull och tas aldrig bort, till exempel. Konsulter kan behålla sin åtkomst efter att ett projekt har avslutats, eller så kan teammedlemmar byta roller och behålla behörigheter från tidigare roller.

Den typen av glidning ökar riskerna även när själva lösenordet är starkt. NCSC:s vägledning(nytt fönster) om åtkomstkontroll rekommenderar att konton endast tilldelas auktoriserade personer och att användare ges minsta möjliga åtkomst och behörigheter som de behöver, eftersom vem som helst kan bli en säkerhetsrisk. En lösenordsrevision bör därför undersöka orsaken bakom varje åtkomstnivå.

Steg 3: Gör en kontroll av lösenordshälsan

Det här steget i lösenordsrevisionen är till för att identifiera eventuella återanvända eller svaga lösenord, inaktiv tvåfaktorsautentisering (2FA), föråldrade inloggningar och osäkra lagringsvanor som gör att uppgifterna riskerar att avslöjas.

Vid den här tidpunkten bör granskningen fokusera på några praktiska frågor:

  • Är lösenorden unika för varje konto?€
  • Är några lösenord svaga eller lätta att gissa?
  • Används gamla inloggningsuppgifter fortfarande utan att de har redovisats?,
  • Skriver anställda ner sina lösenord i webbläsarens lagringsutrymme eller i anteckningsappar istället för i företagsgodkända system?
  • Är 2FA aktiverat överallt där det är möjligt?

Proton Pass for Business hjälper dig med Pass Monitor, som inkluderar:€

  • Verktyg för kontroll av lösenordshälsa för att automatiskt upptäcka upprepade eller svaga lösenord och inaktiv 2FA
  • Övervakning av dark web för att varna dig om dina inloggningsuppgifter är inblandade i intrång
  • Proton Sentinel för att upptäcka och blockera misstänkt inloggningsaktivitet som kan leda till kontoövertagande

Steg 4: Granska inaktiva konton

Ett av de snabbaste sätten att minska risken med inloggningsuppgifter är att helt enkelt ta bort det som inte längre behöver finnas kvar. De flesta företag samlar på sig inaktiva konton över tid. Till exempel:

  • Tidigare anställda som fortfarande har åtkomst till ditt företags verktyg
  • Gamla SaaS-plattformar som förblir kopplade till giltiga företagsinloggningsuppgifter långt efter att användningen har upphört
  • Delade konton utformade för kortvarig användning som slutar med att de förblir aktiva i månader eller år eftersom ingen vet vem som äger dem€

Dessa konton drar till sig mindre uppmärksamhet än aktiva, vilket gör dem särskilt lätta att förbise. Denna granskning ligger också i nära linje med bredare efterlevnadsrutiner.

En gedigen granskning av företagets lösenord måste innehålla en medveten ansträngning för att:

  • Ta bort vilande åtkomst
  • Stäng föråldrade konton
  • Bekräfta ett tydligt ägarskap för de system som finns kvar

Proton Pass for Business hjälper till att minska den friktion som ofta håller dessa konton vid liv genom att göra ägarskapet tydligare, åtkomsten lättare att granska och ändringar av inloggningsuppgifter lättare att hantera när personer slutar eller roller ändras.

Steg 5: Åtgärda och standardisera

Det sista steget är att omsätta det du hittat i handling. En lösenordsrevision förbättrar endast din organisations säkerhet om problemen den avslöjar åtgärdas på ett strukturerat sätt.

När du har identifierat brister kan du bygga en plan som är systematisk snarare än reaktiv. Här är en enkel checklista för en lösenordsrevision:

  • Ändra omedelbart svaga eller exponerade inloggningsuppgifter.
  • Ersätt återanvända lösenord med unika.
  • Aktivera 2FA överallt, med början på kritiska konton.
  • Ta bort inaktiva eller onödiga konton.
  • Återkalla överflödiga behörigheter.
  • Flytta ut inloggningsuppgifter från kalkylblad, dokument eller webbläsarens lagringsutrymme.
  • Konsolidera lösenordslagringen till ett godkänt företagssystem.
  • Uppdatera dina policyer för lösenord och åtkomst.

Det här är också rätt tillfälle att anpassa tekniska åtgärder efter policyn. Om din nuvarande lösenordspolicy är diffus, inte upprätthålls eller är orealistisk, kommer din revision helt enkelt att visa samma problem igen om sex månader.

Lösenordsrevisioner och lösenordspolicyer fungerar mycket bra ihop: Protons guide till att skapa en lösenordspolicy är en utmärkt kompletterande resurs. Och du kan enkelt komma igång med vår mall för lösenordspolicy.

Åtgärderna måste prioriteras efter risk, inte efter ordning och reda. Börja med admin-konton, system som innehåller känsliga data, externt exponerade tjänster och delade inloggningsuppgifter med otydligt ägarskap. Arbeta dig sedan utåt.

Varför hoppar företag över lösenordsrevisioner?

Om lösenordsrevisioner är så användbara, varför bryr sig så många företag inte om att genomföra dem? Processen kan kännas svårare att påbörja än den faktiskt är.

I många organisationer lagras inloggningsuppgifter på alldeles för många platser för att enkelt kunna granskas. Vissa anställda sparar lösenord i webbläsare. Andra sparar dem i kalkylblad, delade dokument, anteckningsappar eller interna meddelanden.€

Olika team kan använda sina egna verktyg, köpa mjukvara på egen hand eller hantera åtkomst informellt. Som ett resultat kan företaget tappa kontrollen över vilka system som används och vem som har åtkomst till dem, vilket gör det svårt att identifiera och åtgärda säkerhetsrisker.

Frånvaron av ett centraliserat system gör detta ännu svårare. Utan en enda plats för att hantera företagets inloggningsuppgifter kan till och med en grundläggande säkerhetsrevision av lösenord förvandlas till ett manuellt arbete baserat på gissningar, skärmdumpar och individuella minnen. Många små och medelstora företag skjuter upp granskningen av sina lösenordsrutiner eftersom de antar att det krävs ett fullskaligt säkerhetsprojekt. In reality, the first step is simply to create structure around what already exists.

Lösenordsrevisioner förbises också ofta eftersom risker med inloggningsuppgifter tenderar att byggas upp i tysthet. Till skillnad från ett mjukvaruavbrott eller en nätfiskeincident är bristande lösenordshygien inte alltid uppenbar. Svaga lösenord, onödig åtkomst, vilande konton och informella delningsmetoder kan finnas kvar i månader utan att dra till sig uppmärksamhet. När de väl upptäcks är de ofta djupt integrerade i den dagliga verksamheten.

En lösenordsrevision lyfter upp denna dolda risk till ytan. Den samlar in bevis och ger en organisation den insyn och det ägarskap som krävs för att stärka åtkomstkontrollen, förbättra lagringsrutinerna och fatta mer konsekventa säkerhetsbeslut.

Förvandla din lösenordsrevision till en fortlöpande kontroll

En lösenordsrevision blir mycket mer värdefull när den är en del av en fortlöpande rutin snarare än en engångsgranskning. Risken med inloggningsuppgifter fortsätter att växa om den inte åtgärdas. Åtkomsten ändras i takt med att personer börjar, slutar, byter roller, börjar använda nya verktyg eller arbetar med externa partner under begränsade perioder. Om en granskning bara sker en gång börjar resultaten åldras nästan omedelbart.

Centraliserad lösenordshantering är din bästa investering. Det ger IT-team mer än bara en säker plats att lagra inloggningsuppgifter på. Det skapar den insyn och kontroll som krävs för att granska åtkomsten mer konsekvent, upprätthålla starkare standarder och reagera snabbare när något behöver åtgärdas.

Att välja en lösenordshanterare för IT-team stöder denna driftsmodell genom effektiva adminpaneler, centraliserad administration, teampolicyer, rollbaserad åtkomst, SCIM-etablering, SSO och revisionsloggar, vilket gör lösenordshanteringen till en starkare drifts- och efterlevnadskontroll.