Din organisation har inte längre råd att överlåta lösenordssäkerheten till enskilda teammedlemmar. Trots goda avsikter tenderar människor att falla tillbaka på bekväma men riskfyllda vanor, som att spara inloggningsuppgifter i webbläsare, kalkylblad eller på klisterlappar.
En stark lösenordspolicy fastställer en tydlig, tvingande standard för hur lösenord skapas, lagras, delas, granskas och skyddas i hela din organisation. En modern policy minskar risker kopplade till inloggningsuppgifter, ger stöd för efterlevnad och skapar enhetlig åtkomstsäkerhet i system, team och arbetsflöden.
Detta är inget som företag har råd att ignorera. Verizons Data Breach Investigations Report för 2025 fann att missbruk av inloggningsuppgifter stod för 22 % av de främsta inledande attackvektorerna vid bekräftade intrång. Kostnaden för bristande säkerhet för inloggningsuppgifter visar sig även i verksamhetsavbrott, exponering för regelverk, ryktesskada och den långvariga driftstopp som följer när team kämpar för att återställa förlorad eller komprometterad åtkomst.
Utöver att skapa en lösenordspolicy behöver din organisation system och verktyg som gör det enkelt att anamma säkra vanor. Regler räcker inte för att garantera verksamhetens säkerhet eftersom även yrkesmänniskor med goda avsikter tar genvägar där det finns friktion. Målet är att göra god lösenordshygien till den väg som ger minst motstånd.
Mallen för lösenordspolicy nedan kan hjälpa ditt företag att hålla sig till nuvarande bästa praxis och NIST-anpassad vägledning. Du kan anpassa den till en intern policy, säkerhetshandbok eller styrningskontroll för organisationer som behöver något mer praktiskt än allmänna råd.
Mall för lösenordspolicy (exempel)
| Avsnitt | Policykrav (exempelspråk) | Anteckningar om implementering |
| Omfattning | Denna policy tillämpas på alla anställda, entreprenörer, leverantörer och tredje parter som får åtkomst till företagets system eller data med hjälp av lösenordsbaserad autentisering. Den omfattar alla system, inklusive SaaS-plattformar, molntjänster, interna verktyg, slutpunkter och administrativa miljöer. | Säkerställ att inga system eller användargrupper hamnar utanför omfattningen. Inkludera leverantörer och delade miljöer. |
| Användaransvar | Alla användare måste skapa, lagra och hantera lösenord i enlighet med denna policy. Användare får inte dela inloggningsuppgifter, återanvända lösenord eller lagra dem på icke godkända platser. Misstänkt avslöjande av inloggningsuppgifter måste rapporteras omedelbart. | Inkludera i onboarding och säkerhetsutbildning. |
| Ledningsansvar | Chefer måste säkerställa snabb kommunikation vid onboarding, rollbyten och offboarding för att aktivera korrekt åtkomstkontroll och uppdateringar av inloggningsuppgifter. | Koppla till HR-arbetsflöden. |
| IT- och säkerhetsansvar | IT- och säkerhetsteam ansvarar för att upprätthålla denna policy, godkänna verktyg för lösenordshantering, övervaka efterlevnad och agera på incidenter relaterade till inloggningsuppgifter. | Tilldela ett tydligt internt ägarskap. |
| Lösenordslängd | Lösenord måste uppfylla följande minimilängder: 15 tecken (standardkonton), 16 tecken (privilegierade konton) och 20 tecken (delade konton eller tjänstekonton där det är möjligt). | System bör ha stöd för långa lösenord (helst upp till 64 tecken). |
| Skapande av lösenord | Lösenord måste genereras slumpmässigt med hjälp av organisationens godkända lösenordshanterare för företag. Användarskapade lösenord baserade på mönster, personuppgifter eller förutsägbara strukturer är inte tillåtna. | Proton Pass for Business kan automatisera skapandet av starka, slumpmässiga lösenord. |
| Unika lösenord | Lösenord måste vara unika för varje konto, system och tjänst. Återanvändning mellan arbetssystem, personliga konton eller klientmiljöer är strängt förbjuden. | Upprätthåll genom verktyg och utbildning, inte bara genom minnet. |
| Testning av lösenordsstyrka | Lösenord får inte vara svaga, återanvända eller tidigare ha exponerats i kända dataintrång. | Använd system som har stöd för upptäckt av lösenord som läckt vid intrång där det är möjligt. |
| Förbjudna metoder | Följande är förbjudet: återanvändning av lösenord; användning av personliga eller företagsrelaterade termer; förutsägbara mönster; lagring av lösenord i oformaterad text; delning av inloggningsuppgifter via e-post, chatt eller anteckningar. | Håll detta avsnitt explicit för att undvika tvetydighet. |
| Flerfaktorsautentisering (MFA) | MFA måste vara aktiverat på alla system som har stöd för det, särskilt för e-post, identitetsleverantörer, fjärråtkomst, finansiella system, HR-plattformar och administrativa konton. | Prioritera högrisksystem först. |
| Lösenordslagring | Alla inloggningsuppgifter får endast lagras i organisationens godkända lösenordshanterare. Lagring i webbläsare eller lokala verktyg är inte tillåten om den inte hanteras centralt och är godkänd. | Proton Pass for Business tillhandahåller krypterade valv med kontrollerad åtkomst. |
| Förbjudna lagringsmetoder | Lösenord får inte lagras i kalkylblad, dokument, e-postutkast, ärendehanteringssystem, delade enheter eller personliga anteckningar. | Granska dessa regelbundet eftersom de är mycket vanliga. |
| Delning av lösenord | Lösenord får inte delas via informella kanaler. Där delning krävs måste den ske via godkända säkra system som har stöd för åtkomstkontroll, granskning och återkallelse. | Proton Pass for Business möjliggör säker delning av inloggningsuppgifter utan att själva lösenordet exponeras. |
| Delade konton | Inloggningsuppgifter för delade konton eller tjänstekonton måste ha en utsedd ägare, begränsad åtkomst, säkert lagringsutrymme och granskas regelbundet. Inloggningsuppgifter måste roteras när personalförändringar sker eller om man misstänker att de har avslöjats. | Föredra individuella konton där det är möjligt. |
| Utbildning och medvetenhet | Alla användare måste genomföra säkerhetsutbildning för lösenord och inloggningsuppgifter vid introduktion och därefter med jämna mellanrum. Utbildningen måste innehålla lösenordshantering, användning av MFA, medvetenhet om nätfiske och incidentrapportering. | Håll utbildningen praktisk och aktuell. |
| Incidenthantering | Varje misstänkt eller bekräftat avslöjande av inloggningsuppgifter måste rapporteras omedelbart. Berörda inloggningsuppgifter måste återställas, sessioner återkallas och åtkomst granskas. Incidenter måste dokumenteras. | Svarstiden är viktigare än perfektion. |
| Rapporteringskrav | Användare måste rapportera misstänkt exponering av inloggningsuppgifter via den angivna rapporteringskanalen. Inga disciplinära åtgärder kommer att vidtas till följd av rapportering i god tro. | Uppmurtrar till tidig rapportering. |
| Övervakning och loggning | Autentiseringsaktivitet måste loggas där det är möjligt, inklusive inloggningsförsök, ändringar av inloggningsuppgifter och privilegierad åtkomst. Loggar bör granskas regelbundet för avvikelser. | Fokusera på högrisksystem först. |
| Avslutning och återkallande av åtkomst | Vid rollbyte eller uppsägning måste åtkomst tas bort omedelbart. Delade inloggningsuppgifter måste granskas och roteras vid behov. | Viktigt, eftersom detta är en av de vanligaste felpunkterna för organisationer. |
| Anpassning till efterlevnad | Denna policy stöder organisationens efterlevnad av erkända ramverk som kraven för åtkomstkontroll i NIST och ISO 27001. | Användbart för revisioner och styrning. |
| Genomförande | Underlåtenhet att följa denna policy kan leda till omutbildning, begränsningar av åtkomst eller disciplinära åtgärder beroende på allvarlighetsgrad. | Tillämpa konsekvent. |
| Granskningscykel | Denna policy måste granskas minst årligen eller efter betydande ändringar i system, risker eller lagstadgade krav. | Utse en ägare för uppdateringar. |
Vad är en lösenordspolicy? Definition, syfte och mål
En lösenordspolicy är en formell uppsättning regler som definierar hur inloggningsuppgifter skapas, hanteras, lagras och skyddas i en organisations system.
Konceptet med en lösenordspolicy låter enkelt men effekten är bred. Det är mycket mer än att bara kräva användning av en lösenordshanterare för företag för företagsinloggningsuppgifter. I moderna organisationer fungerar lösenordspolicyer som grunden för identitetssäkerhet.
Utan en konsekvent policy som styr hur inloggningsuppgifter hanteras mellan system tenderar lösenordspraxis att bli splittrad, och organisationer förlorar gradvis insyn i hur man faktiskt hanterar åtkomst.
Syftet med en stark lösenordspolicy
En väl definierad lösenordspolicy åtgärdar säkerhetsluckor genom att ställa tydliga förväntningar på hur inloggningsuppgifter ska hanteras i din organisation. Den fastställer konsekventa standarder för skapande, lagring, delning och livscykelhantering av lösenord.
Lösenordspolicyer spelar också en viktig roll för styrning och efterlevnad. Säkerhetsramverk som NIST Digital Identity Guidelines(nytt fönster) och standarder som ISO 27001(nytt fönster) betonar vikten av starka autentiseringsmetoder som en del av modern åtkomstkontroll.
Organisationer som hanterar känsliga data, särskilt personlig information, ekonomiska register eller skyddad affärsinformation, förväntas i allt högre grad kunna visa att åtkomst till dessa system styrs av dokumenterade säkerhetskontroller.
Med en lösenordspolicy definierar din organisation minimikraven för att skapa, lagra, dela och hantera lösenord som används för att få åtkomst till företagets system, tjänster, enheter, applikationer och data.
Vad ska en lösenordspolicy göra?
Ett dokument för lösenordspolicy är avsett att:
- Minska lösenordsrelaterade säkerhetsincidenter
- Förhindra återanvändning av lösenord och osäkra lagringsmetoder
- Kräva säkra metoder för skapande och hantering av lösenord
- Stödja säker åtkomst för anställda, leverantörer och system
- Stärka revisionsberedskap och åtkomststyrning
- Definiera svarsprocedurer för avslöjade inloggningsuppgifter
Tillsammans hjälper dessa mål till att säkerställa att lösenordssäkerhet behandlas som en operativ standard snarare än en informell förväntning.
Lösenordspolicy: omfattning, roller och ansvar
En stark lösenordspolicy bör tydliggöra två saker. För det första bör den tydligt definiera vilka användare, system och data som måste följa policyn.
För det andra bör den klargöra vem som ansvarar för att följa, implementera och upprätthålla dessa standarder i hela din organisation.
Definiera omfattningen av din lösenordspolicy
I moderna organisationer är åtkomst sällan begränsad till heltidsanställda på interna nätverk. Entreprenörer, leverantörer och tjänsteleverantörer kan alla behöva få åtkomst till företagets system, så policyn bör omfatta alla som interagerar med företagets system eller data via lösenordsbaserad autentisering.
Den bör också tillämpas i hela teknikmiljön, inklusive:
- Molnplattformar
- SaaS-verktyg
- Interna system
- Utvecklingsmiljöer
- Administrativa konsoler
- Delade driftskonton
Detta är viktigt eftersom angripare sällan skiljer på primära och sekundära system när de letar efter ingångspunkter.
Definiera roller och ansvarsområden i din lösenordspolicy
Utan ett tydligt ägarskap blir lösenordshanteringen fragmenterad. Anställda antar att IT hanterar säkerheten automatiskt, medan IT antar att användare följer bästa praxis på egen hand. Effektiv säkerhet för inloggningsuppgifter kräver samordning i hela din organisation.
Medan anställda och konsulter upprätthåller lösenordssäkerheten i sin dagliga interaktion med system, övervakar chefer styrningen av åtkomst under onboarding, rollbyten och offboarding. IT- och säkerhetsteam ansvarar för att implementera tekniska kontroller och övervaka efterlevnad. Systemägare ser också till att standarder efterlevs i de applikationer och miljöer de hanterar.
Riktlinjer för lösenordspolicy gällande minsta lösenordslängd och krav på entropi
Lösenordslängden är en av de viktigaste faktorerna för att avgöra styrkan hos inloggningsuppgifter. Längre lösenord ökar dramatiskt antalet möjliga kombinationer som en angripare skulle behöva testa under en brute force-attack.
Faktum är att NIST rekommenderar(nytt fönster) att prioritera lösenordslängd framför strikta regler för sammansättning. Istället för att tvinga användare att inkludera specifika kombinationer av symboler, siffror och versaler fokuserar moderna policyer på att säkerställa att lösenorden är tillräckligt långa och kontrolleras mot kända avslöjade inloggningsuppgifter.
Följaktligen bör organisationer också se till att deras system har stöd för längre och mer komplexa lösenord där det är tekniskt möjligt. Genom att göra det kan säkerhetsteam införa starkare standarder för inloggningsuppgifter över tid och säkerställa att din organisation är redo att möta framtida säkerhetskrav.
Ett starkt lösenord bör uppfylla eller överträffa dessa grundläggande krav:
- Tillräcklig längd för att motstå brute force-attacker och automatiserade knäckningsförsök
- Unikt för ett enskilt konto eller tjänst, vilket förhindrar återanvändning av inloggningsuppgifter mellan system
- Svårt att gissa, genom att undvika personlig information, företagsreferenser eller förutsägbara mönster
- Slumpmässigt eller högst oförutsägbart, helst genererat av en godkänd lösenordshanterare
- Inte tidigare exponerat i kända dataintrång eller förekommande i listor över vanliga lösenord
Notera att lösenord baserade på namn, födelsedagar, företagstermer eller enkla tangentbordsmönster ofta kan knäckas snabbt med automatiserade verktyg, oavsett längd. Se vår detaljerade guide om krav på starka lösenord för både privatpersoner och företag.
Lösenordens slumpmässighet och komplexitet
Moderna säkerhetsramverk rekommenderar att generera lösenord slumpmässigt snarare än att be användare hitta på dem manuellt. Slumpmässiga lösenord som genereras av godkända lösenordshanterare ger ett betydligt starkare skydd eftersom de undviker förutsägbara mönster och kan skapas med en längd som är opraktisk att komma ihåg.
Du kan till exempel använda den säkra lösenordsgeneratorn och de säkra metoderna för hantering av inloggningsuppgifter som finns inbyggda i Proton Pass. Tillsammans hjälper dessa verktyg till att generera starka, oförutsägbara lösenord samtidigt som de löser vanliga utmaningar kring lagring, delning och livscykelhantering av lösenord.
Följande minimikrav kan inkluderas i en lösenordspolicy för att motverka svaga eller återanvända lösenord:
- Lösenord för vanliga användarkonton måste vara minst 15 tecken långa.
- Lösenord för privilegierade konton eller administratörskonton måste vara minst 16 tecken långa.
- Inloggningsuppgifter för delade konton eller tjänstekonton bör vara minst 20 tecken långa där det är tekniskt möjligt.
- System bör ha stöd för lösenord på minst 64 tecken där det är möjligt.
- Långa lösenfraser kan användas där det stöds och är lämpligt.
- Lösenord måste uppfylla organisationens godkända krav på styrka och kontroll innan de används.
Användning av unika lösenord per system eller tjänst
Återanvändning av lösenord är en av de vanligaste orsakerna till säkerhetsincidenter relaterade till inloggningsuppgifter. När samma lösenord används för flera tjänster kan ett enda intrång exponera åtkomst till flera system samtidigt.
Angripare utnyttjar rutinmässigt detta beteende genom en teknik som kallas credential stuffing, där stulna användarnamn och lösenord från en tjänst testas automatiskt på andra plattformar.
Av denna anledning är unikhet ett krav som inte är förhandlingsbart. Varje konto, tjänst och system ska ha ett eget lösenord som aldrig återanvänds någon annanstans.
Att hantera tiotals eller hundratals unika lösenord vore orealistiskt utan stöd från säkra lösenordshanterare. Verktyg för lösenordshantering för företag gör detta krav praktiskt genom att generera starka lösenord automatiskt och lagra dem säkert, vilket gör att anställda kan upprätthålla unika inloggningsuppgifter utan att behöva förlita sig på minnet.
Krav på multifaktorsautentisering (MFA)
Multifaktorsautentisering (MFA) är ett av de mest effektiva sätten att minska risken för obehörig åtkomst, särskilt i miljöer där inloggningsuppgifter kan exponeras genom nätfiske, skadlig kod(nytt fönster) eller externa dataintrång.
MFA fungerar genom att användare måste verifiera sin identitet via minst två oberoende faktorer innan de får åtkomst till ett konto. Dessa inkluderar:
- Något som användaren vet (ett lösenord)
- Något som användaren har (som en säkerhetsnyckel, autentiseringsapp eller mobilenhet)
- Något som användaren är (biometrisk autentisering som fingeravtryck eller ansiktsigenkänning).
Eftersom angripare sällan har tillgång till alla dessa faktorer samtidigt, minskar MFA avsevärt sannolikheten för att stulna inloggningsuppgifter ensamma kan användas för att avslöja ett konto.
Riktlinjer från organisationer som NIST och CISA uppmuntrar starkt(nytt fönster) användning av multifaktorsautentisering överallt där lösenordsbaserad åtkomst används, särskilt för system som innehåller känsliga data eller ger administrativa privilegier.
Integrera MFA i din lösenordspolicy
Din organisation kan ytterligare stärka införandet av MFA genom att använda verktyg som gör tvåfaktorsautentisering enklare att distribuera och hantera för olika konton. Till exempel kan Proton Pass lagra och autofylla tidsbaserade engångslösenord (TOTP) tillsammans med sparade inloggningsuppgifter, vilket förenklar inloggningsflöden samtidigt som autentiseringsdata hålls krypterad.
För organisationer som föredrar att separera autentiseringsfaktorer erbjuder Proton även en dedikerad Proton Authenticator-app, som genererar säkra sexsiffriga verifieringskoder och kan synkronisera dem mellan enheter med end-to-end-kryptering. Autentiseringsappen fungerar offline och är öppen källkod, vilket gör det möjligt för organisationer att implementera MFA för företagskonton med bibehållen transparens och starkt integritetsskydd.
Säkra metoder för delning av lösenord
Även om många säkerhetsriktlinjer avråder från att dela lösenord helt och hållet, kräver verkliga affärsmiljöer det fortfarande. Tjänstekonton, leverantörsåtkomst och nödprocedurer kan då och då kräva att flera behöriga användare får åtkomst till samma inloggningsuppgifter.
När delning sker informellt, till exempel via e-post, chatt eller muntlig kommunikation, exponeras inloggningsuppgifter och blir svåra att kontrollera. När de väl delats via dessa kanaler finns det vanligtvis inget tillförlitligt sätt att spåra vem som har åtkomst eller att återkalla den senare.
Lösenordspolicyer bör därför definiera hur och när delning är tillåten. I de flesta organisationer bör det endast ske genom godkända verktyg för att hantera inloggningsuppgifter som tillhandahåller åtkomstkontroller, granskning och möjlighet att återkalla åtkomst vid behov.
Procedurer för offboarding och att återkalla åtkomst
När anställda byter roller, lämnar organisationen eller när leverantörsrelationer upphör, måste åtkomsten granskas och justeras omedelbart. Underlåtenhet att återkalla inloggningsuppgifter i rätt tid är en av de vanligaste källorna till obehörig åtkomst.
En stark lösenordspolicy bör integreras med onboarding- och offboardingprocesser för att säkerställa att åtkomstbehörigheter uppdateras omedelbart för att återspegla rolländringar eller avgångar, inklusive att inaktivera konton, rotera delade inloggningsuppgifter och återkalla onödig systemåtkomst.
Om flera personer har haft åtkomst till ett delat tjänstekonto bör lösenordet roteras så snart personalförändringar sker för att förhindra att tidigare anställda eller underleverantörer behåller åtkomst efter att deras konton har inaktiverats.
Överbrygga klyftan mellan lösenordspolicy och mänskliga vanor med Bridge
Lösenordspolicyer är endast effektiva om de följs.
I de flesta organisationer sker misslyckanden inte för att policyer saknas, utan för att policyerna inte är inbäddade i de dagliga arbetsflödena. Anställda tar genvägar när processer är otydliga, verktyg är otillräckliga eller förväntningar inte förstärks. När en stark lösenordspolicy implementeras korrekt (och i kombination med en lösenordshanterare för företag), ersätter den informella vanor med konsekventa kontroller, minskar risker kopplade till inloggningsuppgifter och gör säker åtkomsthantering till en del av den dagliga driften, inte bara en efterhandskonstruktion.
