Forløb for privilegeret adgangsstyring
PAM Ready
Find ud af, hvad der reelt har magt i jeres miljø – og hvem der lukker det ned igen.
De fleste organisationer kan ikke trække listen over, hvem der har privilegeret adgang, og endnu færre kan sige, hvem der lukker en privilegeret konto, når den ikke skal bruges mere. PAM Ready kortlægger de privilegerede konti og adgange, beskriver hvordan de skal oprettes, bruges og nedlægges, og leverer en etapeplan, der starter med det, der giver mest sikkerhed for mindst besvær.
Udfordringen
Ingen kender listen, og ingen har ansvaret for at rydde op
Privilegeret adgang er det, angriberne går efter først, og det, tilsyn og revisorer spørger til først. Alligevel kan de færreste svare på, hvor mange konti der har forhøjede rettigheder i dag, og hvem der fjerner dem igen.
- Stående rettigheder: adgange, der blev givet til en opgave for tre år siden, og som stadig ligger der.
- Konti uden ejer: lokale administratorer, servicekonti med forhøjede rettigheder og gamle testkonti, som ingen tør røre.
- Adgange uden for kataloget: hypervisorer, netværksudstyr, databaser og SaaS-konsoller, der aldrig kom med i IGA-løsningen.
- Leverandører: eksterne, der arbejder med forhøjede rettigheder, ofte gennem konti, I ikke selv oprettede.
- Nødadgang: break-glass-konti, dokumenteret ét sted og afprøvet et andet, hvis de er afprøvet.
- Ingen proces: konti oprettes manuelt af den, der har brug for dem, og nedlægges af ingen.
Forskellen på IGA og PAM
PAM ændrer hverdagen for dem, der har travlt
Et IGA-projekt ændrer, hvordan adgange bestilles og godkendes. Et PAM-projekt ændrer, hvordan jeres administratorer arbejder, hver eneste dag, også klokken tre om natten under en hændelse. Er vejen gennem PAM-løsningen langsommere end hændelsen, finder folk udenom, og så står I med et dyrt produkt og de samme stående rettigheder.
Derfor bruger PAM Ready lige så meget tid på arbejdsgangen som på teknikken. Vi taler med dem, der reelt bruger de privilegerede konti, og bygger en model, de kan leve med, før der bliver valgt produkt.
Det afklarer vi med driften
- Hastighed: hvor hurtigt en forhøjelse skal være på plads, og hvem der kan godkende den uden for arbejdstid.
- Nødadgang: hvordan break-glass ser ud, hvor den opbevares, og hvornår den sidst blev prøvet af.
- Undtagelser: de systemer, der ikke kan sættes bag en PAM-løsning, og hvad I gør ved dem i stedet.
- Modstand: hvor i organisationen den kommer, og hvad der skal til for at komme den i forkøbet.
Vores stærkeste kort
PAM-løsningen skal styres af IGA, ikke stå ved siden af den
En PAM-løsning løser opbevaringen. Den siger ingenting om, hvem der må få en privilegeret konto, hvorfor den blev oprettet, og hvem der lukker den, når personen skifter rolle eller stopper. Uden en proces bliver den selv til det uoverskuelige katalog, den skulle rydde op i.
Vi kobler IGA og PAM sammen, så den privilegerede konto får samme livscyklus som alt andet: bestilt, godkendt, oprettet, brugt og nedlagt efter en proces, der kan dokumenteres. Det har vi bygget for flere danske organisationer inden for finans, kritisk infrastruktur og fælles it-drift, og det er dét, vi er bedst til på PAM-området.
Læs mere om tankegangen i vores artikel om livscyklusstyring af privilegerede konti.
Se vores IGA-løsningerDet bygger vi
- Personlig administratorkonto: bestilles og godkendes i IGA, oprettes automatisk og lægges direkte i PAM-løsningen. Ejeren bruger den uden på noget tidspunkt at kende adgangskoden.
- Servicekonti: samme mønster, med en navngiven ejer, et formål og en udløbsdato, så de ikke lever videre efter det projekt, de blev født til.
- Serverens livscyklus: ved oprettelse af en ny server oprettes automatisk en safe med de fælles konti, serveren skal bruge, og de konti, andre systemer har brug for, for eksempel jeres CMDB.
- Nedlæggelse: offboarding af mennesker, servicekonti og servere. Rollen forsvinder i IGA, og kontoen forsvinder i PAM-løsningen, uden at nogen skal huske det.
Uden proces
Hvem lukker den privilegerede konto?
Spørgsmålet lyder småt og afgør, om PAM-investeringen holder. Findes der ingen proces for nedlæggelse, sker der fire ting, og de sker langsomt nok til, at ingen opdager dem undervejs.
- Antallet vokser: konti fra afsluttede projekter, fratrådte medarbejdere og nedlagte servere bliver liggende, fordi oprettelsen var nem, og nedlæggelsen er nogens ekstraarbejde.
- Revisionen vender tilbage: I købte løsningen for at kunne dokumentere kontrol med privilegeret adgang. Kan I ikke vise, hvornår en adgang blev fjernet, står I dårligere end før, fordi forventningen nu er højere.
- Recertificeringen bliver en underskrift: når ingen kan sige, hvorfor en konto blev oprettet, bliver den godkendt igen, fordi det er den sikre udvej.
- Angrebsfladen flytter sig: en glemt konto har stadig sine rettigheder, og den ligger nu samlet ét sted sammen med alle de andre.
Sådan virker det
Fire faser, ét beslutningsgrundlag
Forløbet indeholder ingen markedsevaluering. Til gengæld går det dybt i det tekniske miljø og i processerne omkring det. Omfanget aftales, før vi går i gang, så I kender rammen.
- Kortlægning
Vi finder de privilegerede konti og adgange på tværs af domæne, klienter, servere, cloud, netværk, databaser og de SaaS-konsoller, der har egne administratorer. Har I allerede en PAM-løsning, kortlægger vi også den.
- Risikorangering
Hver adgang vurderes på, hvad den kan nå, hvor mange der har den, og hvor længe den har stået åben. Resultatet er en rangeret liste frem for en alarm.
- Livscyklus og målbeskrivelse
Hvordan privilegerede konti skal oprettes, godkendes, bruges og nedlægges fremover, hvem der ejer hvert trin, og hvad der kan automatiseres fra IGA.
- Etapeplan
Hvad I gør de første tre måneder uden at købe noget, hvad der kræver et produkt, og hvad det vil koste at komme i mål.
Leverancerne
Hvad I står med bagefter
Kontooversigten
Et dokumenteret billede af de privilegerede konti og adgange med ejer, formål og sidste anvendelse, i et format revisor kan bruge.
Livscyklusmodellen
Hvordan en privilegeret konto bliver til og forsvinder igen, hvem der godkender, og hvad der kan automatiseres fra jeres IGA-løsning.
Etapeplanen
En prioriteret rækkefølge med de tidlige gevinster først og et beslutningsgrundlag for, om der skal købes et produkt nu.
Uden at købe noget
Meget kan lukkes, før der overhovedet vælges produkt
For en Microsoft-tung organisation er de første skridt sjældent en ny platform. At fjerne lokale administratorrettigheder på klienterne, tage Windows LAPS i brug og sætte Entra ID PIM op på de roller, der betyder mest, lukker en stor del af risikoen med det, I allerede betaler for.
Vi siger det højt i etapeplanen. Når en egentlig PAM-løsning senere bliver nødvendig, er beslutningen taget på et grundlag, I selv kan forklare, og I har ryddet op først, så I ikke betaler for at sætte rod i system.
Se vores Microsoft-løsningTypiske tidlige gevinster
- Lokale rettigheder: administratorrettigheder fjernet på klienterne.
- Rotation: adgangskoder til lokale administratorer roteret automatisk.
- Tidsbegrænsning: de mest kritiske roller i Entra ID tildeles kun, når de skal bruges.
- Leverandøradgange: samlet ét sted med en navngiven ejer bag hver.
- Nødadgang: dokumenteret og afprøvet.
Vores holdning
Den farligste konto i jeres miljø er den, ingen kan huske, hvem der ejer.
Privilegerede konti bliver sjældent oprettet ved en fejl. De bliver glemt, og de bliver stående, længe efter opgaven er løst.
Før I optager sessioner
Overvågning af privilegeret arbejde er et medarbejderforhold
Sessionsoptagelse er et af de stærkeste værktøjer i PAM og samtidig det, der oftest vælter et projekt sent i forløbet. Optagelse af en administrators skærm er behandling af personoplysninger om medarbejderen og skal håndteres derefter.
- Sagligt formål: der skal være en begrundelse, der kan skrives ned og holde, og omfanget skal svare til formålet.
- Oplysningspligt: medarbejderne skal vide, hvad der optages, hvorfor, og hvem der kan se det.
- Inddragelse: i mange virksomheder skal det forbi samarbejdsudvalget, og det tager tid, I skal planlægge med fra begyndelsen.
- Opbevaring: hvor længe optagelserne gemmes, og hvem der har adgang til dem, besluttes af andre end dem, der drifter systemet.
Derfor IAM Group
Vi kommer fra governance-siden af PAM
- Vi kobler PAM til IGA. Livscyklusstyring af privilegerede konti er bygget hos flere af vores kunder, og det er den del, de fleste PAM-projekter mangler.
- Produktuafhængige i forløbet. Etapeplanen bygger på jeres risiko, ikke på hvad vi helst vil levere.
- Vi siger til, når I ikke skal købe noget endnu. Er der lavthængende frugt i det, I allerede har, står det først i planen.
- Leverancer, der kan bruges alene. Kontooversigten har værdi til jeres næste revision, uanset om der kommer et projekt bagefter.
FAQ
Ofte stillede spørgsmål
Hvor lang tid tager et forløb?
Det svinger meget med, hvor mange systemer der skal kortlægges, og hvor tilgængelige data er. Netop derfor aftaler vi omfanget først og giver et konkret estimat, før I siger ja.
Kræver det, at vi har en PAM-løsning i forvejen?
Nej. Forløbet er lavet både til dem, der ikke har en, og til dem, der har en, som kun dækker en del af miljøet.
Vi har allerede en PAM-løsning. Hvad får vi ud af det?
Ofte mest af alle. Er den sat op uden en proces for oprettelse og nedlæggelse, ligger der typisk konti, ingen kan gøre rede for, og der er ingen kobling til jeres IGA-løsning.
Ender det med, at I anbefaler et bestemt produkt?
Nej. Det ender med en etapeplan og et beslutningsgrundlag. Peger grundlaget på et produkt, hjælper vi gerne med udvælgelsen bagefter.
Hvad kræver det af os?
Adgang til en systemadministrator, en fra sikkerhed og en fra driften, plus mulighed for at trække data fra de systemer, vi kortlægger.
Kan I også levere selve implementeringen?
Vi bygger livscyklusstyringen mellem IGA og PAM, og vi implementerer One Identity Safeguard med certificerede specialister. På andre platforme arbejder vi sammen med jeres egen leverandør.
Hvordan hænger det sammen med et IGA-projekt?
Tæt. De privilegerede konti hører hjemme i den samme governance som resten, og bestillingen af dem sker bedst i IGA. Kører I allerede et IGA-forløb, genbruges kontooversigten direkte.
Hvad koster det?
Afregningen er Time & Materials. Vi giver et konkret estimat efter en indledende dialog, så I kender rammen, før I går i gang.
Ved I, hvem der har magt i jeres miljø?
Et uforpligtende møde er den hurtigste vej til at finde ud af, hvor stort et kortlægningsarbejde der venter, og hvad der kan lukkes med det samme.