Technical Review
Hvem har reelt adgang til hvad?
De fleste organisationer ved, hvad deres adgangsstyring burde gøre. Færre ved, hvad der faktisk står i AD, Entra ID, HR-systemet og fagsystemerne. Et Technical Review læser rettighederne direkte ud af kilderne, kobler dem sammen og viser forskellen mellem det, I tror, og det, der er – med tal, I kan lægge frem for ledelsen og revisionen.
Hvornår er det relevant?
Tegn på, at I mangler det reelle billede
- Revisionen har spurgt, hvem der har adgang til et system, og svaret krævede en uges arbejde i regneark.
- I har en IGA-platform, men kan ikke se, hvad der er tildelt uden om den.
- Fratrådte medarbejdere dukker op med aktive konti, længe efter at offboardingen er gennemført.
- Administratorrettigheder og servicekonti er vokset, uden at nogen kan sige hvorfor.
- I står foran et IGA-projekt, en AD-migrering eller en fusion og vil kende udgangspunktet, før I flytter noget.
- NIS2 eller ISO 27001 kræver, at I kan dokumentere adgangsstyringen, ikke kun beskrive den.
Forløbet
Fra læseadgang til prioriteret liste
- Scoping
Vi aftaler, hvilke kilder der skal med, hvem der ejer dem, og hvad ledelsen eller revisionen har brug for svar på. Typisk HR-kilde, AD, Entra ID, jeres IGA-platform, hvis I har en, og de vigtigste fagsystemer.
- Tilkobling
Kilderne kobles på en analyseplatform med læseadgang alene. Ingen ændringer i jeres systemer og ingen agenter på arbejdsstationer. Identiteter og konti kobles sammen på tværs af kilderne, så den samme person kun optræder én gang.
- Analyse
Et sæt standardkontroller giver det første billede: forældreløse konti, privilegerede rettigheder, ophobning, funktionsadskillelse og datakvalitet. Derefter gennemgår vores konsulenter det, kontrollerne ikke fanger: mønstre i jeres rollemodel, afvigelser mellem IGA og målsystem, og de konti, ingen ejer.
- Rapport og gennemgangsmøde
I får rapporten med tal, en oprydningsliste i den rækkefølge, den kan udføres, og evidens, der kan afleveres til revisor. Vi gennemgår resultaterne med jer og anbefaler næste skridt, som I frit kan tage selv eller med os.
Det får I svar på
Otte spørgsmål med tal bag
- Forældreløse konti: hvor mange konti tilhører ingen aktiv medarbejder, og i hvilke systemer?
- Privilegerede konti: hvem har administratorrettigheder, og hvor mange af dem er personlige, delte eller servicekonti?
- Rettighedsophobning: hvilke medarbejdere har adgang fra tidligere stillinger, som aldrig blev fjernet?
- Identitetshygiejne: hvor mange personer har flere konti, og hvor mange konti kan ikke knyttes til en person?
- Rollehygiejne: hvilke roller og grupper er tomme, forældede eller identiske med andre?
- Datakvalitet: hvor stemmer HR-systemet og adgangssystemerne ikke overens, fx afdeling, leder eller fratrædelsesdato?
- Funktionsadskillelse: hvilke kombinationer af rettigheder bør ingen have samtidig, og hvem har dem alligevel?
- Afvigelser fra IGA: hvad er tildelt uden om jeres IGA-platform, og hvilke systemer kender den slet ikke?
Næste trin
Et review er et øjebliksbillede. Overblikket kan blive stående.
Mange organisationer vælger at lade analyseplatformen blive stående efter reviewet. Kilderne genindlæses dagligt, hver kontrol får historik, og ledere og applikationsejere kan selv gennemføre adgangsgennemgange i stedet for at modtage et regneark.
Platformen ændrer ikke selv noget i jeres systemer. Beslutninger om at fjerne adgang sendes som sager til jeres servicedesk eller IGA-platform, som udfører ændringen. Det holder ansvaret, hvor det hører hjemme, og giver et revisionsspor fra beslutning til udførelse.
Har I allerede en IGA-platform, lægger overblikket sig oven på den og viser det, platformen ikke selv kan se: adgang tildelt uden om flowet og systemer, der aldrig blev koblet på. Har I ingen, er det en enkel form for governance, der er i drift på uger.
Læs om Managed ServiceLøbende overblik
- Daglig genindlæsning og historik på hver kontrol, så udviklingen kan følges.
- Adgangsgennemgange drevet af ejerne frem for af IT-afdelingen.
- Ændringer som sager til jeres ITSM-værktøj eller IGA-platform.
- Drift hos jer selv eller som en del af vores Managed Service.
Tre måder at se på adgangsstyring
Technical Review, Healthcheck eller Maturity Assessment?
De tre gennemgange ser på hvert sit lag og supplerer hinanden. Et Technical Review leverer tallene bag et healthchecks fund og udgangspunktet for et assessments roadmap.
| Technical Review | IAM Healthcheck | IAM Maturity Assessment | |
|---|---|---|---|
| Ser på | Identiteter og rettigheder i jeres systemer | Jeres IAM-løsning: platform, konfiguration, integrationer | Jeres organisation: processer, governance, modenhed |
| Metode | Læseadgang til kilderne og automatiserede kontroller | Teknisk gennemgang af løsningen og interviews | Interviews, dokumenter og modenhedsmodel |
| Svarer på | Hvem har reelt adgang til hvad? | Kører løsningen, som den skal? | Hvor står I, og hvad er næste niveau? |
| Kræver en IAM-løsning | Nej | Ja | Nej |
| Resultat | Tal, evidens og oprydningsliste | Prioriteret forbedringsliste | Gap-analyse og roadmap |
Skal I have alle tre, starter vi med reviewet: det er hurtigere at forklare et fund, når tallet allerede ligger der.
Vores holdning
En gennemgang bygget på interviews fortæller, hvad folk tror. En gennemgang bygget på data fortæller, hvad der er.
Vi gør begge dele, men vi starter med dataene, fordi det er kontiene og rettighederne bag dem, hackerne logger ind med.
Hvornår har I sidst set jeres rettigheder, som de faktisk er?
Vi aftaler omfanget efter en kort scoping, og rapporten og oprydningslisten er jeres, uanset hvad I vælger bagefter.