Problemet
Adgangene, der følger med aftalerne
Enhver organisation af en vis størrelse har eksterne parter inde i sine systemer: konsulenter på projekter, driftsleverandører med fjernadgang, supportaftaler hvor leverandøren kan logge på og fejlsøge. Adgangene bliver oprettet, når aftalen indgås – hurtigt og pragmatisk, fordi arbejdet skal i gang.
Men hvor jeres egne medarbejdere har en leder, en ansættelse og en fratrædelsesproces, der lukker adgangene, følger leverandørens adgang aftalens levetid i teorien og ingenting i praksis. Konsulenter skifter hos leverandøren, uden at I får besked. Projektet slutter, men VPN-profilen består. Og et af de mest kendte databrud i historien startede netop hos en leverandør: Angriberne kom ind hos den amerikanske detailkæde Target gennem kølefirmaets adgang.
Risikoen
De typiske huller
- Delte konti: leverandøren har én konto, som et ukendt antal af deres medarbejdere bruger – I aner ikke hvem, og det gør leverandøren ofte heller ikke.
- For bred adgang: VPN-forbindelsen giver adgang til hele netværket, selv om opgaven kun kræver ét system.
- Intet udløb: adgangen oprettes uden slutdato og overlever projektet, aftalen og nogle gange leverandøren selv.
- Ingen ejer hos jer: ingen intern person har ansvaret for at bekræfte, at adgangen stadig er nødvendig.
- Ingen sporbarhed: når noget går galt, kan ingen dokumentere, hvem der var logget på, og hvad der blev gjort.
Samme discipliner som for egne medarbejdere – plus lidt til
Grundreglerne er velkendte: Hver ekstern person har sin egen konto, hver adgang har en intern ejer og en udløbsdato, og adgangen dækker kun de systemer, opgaven kræver. Recertificering med faste intervaller sikrer, at ejeren aktivt bekræfter behovet – og at adgange uden ejer eller aktivitet bliver lukket.
For de privilegerede leverandøradgange, typisk drift og support, bør just-in-time være standarden: Leverandøren anmoder om adgang til den konkrete opgave, får den i et afgrænset tidsrum, og sessionen logges eller optages. Det beskytter jer, og det giver leverandøren dokumentation for, hvad de faktisk har lavet.
Kravene kommer også udefra: Både NIS2 og DORA stiller eksplicitte krav til styring af leverandøradgange, og jeres kunder stiller i stigende grad de samme spørgsmål til jer, som I bør stille til jeres leverandører.
Hvor skal I starte?
Med en liste over jeres eksterne parter og deres adgange – den findes sjældent på forhånd. Gennemgå VPN-profiler, fjernadgangsløsninger og konti, der ikke tilhører egne medarbejdere, og spørg for hver enkelt: Hvem ejer den, hvornår er den sidst brugt, og hvorfor findes den?
Luk de døde adgange med det samme, sæt udløb og ejer på resten, og indfør individuelle konti, hvor der i dag deles. Det er et af de steder, hvor få ugers arbejde fjerner mest risiko.
Ved I, hvem der har adgang til jeres systemer udefra?
Et IAM Maturity Assessment vurderer jeres adgangsstyring hele vejen rundt – inklusive leverandør- og tredjepartsadgange – og giver jer en prioriteret plan.
