Säkerhet / PERSPEKTIV 01
Vem har tillgång till er verksamhet?
Fem frågor som gör identitet och åtkomst till en konkret ledningsfråga.
DET VIKTIGASTE ATT TA MED
Börja med era mest verksamhetskritiska system. Ta reda på vem som har åtkomst, varför den behövs och vem som kan dra tillbaka den.
Vilken åtkomst får störst konsekvenser?
Ett konto kan öppna vägen till kundinformation, betalningar eller administration av hela IT-miljön. Därför behöver samtalet om åtkomst börja i verksamheten. Vilka system skulle ni få svårt att arbeta utan, och vilken information får inte hamna hos fel person?
Vårt förslag är att välja tre viktiga system för en första genomgång. Rita upp deras användare, administratörer, leverantörskonton och tekniska identiteter. Ge varje system en ansvarig person som kan förklara vilka behörigheter som behövs. Det ger ett hanterbart underlag för nästa beslut.
Hur stark är inloggningen?
Multifaktorautentisering, MFA, kräver fler bevis än ett lösenord. Men metoderna ger olika skydd. CISA rekommenderar MFA som motstår nätfiske. I Microsoft Entra kan exempelvis FIDO2-säkerhetsnycklar och Windows Hello for Business uppfylla kravet på nätfiskeresistent autentisering. En SMS-kod ger inte samma skydd.
Be om en genomgång av vad som faktiskt krävs för att nå era viktigaste system. Testa en starkare metod i en begränsad grupp, planera användarstöd och kontrollera återställning innan ni breddar införandet. Kontrollera också licenser och tekniska förutsättningar i just er miljö.
Vem kan ändra själva spelreglerna?
Administratörsrättigheter bör begränsas i omfattning och tid. Microsoft beskriver detta som minsta privilegium: rätt behörighet, till rätt resurser, under den tid uppgiften kräver. Tidsbegränsad aktivering och återkommande granskning kan minska onödigt bred åtkomst.
Gå igenom vilka som kan skapa konton, tilldela roller och ändra säkerhetsinställningar. Be om en motivering för varje omfattande rättighet. Dokumentera hur behöriga personer får nödvändig åtkomst om den vanliga inloggningsvägen slutar fungera. Ändringar behöver provas utan att låsa ute organisationen.
Vad händer när ett uppdrag tar slut?
Ta ett konkret exempel: en konsult har bytt uppdrag. Vem fångar upp det, vilka system berörs och hur bekräftas att åtkomsten har avslutats? Ställ samma frågor när en medarbetare byter roll eller en leverantör byts ut.
Vår rekommendation är en tydlig ägare för hela flödet och en regelbunden avstämning med systemansvariga. Låt konton med oklart syfte bli utredningspunkter. Att ett konto har funnits länge förklarar inte varför det fortfarande behövs.
Hur vet ni att rutinerna fungerar?
Be om ett litet, konkret underlag: genomförda behörighetsgranskningar, kvarstående undantag och vem som ansvarar för nästa åtgärd. Använd ett avslutat uppdrag och en ändrad roll som stickprov. Kan ni följa beslutet hela vägen till systemet?
Målet med den första genomgången är en prioriterad lista med ansvariga och datum. Ta den viktigaste luckan först och följ upp resultatet. Checklistan nedan är ett stöd för samtalet; den är ingen fullständig säkerhetsbedömning.
TA MED TILL NÄSTA SAMTAL
Börja här.
Markera det ni vill ta vidare. Dina val finns bara på den här sidan och sparas inte när du lämnar den.
Checklistan laddas ner som PDF med dina markeringar.
LÄS VIDARE HOS KÄLLORNA
Vägledningen bakom.
Primärkällor som stöder resonemangen. Prioriteringar och checklistor är ITKoncepts förslag och behöver anpassas till er miljö.