Cybersäkerhet i företaget: Den farligaste behörigheten finns ofta i ett gammalt konto

Cybersäkerhet i företaget handlar inte enbart om avancerade brandväggar, starka lösenord och moderna säkerhetssystem. En av de största riskerna kan i stället finnas gömd bland gamla användarkonton som fortfarande har tillgång till företagets resurser. När anställda byter roll, lämnar organisationen eller får förändrade arbetsuppgifter kan behörigheter bli kvar längre än de borde. Ett inaktivt konto med omfattande åtkomst kan därför utgöra en betydande säkerhetsrisk. Genom att regelbundet granska användare, behörigheter och gamla konton kan företag minska risken för obehörig åtkomst. I en genomtänkt säkerhetsstrategi är därför identitets- och behörighetshantering en central del av det förebyggande cybersäkerhetsarbetet.

Gamla konton kan bli en dold säkerhetsrisk

Cybersäkerhet i företaget förutsätter att organisationen har kontroll över vilka personer och system som faktiskt har tillgång till företagets information. Ett konto som skapades för flera år sedan kan däremot lätt glömmas bort, särskilt om användaren har bytt arbetsuppgifter eller lämnat företaget. Risken ökar ytterligare om kontot fortfarande har behörighet till exempelvis interna system, molntjänster eller känsliga dokument. Det behöver inte finnas någon aktiv användare bakom kontot för att det ska vara relevant ur säkerhetssynpunkt. Oanvända konton kan i vissa fall fungera som en kvarlämnad ingång till organisationens digitala miljö.

När gamla användarkonton blir ett problem

Gamla konton uppstår av flera orsaker. En medarbetare kan sluta utan att kontot stängs, en konsult kan få fortsatt åtkomst efter avslutat uppdrag eller en tidigare administratör kan behålla omfattande rättigheter trots att arbetsrollen har förändrats. Även konton som används sällan kan innebära en risk om lösenordet är svagt, autentiseringen inte längre motsvarar företagets säkerhetskrav eller åtkomsten aldrig har granskats. Därför behöver cybersäkerhet i företaget omfatta hela livscykeln för användarkonton, från skapande och förändring till avaktivering och slutlig borttagning.

En särskild utmaning är att gamla konton ibland har högre behörigheter än vanliga användarkonton. Historiskt kan en anställd ha fått administratörsrättigheter för att kunna lösa ett specifikt problem, medan behörigheten sedan blivit kvar. Om kontot senare komprometteras kan angriparen potentiellt få tillgång till betydligt fler resurser än vad den ursprungliga användaren längre behöver. Därför bör företag inte enbart kontrollera om ett konto fortfarande används. De behöver också undersöka vilka resurser kontot kan nå och om åtkomsten fortfarande är motiverad utifrån den aktuella arbetsrollen.

Behörigheter behöver följa arbetsrollen

En grundprincip inom cybersäkerhet är principen om minsta privilegium. Den innebär att användare endast ska ha de behörigheter som krävs för att utföra sina arbetsuppgifter. När någon byter avdelning, får nya ansvarsområden eller lämnar företaget behöver behörigheterna därför omprövas. Annars kan gamla rättigheter staplas ovanpå nya och skapa en åtkomstprofil som är betydligt mer omfattande än nödvändigt. Detta gäller inte bara anställda utan även konsulter, praktikanter, leverantörer och andra externa användare som har fått åtkomst till företagets digitala resurser.

Regelbundna behörighetsgranskningar gör det lättare att upptäcka konton som inte längre fyller någon funktion. Företaget kan exempelvis identifiera inaktiva användare, kontrollera administratörsbehörigheter och jämföra åtkomsten med personens aktuella roll. Det är också viktigt att ha tydliga rutiner när någon lämnar organisationen. Konton bör då stängas eller avaktiveras utan onödigt dröjsmål, samtidigt som åtkomst till molntjänster, VPN, interna system och andra resurser tas bort. På så sätt blir behörighetshanteringen en aktiv del av företagets cybersäkerhetsarbete i stället för en kontroll som endast genomförs efter en incident.

Så kan felaktiga behörigheter utnyttjas

En angripare behöver inte alltid hitta en avancerad teknisk sårbarhet för att ta sig vidare i ett företags nätverk. Ett gammalt konto med giltiga inloggningsuppgifter kan vara tillräckligt för att skapa ett första fotfäste. Om kontot dessutom har tillgång till flera system kan möjligheterna att röra sig vidare öka. Detta gör identitets- och åtkomsthantering till en central del av cybersäkerhet i företaget. Genom att begränsa onödiga rättigheter minskar organisationen konsekvenserna om ett konto ändå skulle utsättas för exempelvis lösenordsstöld, nätfiske eller annan form av identitetsmissbruk.

Ett konto kan ge mer åtkomst än väntat

Problem uppstår särskilt när behörigheter har byggts upp över tid utan att någon regelbundet granskar dem. En användare kan exempelvis ha fått åtkomst till ekonomisystemet under en tidigare roll och senare fått tillgång till kunddata efter ett internt byte. Om den gamla åtkomsten aldrig tas bort har personen i praktiken fler rättigheter än arbetsuppgifterna kräver. Samma situation kan uppstå med tekniska konton och servicekonton som används av applikationer. Om sådana konton har omfattande privilegier behöver de hanteras med samma noggrannhet som vanliga användaridentiteter.

En effektiv behörighetsmodell bör därför bygga på tydliga roller och definierade åtkomstnivåer. Företaget behöver veta vilka system varje roll normalt behöver och vilka behörigheter som kräver särskilt godkännande. Det blir då enklare att upptäcka avvikelser när en användare har betydligt större åtkomst än kollegor med motsvarande arbetsuppgifter. Kontrollerna bör även omfatta privilegierade konton, eftersom komprometteringen av ett administratörskonto kan få större konsekvenser än komprometteringen av ett konto med begränsad åtkomst. Dokumenterade regler gör dessutom granskningen mindre beroende av enskilda personer.

Tekniska kontroller minskar risken

Företag kan använda flera tekniska kontroller för att minska risken kring gamla eller felaktigt konfigurerade konton. Identitetsplattformar kan exempelvis användas för att automatisera delar av processen kring skapande, förändring och avaktivering av användare. Multifaktorautentisering kan samtidigt göra det svårare för en angripare att använda stulna inloggningsuppgifter. Loggning och övervakning kan dessutom ge säkerhetsteamet möjlighet att upptäcka ovanliga inloggningar eller aktiviteter kopplade till konton som normalt inte används. Tekniken ersätter dock inte regelbundna granskningar av själva behörigheterna.

En fungerande kontroll kan bland annat omfatta:

• Inaktiva konton som inte längre behövs.

• Administratörskonton med onödigt omfattande rättigheter.

• Externa användare vars uppdrag har avslutats.

• Konton som saknar tillräckligt stark autentisering.

• Behörigheter som inte längre motsvarar användarens arbetsroll.

Därför är regelbundna behörighetskontroller avgörande

Behörighetshantering är inte en engångsåtgärd. Företag förändras kontinuerligt, med nya anställda, organisationsförändringar, projekt, system och externa samarbeten. Varje förändring kan påverka vem som behöver åtkomst till vilken information. Om behörigheterna däremot aldrig ses över kan gamla beslut leva kvar under lång tid. För cybersäkerhet i företaget innebär det att den digitala åtkomststrukturen gradvis kan bli svårare att kontrollera. Regelbundna granskningar skapar en möjlighet att identifiera sådana förändringar innan de leder till ett säkerhetsproblem.

Granska konton med en tydlig rutin

En behörighetsgranskning bör ha en tydlig omfattning och återkommande frekvens. Företaget kan exempelvis börja med de system som innehåller mest skyddsvärd information och därefter kontrollera vilka användare och grupper som har åtkomst. Ansvariga chefer eller systemägare kan behöva bekräfta att behörigheten fortfarande är motiverad. Konton som inte längre behövs bör avaktiveras, medan överflödiga privilegier tas bort. Genom att dokumentera resultatet blir det också lättare att följa upp förändringar och identifiera återkommande problem i organisationens åtkomsthantering.

Det är särskilt viktigt att kontrollera vad som händer när en anställd lämnar företaget. Avslutningsprocessen bör inte enbart handla om att lämna tillbaka dator och passerkort. Digitala identiteter behöver också hanteras på ett strukturerat sätt. E-post, VPN, molnplattformar, samarbetsverktyg och verksamhetssystem kan alla innehålla åtkomst som måste stängas eller överföras. Samma princip gäller externa personer när ett konsultuppdrag eller samarbete avslutas. En tydlig process minskar risken för att ett konto blir kvar efter att det inte längre finns ett legitimt behov av åtkomst.

Automatisering kan stärka kontrollen

I större organisationer kan manuella kontroller bli tidskrävande, särskilt när antalet användare och system ökar. Därför kan automatisering spela en viktig roll i modern identitets- och åtkomsthantering. System kan exempelvis flagga konton som varit inaktiva under en viss period, uppmärksamma ovanliga privilegier eller initiera avaktivering när en anställning avslutas. Automatiserade processer behöver dock kompletteras med mänsklig kontroll. En teknisk regel kan identifiera en avvikelse, men det krävs ofta en ansvarig person för att avgöra om åtkomsten faktiskt ska tas bort eller behållas.

För att få en långsiktigt fungerande modell behöver säkerhet, IT och verksamhet dessutom arbeta efter samma principer. Det bör vara tydligt vem som äger varje system, vem som godkänner behörigheter och vem som ansvarar för att gamla konton hanteras. Företaget bör även följa upp hur många inaktiva konton som finns, hur snabbt åtkomst tas bort efter avslut och hur ofta privilegierade användare granskas. När sådana rutiner blir en integrerad del av den löpande cybersäkerheten minskar risken att gamla konton och bortglömda behörigheter förblir osynliga över tid.