Hvem må hvor: kernen i adgangskontrol
Adgangskontrol besvarer ét spørgsmål: hvem har adgang til hvilket system, og hvorfor præcis denne person og ikke en anden. Inden for NIS2-omsorgspligten er dette en af de foranstaltninger, som en organisation skal kunne dokumentere, og i praksis er det også den foranstaltning, som sikkerhedsspørgeskemaer hyppigst og mest intensivt stiller spørgsmål om. Det er ingen tilfældighed: en angriber, der først er kommet indenfor, søger efter konti med for mange rettigheder, og adgangskontrol er netop den foranstaltning, der begrænser det.
For en IKT-tjenesteudbyder viser dette sig på tre måder: fjernadministration af egne og kundesystemer, direkte adgang til kundens systemer, og rollen som underleverandører, der selv nogle gange har brug for adgang. Hver form rejser et lidt anderledes spørgsmål, og en køber, der sender spørgeskemaet, ønsker svar på alle tre.
Fjernadministration: det første, hvor et spørgeskema lander
Ved fjernadministration handler det ikke kun om, hvorvidt der kræves en adgangskode, men om hvem der præcist må logge på, med hvilken konto, og om det kan henføres til én person. En delt administratorkonto, der bruges af hele teamet, er vanskelig for en tilsynsførende eller køber at vurdere: hvis noget går galt, kan man ikke fastslå, hvem der var logget på på det pågældende tidspunkt. Multifaktor-godkendelse på administratoradgang er på dette tidspunkt det minimum, der kræves, og mange spørgeskemaer ønsker også at vide, om sessioner logges, og om adgang automatisk udløber efter en periode med inaktivitet.
Det underliggende princip i regelgivningen hedder princippet om mindste berettigelse: en person får kun rettigheder til det, der er nødvendigt for hans opgave, ikke mere. For en installatørfirma eller en it-administrator lyder det abstrakt, men i praksis handler det om en simpel kontrol: kan en tekniker, der kun vedligeholder printere, også få adgang til regnskabsadministrationen? Hvis ikke, er det allerede en indikation på, at adgangskontrol er i orden.
Adgang til kundesystemer: hvorfor dette spørges om separat
Når en IKT-tjenesteudbyder logger direkte på en kundes systemer, skabes et ekstra lag. Kunden vil da ikke kun vide, hvordan tjenesteudbydere sikrer sin egen adgang, men også hvordan man forhindrer, at en konto hos tjenesteudbydere bliver en indgangsport til resten af kundens netværk. Spørgeskemaer spørger derfor ofte separat om segmentering: er adgangen begrænset til det system, den er beregnet til, eller kan en tekniker fra denne ene konto også få adgang til andre dele.
Dette er præcis grunden til, at modtagere behandler dette emne med prioritet frem for mere generelle spørgsmål. En organisation under omsorgspligt skal vurdere sine leverandører, og adgang til sine egne systemer er det mest konkrete risiko, den kan påpege. Hvem der som leverandør allerede har et klart svar på dette – hvem må logge på, med hvilken rettighed, og hvordan bliver det periodisk gennemgået – sparer sig selv en række opfølgende spørgsmål. for hvert emne udredt, hvad en foranstaltning præcist betyder giver der et udgangspunkt for.
Underleverandører: samme spørgsmål, ét led længere i kæden
Så snart en underleverandør medvirker til en opgave, forskyder spørgsmålet sig ikke væk, men ét led længere i kæden. En kunde, der vurderer adgangskontrol hos tjenesteudbydere, ønsker også at vide, om tjenesteudbydere på sin side har kontrol over adgangen for sine egne underleverandører. Oprettes en konto for en underleverandør separat og trækkes tilbage, så snart opgaven er færdig, eller forbliver denne adgang stiltiende? Det sidstnævnte er en af de mest almindelige resultater, når adgangskontrol undersøges grundigt: konti, der engang var nødvendige, men aldrig blev ryddet op.
En praktisk aftale er derfor, at adgang knyttes til opgavens varighed, og at der er en fast ejer, der er ansvarlig for at tilbagekalde den. Den, der kan påpege det — et navn, ikke en funktion i almindelig forstand — giver et spørgeskema et mere konkret svar end en beskrivelse af politik alene.
Hvad det betyder for dit eget dossier
Adgangsstyring er ikke en foranstaltning, som du implementerer én gang og derefter lader være; det er et register, der skal vedligeholdes, når roller, kunder eller underleverandører ændres. For dem, der stadig skal finde ud af, om dette er relevant som en sektor- eller forsyningskæde-forpligtelse, giver kontrollen i et par spørgsmål en første indikation af hvor en organisation befinder sig. Den, der allerede ved, at spørgeskemaerne bliver ved med at komme, kan med de hyppigst stillede spørgsmål om, hvad der præcist bliver spurgt om forfølge den egen situation videre.
Kernen forbliver enkel at huske, også uden juridisk baggrund: kan du på ethvert tidspunkt sige, hvem der har adgang til hvilket system, hvorfor og siden hvornår? Den, der har det svar klar, er allerede langt omkring for de fleste spørgeskemaer. Den, der stadig skal finde ud af det, kan med den gratis quick-scan på secria.eu få et første billede af, hvor man skal begynde.