Hvem har adgang til hvad? Et spørgsmål for ledelsen

Spørg en direktør, hvem der kan se lønsedlerne, ændre i kundekartoteket eller overføre penge fra virksomhedens konto, og svaret kan være et tøvende “det ved IT”. Det er et ledelsesspørgsmål, fordi beslutningen om, hvem der må hvad, følger af forretningens roller og ansvar, ikke af teknikken. IT kan sætte rettighederne op, men kun ledelsen og de ansvarlige for de enkelte områder kan afgøre, om de er rigtige.

Adgange vokser af sig selv

I en virksomhed bliver der let flere adgange med tiden, ikke færre. En medarbejder skifter afdeling og beholder de gamle rettigheder. En leverandør får adgang til et projekt, som afsluttes, men adgangen består. En konsulent, der var her i et halvt år, har stadig en konto. Ingen har gjort noget forkert, men summen bliver et billede, som ingen har besluttet.

Det er det, der gør adgange til en ledelsessag. Den enkelte tildeling er en lille beslutning. Det samlede mønster er en risiko, som kun bliver synlig, når nogen ser på helheden.

Der er også en anden side af sagen. Adgange er ikke kun en risiko, de er en forudsætning for, at folk kan arbejde. Hvis rettighederne strammes uden omtanke, går arbejdet i stå, og medarbejderne finder egne veje udenom, for eksempel ved at dele konti eller sende filer til private adresser. Ledelsen skal derfor ikke bare bede om færre adgange, men om de rigtige adgange, og acceptere, at nogle beslutninger kræver en afvejning mellem sikkerhed og smidighed. Den afvejning hører hjemme hos ledelsen. → Risikovillighed i ledelsen

Fire spørgsmål, ledelsen kan stille

Ledelsen behøver ikke kende systemerne for at stille de rigtige spørgsmål. Svarene viser, om adgangene er styret eller blot er opstået.

Hvem ejer hvert vigtigt system · er der en navngiven person i forretningen, der godkender, hvem der får adgang?
Hvad sker der, når folk kommer, skifter og går · er der en fast arbejdsgang, som HR, ledere og IT følger?
Hvem har de brede rettigheder · hvor mange kan ændre opsætningen, oprette brugere eller se alt?
Hvornår blev adgangene sidst gennemgået · og hvem i forretningen bekræftede, at de stadig er rigtige?

Det britiske NCSC anbefaler i sine ti trin til cybersikkerhed at gennemgå brugerkonti og systemer jævnligt for unødvendige rettigheder, at have en fast proces for ansatte, der kommer, skifter rolle og går, og at fjerne midlertidige konti og særlige rettigheder, når de ikke længere bruges. Det er råd, der kræver ledelsens opbakning for at blive fulgt.

Leverandører og eksterne

Adgange kan række ud over virksomhedens egne folk. Driftsleverandøren, softwareleverandøren, revisoren og bureauet bag hjemmesiden kan alle have konti eller forbindelser. Nogle af dem er nødvendige hver dag, andre blev oprettet til en enkelt opgave og glemt.

For ledelsen er spørgsmålet, om virksomheden har en oversigt over, hvilke eksterne der har adgang til hvad, og om aftalerne siger, hvornår adgangen ophører. Hvordan den tekniske side af leverandøradgange afprøves, er beskrevet på penetration-test.dk. → Leverandørrisiko set fra ledelsen

Hvad en sikkerhedstest kan vise

En sikkerhedstest gennemgår ikke alle virksomhedens adgange én for én. Det er en opgave for virksomheden selv. Testen kan til gengæld vise, hvad konsekvensen er, når adgangene er for brede. Hvis en almindelig brugerkonto kan nå data eller funktioner, den ikke burde, eller hvis én overtaget konto kan åbne vejen til meget mere, står det i rapporten.

Det giver ledelsen et konkret billede af, hvorfor adgangsstyring betyder noget. Det abstrakte “for mange rettigheder” bliver til “en konto i kundeservice kunne se alle lønsedler”. Sådan en sætning er lettere at handle på, og den peger direkte på, hvilket forretningsområde der skal tage stilling. → Fra teknisk fund til forretningsrisiko

Hvis ledelsen vil have mest muligt ud af testen på dette punkt, kan den bede om, at fund om adgange beskrives med, hvem i forretningen de vedrører. → Kronjuvelerne og testens fokus

Ledelsens egne greb

Rettelser af adgange er i sidste ende tekniske, men de beslutninger, der skal til, er ledelsens.

Systemejere · udpeg en ansvarlig i forretningen for hvert vigtigt system, som godkender adgange.
Fast arbejdsgang ved ansættelse og fratrædelse · gør det til en del af HR’s og lederens opgaver, ikke kun IT’s.
Færre brede rettigheder · bed om, at antallet af konti med vide beføjelser holdes nede og begrundes.
Gennemgang med underskrift · lad de ansvarlige bekræfte deres adganges rigtighed med jævne mellemrum.
Leverandøradgange med udløb · aftal, at adgange til en opgave lukkes, når opgaven er slut.

Hyppigheden af gennemgange afhænger af virksomheden og af, hvor følsomme systemerne er. Det er ledelsen, der skal tage stilling til det. → Sikkerhedstest og intern kontrol

Et tænkt eksempel

Direktionen i en mellemstor tømmerhandel får resultatet af en sikkerhedstest. Et af fundene er, at alle i butikkerne kan se kundernes kreditoplysninger, fordi rettighederne blev sat bredt, da systemet blev indført. Ingen har bedt om det, men ingen har heller set på det siden.

Direktøren udpeger salgschefen som ejer af kundesystemet. Salgschefen beslutter, hvem der faktisk har brug for kreditoplysningerne, og IT tilpasser rettighederne. Samtidig aftales det, at salgschefen med faste mellemrum får en liste over adgange til godkendelse. Ved første gennemgang finder salgschefen også tre konti fra tidligere sæsonansatte, som aldrig blev lukket. Spørgsmålet, der før var IT’s, har nu en ejer i forretningen.

Det skal I lade være med

At overlade alle beslutninger om adgange til IT · IT kan ikke vide, hvem forretningen mener skal se hvad.
At lade adgange blive ved af gammel vane · det, der var nødvendigt engang, er det ikke nødvendigvis i dag.
At give brede rettigheder, fordi det er hurtigst · det sparer tid nu og koster senere.
At glemme eksterne konti · leverandører og konsulenter skal med i oversigten.
At undtage ledelsen selv · ledelsens adgange kan være de mest værdifulde. → Ledelsens egne konti i testen

Hvad kan og ikke kan konkluderes

En sikkerhedstest kan vise, hvad brede adgange betyder i praksis, og pege på steder, hvor rettighederne er større end nødvendigt. Den kan ikke vise, at alle adgange i virksomheden er rigtige, og den kan ikke afgøre, hvem der bør have adgang. Det er en løbende opgave, som kræver ejere i forretningen og en fast arbejdsgang. Testen kan være anledningen, men arbejdet bagefter er virksomhedens eget.

Tjekliste: adgange som ledelsens ansvar

☐ Har hvert vigtigt system en ejer i forretningen?
☐ Er der en fast arbejdsgang, når medarbejdere kommer, skifter og går?
☐ Ved ledelsen, hvem der har de brede rettigheder?
☐ Har eksterne adgange en ejer og et udløb?
☐ Er adgangene gennemgået og bekræftet af de ansvarlige?

Kilder

NCSC, 10 Steps to Cyber Security: Identity and access management: jævnlig gennemgang for unødvendige rettigheder; proces for ansatte, der kommer, skifter og går; fjernelse af midlertidige konti og særlige rettigheder.

Senest gennemgået: oktober 2026.