Foranstaltning:

Minimering af privilegerede adgangsrettigheder


Senest opdateret 7.11.23.

Hvilke risici adresseres?

Et typisk hackerangreb inkluderer ofte, at hackeren tilegner sig flere adgangsrettigheder, fordi det giver flere muligheder i it-systemerne end en almindelig brugers adgangsrettigheder. Hvis hackeren får mulighed for at anvende en brugerkonto med privilegerede adgangsrettigheder, er det normalt mere problematisk. Ved at minimere anvendelsen af privilegerede adgangsrettigheder, bliver det sværere at opnå dette. Der er altså tale om en forebyggende foranstaltning, som kan mindske konsekvensen, hvis det lykkes for en hacker at overtage en brugerkonto.

Hvilke tiltag kan overvejes?

Udfordringen er, at der altid er nogen, som skal have privilegerede adgangsrettigheder. Så ud over at begrænse, hvem der har disse rettigheder, kan man også give samme bruger to brugerkonti – én almindelig med almindelige rettigheder, og én med flere rettigheder. Ved kun at anvende brugerkontoen med de privilegerede rettigheder, når det er absolut nødvendigt, begrænses dens eksponering – dog ikke, hvis medarbejderen skal anvende denne konto det meste af tiden. Opsplitningen i to konti kan også have den positive effekt, at brugeren er mere opmærksom på, hvornår han/hun arbejder med adgangsrettigheder, der kan gøre større skade (hvis der begås fejl). Opsplitningen giver ikke nødvendigvis mening i små organisationer, eller hvis den konkrete medarbejder udelukkende udfører opgaver, der kræver den privilegerede adgang.

Brugeradministrators adgang betragtes som en privilegeret adgang, idet den kan misbruges mere end normale brugerkonti.

Andre typer privilegerede adgange anvendes til it-drift, eksempelvis en direkte adgang til en database, en såkaldt ”SQL-adgang”. Den kan give mulighed for direkte manipulation af databasen – dvs. udenom enhver adgangsbegrænsning og sikkerhedsfunktion, der normalt findes i applikationer, som ligger mellem brugeren og databasen. Denne type adgang er meget risikabel og anvendes kun under følgende forhold:

  • Gives kun, når det er absolut nødvendigt (tidsbegrænset).
  • Gives kun til personer med it-driftsopgaver og rette kompetencer.
  • Gives kun efter en form for sikkerhedsgodkendelse og evt. under forudsætning af ren straffeattest.
  • Anvendelsen logges, og loggen gemmes et sted, hvor den ikke kan tilgås af dem, der anvender adgangen.

Hvornår er foranstaltningen nødvendig?

Det er primært en risikovurdering efter databeskyttelsesforordningens artikel 32, som skal vise, hvilke tiltag der er relevante, idet risici er meget afhængige af, hvilken skade brugeren kan gøre med privilegerede adgangsrettigheder. Samtidig har dette også en beskyttende effekt ift. cybertrusler, idet en hacker ofte opererer igennem adgangsrettigheder i kompromitterede bruger-konti, og færre rettigheder giver dermed hackeren færre muligheder.

For statslige myndigheder: Se krav nr. 6 i de tekniske minimumskrav for statslige myndigheder.

Praksis

Vejledninger, der anvender denne foranstaltning