Undgå kopiering af adgangsrettigheder uden aktiv stillingtagen

Det kan være nemmere at oprette nye brugere ved at kopiere adgangsrettigheder fra én bruger (der allerede har disse rettigheder) til den nye bruger. Det vil imidlertid medføre følgende risici:

• Hvis der er fejl i de adgangsrettigheder, som kopieres, fx adgange, som burde være lukket tidligere, så vil fejlen blive kopieret til endnu en bruger.
• Den autorisationsansvarlige er muligvis ikke klar over, hvad der bliver kopieret, og tager dermed ikke aktivt stilling til, om det er nødvendigt at kopiere alle adgangsrettigheder.
• Adgangsrettigheder for den eksisterende bruger kan nå at blive ændret mellem tidspunktet for den autorisationsansvarliges godkendelse og tidspunktet for kopiering af adgangsrettigheder, og dermed kan der opstå tvivl om, hvad der blev godkendt. Der kan således opstå tvivl om, hvorvidt brugeradministrator har behandlet opgaven korrekt, eller hvilke adgangsrettigheder den autorisationsansvarlige rent faktisk har godkendt til at blive kopieret.
• Idet den autorisationsansvarlige ikke specifikt angiver, hvilke adgangsrettigheder der skal tildeles, er det uklart, hvad den autorisationsansvarlige efterfølgende kan stilles til ansvar for, såfremt der bliver tildelt flere adgangsrettigheder end nødvendigt, og disse bliver misbrugt.

Ved stringent styring af autorisationsprocessen og aktiv stillingtagen til adgangsrettigheder kan disse risici minimeres. Der er altså tale om en forebyggende foranstaltning, som kan mindske sandsynligheden for forkerte adgangsrettigheder.

Anvend en tildelingsprocedure, hvorved brugerens adgangsrettigheder "opbygges fra bunden af", og kopiering af adgangsrettigheder ikke accepteres. Alternativt kan der ske en kontrolleret kopiering af adgangsrettigheder, hvor der tages højde for ovennævnte risici, fx således, at der tages stilling til hver enkelt rettighed i et skema for hver bruger, som kan påtegnes af den autorisationsansvarlige. Anvendelsen af et skema sikrer samtidig dokumentation, og processen fremmer ansvarlighed hos den autorisationsansvarlige. Se også foranstaltningen Dokumentation af autorisationer.

Databeskyttelsesforordningens artikel 5, stk. 1, litra f, handler om personoplysningers integritet og fortrolighed. Jo færre, der har adgang, desto mere mindskes sandsynligheden for, at nogle af disse brugere via utilsigtede eller ondsindede handlinger kan udgøre en risiko. Jo mindre den enkelte bruger har adgang til, desto mindre er den potentielle konsekvens, hvis nogle af disse brugere gør skade på data via utilsigtede eller ondsindede handlinger. Samtidig har dette også en beskyttende effekt ift. cybertrusler, idet en hacker ofte opererer igennem adgangsrettigheder i kompromitterede bruger-konti, og færre rettigheder giver dermed hackeren færre muligheder. Derfor skal adgangsrettigheder begrænses mest muligt.