Den tysta ackumuleringen av accesser hotar verksamheten
Behörighetsglidning uppstår när en person behåller åtkomster efter att arbetsuppgifter, organisatorisk tillhörighet eller anställningsstatus har förändrats. En medarbetare kan exempelvis flytta från ekonomi till inköp men fortfarande ha administrativ åtkomst till ekonomisystemet, eller avsluta ett projekt utan att tillfälliga rättigheter tas bort. Samma problem kan finnas i passersystemet, där ett gammalt kort fortfarande öppnar dörrar till serverrum, lager, kontor eller teknikutrymmen.
Den verkliga sårbarheten finns ofta i glappet mellan fysisk access och digital identitet. Passerkort administreras kanske av fastighetsansvariga eller en extern säkerhetsleverantör, medan IT hanterar katalogtjänster, VPN, molnapplikationer och privilegierade konton. När informationen inte flödar mellan funktionerna saknas en samlad bild av vem som kan komma in, till vad och varför. Traditionella åtkomstkontroller missar därför lätt personer som byter avdelning, arbetar i ett tidsbegränsat projekt eller lämnar organisationen med kort varsel.
Därför uppstår glappet mellan fysisk access och IT-system
Den första orsaken är organisatoriska silos. Fastighetsansvariga fokuserar på dörrmiljöer, kortläsare, larm och besöksflöden. IT fokuserar på identiteter, grupper, servrar och applikationer. HR har uppgifter om anställning, roll och avslut, medan närmaste chef ofta känner till den faktiska arbetsfördelningen. Om ingen funktion har ett tydligt helhetsansvar kan varje del vara korrekt var för sig, samtidigt som den samlade åtkomstbilden är fel.
Interna omorganisationer skapar särskilt många restbehörigheter. Vid ett rollbyte läggs nya grupper ofta till snabbare än gamla tas bort. I projekt tilldelas breda rättigheter för att arbetet ska komma igång, men projektets slutdatum registreras inte alltid i passersystem, katalogtjänst eller ärendehanteringssystem. Konsulter, entreprenörer och leverantörer kan dessutom ha flera identiteter i olika miljöer, vilket försvårar kontrollen.
Insiderhot behöver inte innebära en illvillig anställd. En person kan avsiktligt stjäla eller sabotera, men också oavsiktligt släppa in obehöriga, dela en kod eller hantera utrustning fel. Global Guardians genomgång av insiderhot beskriver hur betrodda personer kan kringgå säkerhetsåtgärder eftersom de känner till rutiner och svaga punkter. Därför krävs både kontroll och uppföljning, inte enbart förtroende.
- Samordna HR, IT, fastighet, säkerhet och juridik kring samma livscykel för identiteter.
- Registrera slutdatum för projektroller, entreprenaduppdrag och tillfälliga passerkort.
- Övervaka avvikande användning, exempelvis åtkomst utanför arbetstid eller till ovanliga lokaler.
- Kontrollera att besöksrutiner och eskortkrav gäller även för återkommande leverantörer.
För organisationer med verksamhet i flera byggnader eller i större nav krävs ofta central samordning mellan fysiskt skalskydd och digitala resurser. Det gäller exempelvis företag med kontor, lager och driftmiljöer i Göteborg, där olika fastigheter annars lätt får egna rutiner och separata behörighetsregister.
Principer för minsta möjliga behörighet i praktiken
Principen om minsta möjliga behörighet, ofta kallad least privilege, innebär att varje användare, tjänst och teknisk komponent endast ska få den åtkomst som krävs för en definierad uppgift. Enligt NIST:s definition av least privilege ska åtkomsten begränsas till det minimum som behövs för att utföra uppdraget. Principen gäller inte bara servrar och databaser. Den ska även tillämpas på dörrar, larmområden, teknikutrymmen, nyckelskåp och andra fysiska resurser.
I praktiken kräver detta en tydlig koppling mellan roll och behov. En drifttekniker kan behöva komma in i ett serverrum under ett arbetspass, men behöver kanske inte åtkomst till arkiv, ekonomi eller ledningsutrymmen. En systemadministratör kan behöva administrera en viss plattform, men inte automatiskt få åtkomst till alla produktionssystem. Rollbaserad åtkomst gör beslutet begripligt, medan individuella undantag ska ha dokumenterad motivering, ägare och slutdatum.
Tidsbegränsad åtkomst, så kallad just-in-time access, minskar attackytan ytterligare. Privilegier aktiveras först när behovet uppstår och stängs sedan automatiskt. Samma logik kan användas för ett digitalt administratörskonto och för ett passerkort som endast ska fungera under en planerad serviceperiod. Automatiserad synkronisering mellan HR-händelser, katalogtjänster och passersystem minskar beroendet av manuella mejl och minnesanteckningar.
| Åtkomstområde | Praktisk kontroll | Uppföljning |
|---|---|---|
| Digitala system | Rollbaserade grupper och separata administratörskonton | Granska privilegier varje kvartal |
| Fysiska lokaler | Dörrzoner utifrån arbetsuppgift och arbetstid | Matcha passerkort mot anställningsregister |
| Tillfälliga uppdrag | Automatiskt slutdatum och chefsgodkännande | Kontrollera utgångna projektroller |
| Tjänstekonton | Namngiven ägare, begränsad funktion och loggning | Testa användning och rotation av hemligheter |
Checklista för kvartalsvisa accessrevisioner
En accessrevision ska vara en styrd kontroll, inte en informell förfrågan om att chefer ska ”titta igenom listan”. Börja med en fullständig inventering av aktiva passerkort, användarkonton, gruppmedlemskap, administratörsrättigheter, fjärråtkomst och delade funktionskonton. Matcha därefter uppgifterna mot anställningsregister, konsultavtal och aktuella organisationsstrukturer. Skillnader ska registreras som avvikelser med ansvarig ägare och planerat slutdatum.
Administratörsrättigheter kräver särskild uppmärksamhet. Kontrollera om personer har permanenta privilegier trots att arbetet endast kräver tillfällig elevation. Granska även delade funktionskonton, eftersom de försvårar spårbarheten. Varje sådant konto bör ha en dokumenterad ägare, ett tydligt syfte, säkert hanterade autentiseringsuppgifter och loggning som gör det möjligt att fastställa vilken person som faktiskt utförde en åtgärd.
Revisionen ska också omfatta loggar och formella godkännanden. Ett konto som sällan används är inte automatiskt ofarligt, och ett passerkort som aldrig har använts kan fortfarande innebära risk om det aktiveras vid fel tillfälle. Spara underlag enligt organisationens informationshanteringsregler och beakta GDPR, säkerhetsskyddslagen och sektorsspecifika krav där de är tillämpliga. Vid större eller känsliga miljöer kan oberoende expertstöd behövas för att bedöma kontrollernas effektivitet.
- Fastställ revisionsomfattningen och utse ägare från IT, HR, fastighet och verksamhet.
- Exportera aktuella register från passersystem, katalogtjänster, IAM-plattformar och relevanta applikationer.
- Matcha varje identitet mot anställning, roll, arbetsplats, projekt och godkänt behov.
- Granska särskilt administratörer, externa användare, nödåtkomst och delade funktionskonton.
- Begär formellt godkännande från närmaste chef vid rollbyten och dokumentera borttagna rättigheter.
- Stäng inaktuella åtkomster, följ upp misslyckade avvecklingar och kontrollera att ändringen syns i loggarna.
- Rapportera mätetal till ledningen, exempelvis antal restbehörigheter, genomsnittlig avvecklingstid och andel konton med dokumenterad ägare.
En praktisk målsättning är att göra avveckling av avslutade anställningar och externa uppdrag mätbar. Organisationen bör kunna visa när en HR-händelse registrerades, när åtkomst stängdes och vem som kontrollerade resultatet. Om samma typ av avvikelse återkommer kvartal efter kvartal är problemet processrelaterat och kräver automatisering eller tydligare ansvar, inte enbart ännu en manuell påminnelse.
Skapa en transparent kultur som motverkar insiderincidenter
Åtkomstbegränsningar fungerar bättre när de kommuniceras som ett stöd för säkert arbete, inte som ett uttryck för misstänksamhet. Förklara varför en viss dörrzon kräver godkännande, varför administratörsrättigheter är tidsbegränsade och hur medarbetaren får snabb hjälp när ett legitimt behov uppstår. Tydliga besked minskar risken att personalen hittar egna genvägar, delar konton eller lånar ut passerkort.
Friktion ska inte tas bort genom svagare kontroller. Den ska tas bort genom bättre arbetsflöden. Självbetjäning med chefsgodkännande, automatiska slutdatum, tydliga servicenivåer och en enkel väg för akut åtkomst gör det möjligt att kombinera säkerhet med produktivitet. Uppmuntra medarbetare att rapportera gamla rättigheter, felaktiga dörrzoner och okända konton utan rädsla för reprimander. Anonyma rapporteringskanaler kan vara värdefulla, men måste kombineras med integritetsskydd och en tydlig process för utredning.
- Beskriv åtkomstregler i introduktion, rollbyten och avslutssamtal.
- Visa vem som godkänner åtkomst och hur snabbt ett legitimt behov hanteras.
- Belöna rapportering av felaktiga behörigheter som en säkerhetsförbättring.
- Följ upp både kontrollernas säkerhet och deras påverkan på arbetsflödet.
Bygg en proaktiv åtkomstkontroll som håller över tid
Behörighetsglidning minskar när fysisk och digital säkerhetsstyrning behandlas som en gemensam identitetsfråga. En korrekt katalogpost räcker inte om ett passerkort fortfarande öppnar fel dörr. Ett återkallat kort räcker inte om VPN, molnapplikationer eller privilegierade konton är aktiva. Samordnade processer ger bättre spårbarhet, snabbare avveckling, mindre attackyta och starkare stöd för regelefterlevnad.
Gör accessrevisionen till en naturlig del av verksamhetsåret, med kvartalsvisa kontroller och extra granskning vid omorganisationer, större projekt och leverantörsbyten. Det första konkreta steget redan imorgon är att utse en ansvarig processägare och beställa en gemensam lista över aktiva passerkort, användarkonton och administratörsrättigheter. Matcha listan mot aktuella anställningar och roller, prioritera de mest känsliga åtkomsterna och dokumentera varje avvikelse. När nulägesbilden är tydlig kan organisationen prioritera åtgärder, mäta resultat och bygga förtroende genom regelefterlevnad.