Password managers beskytter virksomheder mod cyberangreb ved at skabe stærke adgangskoder, forbedre it-sikkerhed og lette compliance og dokumentation.
En password manager, også kaldet en adgangskodeadministrator, gør det muligt at oprette og gemme en unik adgangskode til hver konto. Det reducerer behovet for at huske mange koder og gør det lettere at undgå genbrug. Løsningen skal dog vælges, opsættes og administreres korrekt for at styrke virksomhedens it-sikkerhed.
Mange adgangskoder fører til usikre genveje
Medarbejdere bruger ofte en lang række systemer til mail, økonomi, kunder, dokumenter og andre arbejdsopgaver. Hvis de selv skal huske en unik adgangskode til hver konto, vil mange vælge korte koder, genbruge dem eller anvende forudsigelige variationer.
Genbrug betyder, at ét datalæk kan påvirke flere konti. Hvis en adgangskode bliver afsløret hos en ekstern tjeneste, kan angriberen afprøve de samme loginoplysninger på virksomhedens øvrige systemer.
Nogle medarbejdere gemmer adgangskoder i regneark, mails, chatbeskeder eller dokumenter. Det kan gøre oplysningerne tilgængelige for personer, som ikke bør se dem, og virksomheden mister overblikket over, hvem der har fået adgang.
Sådan fungerer en password manager
En password manager gemmer adgangskoder i en krypteret boks. Brugeren skal normalt beskytte boksen med én stærk hovedadgangskode og multifaktorgodkendelse.
Værktøjet kan generere lange og tilfældige adgangskoder, som brugeren ikke behøver at huske. Hver konto kan dermed få sin egen kode, uden at det gør arbejdsdagen væsentligt mere besværlig.
Mange løsninger kan udfylde loginoplysninger på den tilknyttede hjemmeside. Det kan også give en vis beskyttelse mod phishing, fordi værktøjet normalt ikke tilbyder at udfylde adgangskoden på et domæne, der ikke matcher det gemte login. Brugeren skal dog fortsat kontrollere siden og reagere på mistænkelige henvendelser.
Sikker deling uden at vise adgangskoden
Virksomheder har indimellem fælles login til en leverandør eller tjeneste, som ikke understøtter personlige konti. En password manager kan gøre det muligt at dele adgangen med bestemte medarbejdere uden at sende koden via mail eller chat.
Det er stadig bedst at bruge personlige konti, hvor det er muligt. De gør det lettere at tildele individuelle rettigheder, logge aktiviteter og lukke adgangen for én medarbejder.
Hvis et fælles login er nødvendigt, skal virksomheden kunne se, hvem der har adgang, og fjerne brugere, når deres arbejdsopgaver ændrer sig. Adgangskoden bør ændres, hvis en tidligere bruger kan have kopieret den.
Bedre onboarding og offboarding
En virksomhedsløsning kan samle arbejdsrelaterede adgangskoder i mapper eller samlinger, som tildeles efter medarbejderens funktion. En ny medarbejder kan dermed få de relevante loginoplysninger uden manuel deling af hver enkelt kode.
Når medarbejderen stopper, kan adgangen til virksomhedens password manager fjernes centralt. Det lukker dog ikke nødvendigvis alle konti i de tilknyttede systemer. Hvis medarbejderen har personlige konti, aktive sessioner eller andre godkendelsesmetoder, skal de også håndteres.
En password manager erstatter derfor ikke en samlet proces for oprettelse og lukning af brugere. Den kan gøre processen mere overskuelig, men HR, ledelse og it-support skal stadig koordinere den.
Password manageren skal selv beskyttes
En password manager samler værdifulde oplysninger ét sted og bliver derfor et attraktivt mål. Det er ikke et argument for at undlade værktøjet, men det stiller krav til både leverandøren og opsætningen.
Hovedadgangskoden skal være lang, unik og må ikke anvendes andre steder. Multifaktorgodkendelse bør være obligatorisk for alle brugere. Administratorrettigheder skal begrænses, og virksomheden bør kontrollere ukendte enheder og mistænkelige loginforsøg.
Virksomheden skal også have en sikker gendannelsesprocedure. Hvis en medarbejder glemmer sin hovedadgangskode eller mister sin enhed, skal adgangen kunne genetableres uden at åbne en nem vej for social engineering.
En password manager skaber ikke compliance alene
GDPR og NIS2 indeholder ikke et generelt krav om, at alle virksomheder skal bruge en bestemt password manager. Værktøjet kan dog understøtte adgangsstyring og dokumentation, når det indgår i en bredere sikkerhedsindsats.
Nogle virksomhedsløsninger kan vise, hvilke brugere der har adgang til delte oplysninger, og registrere administrative ændringer. Det kan hjælpe ved intern kontrol og revision.
Rapporterne dokumenterer kun det, der foregår i selve værktøjet. De viser ikke nødvendigvis alle adgange i virksomhedens øvrige systemer. Virksomheden skal derfor fortsat føre kontrol med konti, roller og rettigheder uden for password manageren.
Sådan vælger virksomheden en løsning
Valget bør tage udgangspunkt i sikkerhed, administration og medarbejdernes behov. Virksomheden bør undersøge kryptering, multifaktorgodkendelse, gendannelse, logning og leverandørens håndtering af sikkerhedshændelser.
Det skal også være muligt at adskille private og arbejdsrelaterede adgangskoder. Virksomheden bør kunne eksportere sine data i et anvendeligt format, hvis den senere skifter leverandør.
Single sign-on og passkeys kan på længere sigt reducere antallet af adgangskoder. De fjerner dog ikke nødvendigvis behovet for at håndtere login til ældre eller eksterne systemer.
En password manager løser ikke alle problemer med adgangsstyring. Den gør det derimod realistisk for medarbejderne at anvende lange og unikke adgangskoder uden at ty til usikre genveje. Sammen med multifaktorgodkendelse og faste procedurer kan den derfor styrke virksomhedens samlede it-sikkerhed.
