Mange virksomheder samler fælles adgangskoder i en adgangskodeadministrator med delte bokse: koder til bank, leverandørportaler, sociale medier, domæner og servere. Når en medarbejder stopper i konflikt, eller når der er mistanke om misbrug, er spørgsmålet: Hvilke koder har vedkommende haft adgang til, og hvilke har vedkommende faktisk åbnet? Mange forretningsløsninger fører en aktivitetslog, der kan svare på det. Men loggen skal hentes, før I begynder at skifte koder og fjerne brugeren.
Artiklen er til IT-ansvarlige og ledere. Den handler om, hvad loggen kan vise, og i hvilken rækkefølge I skal gøre tingene, så I både lukker hullet og bevarer sporene.
Hvad aktivitetsloggen typisk viser
Det afhænger af produkt og abonnement. Forretningsudgaverne af de kendte løsninger har typisk mere logning end de private. Loggen kan ofte vise:
- hvem der har adgang til hvilke bokse, og hvornår adgangen blev givet,
- hvornår en bruger har vist, kopieret eller ændret en bestemt kode,
- hvornår en kode eller en hel boks er eksporteret,
- hvornår en bruger har delt en kode med andre,
- logins til selve adgangskodeadministratoren, med enhed og tidspunkt.
Nogle løsninger viser kun, at en boks er åbnet, ikke hvilken kode der blev vist. Andre registrerer ikke, når koden udfyldes automatisk i browseren. Spørg leverandøren eller læs dokumentationen for jeres abonnement, før I konkluderer noget. Find også ud af, hvor længe loggen gemmes, og om den kan eksporteres i et format, andre kan læse.
Hvorfor rækkefølgen er vigtig
Når en medarbejder med adgang til mange fælles koder stopper i konflikt, er reaktionen ofte at fjerne brugeren og skifte alle koder med det samme. Det er forståeligt. Men gøres det i den forkerte rækkefølge, kan to ting gå tabt:
- Loggen. Fjernes brugeren, kan dens historik forsvinde eller blive svær at finde.
- Tidslinjen. Skiftes koderne uden notater, kan I senere ikke sige, hvilke handlinger i fx banken eller på de sociale medier der kan være sket med den gamle kode.
Rækkefølgen nedenfor sikrer begge dele og lukker samtidig adgangen hurtigt.
Hvad gør I nu?
- Eksportér aktivitetsloggen. Hent loggen for den relevante bruger og de bokse, vedkommende havde adgang til, så langt tilbage som muligt. Gem den uændret, og notér, hvem der hentede den, og hvornår.
- Gem oversigten over adgange. Tag en liste eller skærmbilleder af, hvilke bokse og koder brugeren havde adgang til.
- Spær brugeren, men slet den ikke. Så kan vedkommende ikke længere åbne bokse, og historikken bevares.
- Prioritér koderne. Lav en liste over de koder, brugeren kunne se, og del dem i tre grupper: kritiske (bank, administratorkonti, domæne), vigtige (leverandører, sociale medier) og øvrige.
- Skift koderne gruppe for gruppe. Start med de kritiske. Notér for hver kode, hvornår den blev skiftet, og af hvem.
- Tjek tofaktor. Er tofaktor knyttet til medarbejderens telefon, skal det flyttes. Ellers kan vedkommende stadig modtage koder.
- Hent logs fra de vigtigste tjenester. Bank, domæneudbyder og administratorkonti har ofte deres egen log. Tjek, om der er sket noget med den gamle kode, før den blev skiftet.
→ Den gamle IT-mand er stoppet og har alle adgangskoderne
Det skal I lade være med
- Slette brugeren i adgangskodeadministratoren for at lukke adgangen hurtigt. Spær den i stedet.
- Skifte koder uden at notere tidspunktet. Så kan I ikke senere adskille det, der skete før, fra det, der skete efter.
- Lade den mistænkte selv overdrage koderne. Er mistanken rettet mod en IT-administrator, skal en anden hente loggen. → Mistanke mod IT-administratoren
- Logge ind på medarbejderens private boks. Mange løsninger har en privat del til hver bruger. Den er ikke virksomhedens at åbne, selv om teknikken tillader det.
- Konkludere, at medarbejderen har misbrugt en kode, fordi den er vist. At se en kode er en del af mange jobs.
En typisk situation
En kontorchef, der har stået for administrationen i mange år, stopper efter en konflikt. Vedkommende har haft adgang til næsten alle delte bokse: erhvervsnetbanken, lønsystemet, domænet, hjemmesiden og firmaets profiler på sociale medier. Et par dage efter fratrædelsen opdager en kollega, at adgangskoden til en leverandørportal er ændret, og at ingen i huset kender den nye.
Her er det fristende at ringe til leverandøren, få koden nulstillet og komme videre. Gør det, men gør det i rækkefølge. Hent først adgangskodeadministratorens log, så I kan se, om koden blev åbnet eller ændret dér. Bed derefter leverandøren om deres log over, hvornår koden blev ændret, og fra hvilken adresse. Så har I både lukket hullet og bevaret det, der kan vise, hvad der skete.
Når mange deler én kode
Delte bokse løser et problem, men skaber et andet. Har fem personer adgang til den samme kode til leverandørportalen, kan portalens log kun vise, at koden blev brugt, ikke af hvem. Adgangskodeadministratorens log kan måske vise, hvem der åbnede koden lige før. Men det er et indicie, ikke et bevis.
Hvor det kan lade sig gøre, er det bedre at give hver medarbejder sin egen bruger i tjenesten. Så viser tjenestens egen log, hvem der gjorde hvad, og en fratrædelse kræver kun, at én bruger spærres. Brug kun fælles koder, hvor tjenesten ikke giver anden mulighed.
Hvem gør hvad?
- Leder · Beslutter rækkefølgen og prioriterer de kritiske koder
- IT (hvis ikke involveret) · Henter loggen, spærrer brugeren og skifter koder
- Økonomi · Tjekker banken for handlinger med den gamle kode
- IT-sagkyndig · Sikrer logs og samler tidslinjen, hvis der er en sag
Forebyg: gør adgangskoderne til en del af offboarding
- ☐ Brug en forretningsudgave med aktivitetslog, og find ud af, hvor længe loggen gemmes.
- ☐ Lav en liste over, hvem der har adgang til hvilke bokse, og opdatér den.
- ☐ Giv mindst to personer administratorrettigheder, så I ikke står uden adgang, hvis én stopper.
- ☐ Skriv i fratrædelsesproceduren, at brugeren spærres, loggen hentes, og koderne skiftes i en fast rækkefølge.
- ☐ Orientér medarbejderne om, at brugen af delte koder logges.
→ Offboarding uden at miste beviser
Hvornår skal I have hjælp udefra?
Når der er mistanke om, at en kode er misbrugt, for eksempel til at få adgang til banken, kundesystemer eller sociale medier efter fratrædelsen. Så skal loggen fra adgangskodeadministratoren ses sammen med logs fra de tjenester, koden gav adgang til. En IT-sagkyndig kan sikre logs fra flere kilder og lægge dem i én tidslinje, så det kan ses, hvad der skete hvornår.
Nielco IT arbejder uvildigt og har ingen bindinger til leverandører af adgangskodeløsninger. Er der risiko for, at der sker mere med de gamle koder, så sig, at det haster. Hastesager koster ekstra. → Pris og tilbud
Læs også: CRM: medarbejderen har eksporteret kundelisten · Cloudkontoen står i en medarbejders navn
→ Undersøgelse af en medarbejders computer · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
