Gabriel Caron LandryHvis din organisation er på udkig efter en løsning til adgangskodestyring, skal du svare på et afgørende spørgsmål, før du køber. Det handler ikke om pris, kompatibilitet eller compliance. Det er mere grundlæggende end det: har du KUN brug for en adgangskodeadministrator? Tro det eller ej, svaret er sandsynligvis nej!
Forretningsorienteret? Ja.
Her er kerneproblemet: “adgangskodeadministrator” er i bund og grund et marketingudtryk, der blev skabt for flere år siden, uden tvivl for at udnytte to ting, organisationer har brug for og værdsætter: sikkerhed (som “adgangskode”-delen antyder) og effektivitet (som “administrator”-delen antyder).
Ganske vist er adgangskodeadministratorer forretningsorienterede. Men i modsætning til den udbredte opfattelse er de IKKE i sig selv sikre.
I bund og grund giver en adgangskodeadministrator en central måde at administrere data på. En anden måde at se det på er, at så snart du administrerer og deler data, bruger du pr. definition et system til adgangskodestyring. Gør det noget så usikkert som et delt Excel-ark til en “adgangskodeadministrator”? Svaret er ja! Faktisk lader de fleste adgangskodeadministratorer på markedet kun organisationer dele én enkelt boks med alle brugere (tekniske og ikke-tekniske), uden kontrol over, hvem der har adgang til hvad.
Igen skyldes det, at adgangskodeadministratorer er designet til at centralisere og administrere data. De er ikke bygget til sikkerhed. De er bygget til forretningskontinuitet. Her er en forklaring på, hvorfor det forholder sig sådan …
Sikker? Nej.
Adgangskodeadministratorer lader slutbrugere dele bokse med forskellige slags oplysninger, for eksempel legitimationsoplysninger, kreditkort, oplysninger om fjernforbindelser, logins til websteder, dokumenter og så videre. Hvis en slutbruger forlader virksomheden, behøver de tidligere kolleger ikke bruge tid på at lede efter personlige regneark, notesblokke og lignende. I stedet kan de hurtigt og nemt finde det, de har brug for, i de delte bokse. Det er praktisk, men det er ikke sikkert. Med enhver adgangskodeadministrator skal en slutbruger blot kopiere og indsætte legitimationsoplysningerne i en anden fil og tage dem med sig.
Adgangskodeadministratorer på markedet i dag kan ikke løse den situation, og alligevel hævder de at være “sikre”. Den eneste måde at gøre dem sikre på ville være at skifte alle adgangskoder, hver gang nogen forlader virksomheden — hvilket er et reelt bøvl. Hvad med at få adgangskoder til at nulstille sig automatisk efter hver brug? Det er næsten umuligt for tredjepartsapps eller adgangskoder til websteder. I praksis er den eneste sikre og praktiske mulighed at skjule adgangskoden ved brug gennem sikker indsprøjtning af legitimationsoplysninger, som vi ser nærmere på senere i dette blogindlæg.
Hvad betyder alt det for din organisation? Her er den overraskende og måske chokerende sandhed: Hvis du kun køber en adgangskodeadministrator, får du forretningskontinuitet — IKKE sikkerhed. Det er det, du gør med adgangskoder, og hvordan du gør det, der gør dig sikker.
“Reaktive funktioner” i adgangskodeadministratorer
Når du undersøger forskellige adgangskodeadministratorer — og der er mange at vælge imellem — er du stødt på, eller kommer du til at støde på, produkter med funktioner som:
- Rollebaseret adgangskontrol (RBAC)
- Tjek af kompromitterede (“pwned”) adgangskoder
- Minimale adgangskodepolitikker
- Browserudvidelse
- Logning
Leverandører beskriver typisk disse som “sikkerhedsfunktioner”. De gør dog ikke din organisation mere sikker! I stedet bør vi kalde dem “reaktive funktioner”, fordi de kan gøre dig opmærksom på mulige problemer. Det er her, sikkerheden i din organisation BEGYNDER, ikke hvor den SLUTTER.
Adgangskodeadministratorers rolle
Trods disse alvorlige ulemper har adgangskodeadministratorer — som i virkeligheden burde hedde “værktøjer til forretningskontinuitet” — deres plads i forretningslandskabet. De er især nyttige for ikke-tekniske forretningsbrugere, som ellers ville have svært ved at huske en enorm liste af stærke, unikke adgangskoder (undersøgelser har vist, at den gennemsnitlige forretningsbruger nu har hele 191 adgangskoder!).
Det er dog omfanget af brugsscenariet for adgangskodeadministratorer. Tekniske brugere (for eksempel systemadministratorer, helpdesk-medarbejdere og så videre) arbejder i områder, hvor den reelle risiko findes, og hvor sikkerhedsbehovene er størst. For dem er en adgangskodeadministrator alene helt utilstrækkelig. Heldigvis findes der en praktisk og dokumenteret måde at lukke sikkerhedshullet på.
Styrk adgangskodeadministratorer med administration af privilegerede sessioner (PSM) eller privilegeret adgangsstyring (PAM)
En adgangskodeadministrator, der også fungerer som en legitim, robust sikkerhedsløsning — og ikke kun som et værktøj til forretningskontinuitet — understøtter funktioner som:
- Sikker indsprøjtning af legitimationsoplysninger
- Kontoopdagelse
- Automatisk adgangskoderotation
- Advarsler og notifikationer
- Godkendelsesproces for check-out-anmodninger
Og gæt hvad? Så snart du begynder at fokusere på disse afgørende sikkerhedsfunktioner, er du ikke længere kun på udkig efter en adgangskodeadministrator. Du er også på udkig efter administration af privilegerede sessioner (PSM) eller privilegeret adgangsstyring (PAM)!
En nem måde at afklare dine behov på
Hvordan ved du, om du har brug for en adgangskodeadministrator med PSM-funktioner eller en adgangskodeadministrator styrket med PAM-funktioner? Her er en nem tjekliste, så du kan afgøre det:
Du har sandsynligvis brug for en adgangskodeadministrator + PSM, hvis:
- Løsningen skal bruges af tekniske brugere.
- Du vil starte forbindelser automatisk.
- Du ikke vil have, at slutbrugere kan se adgangskoder.
Du har sandsynligvis brug for en adgangskodeadministrator + PAM, hvis du:
- vil have, at adgangskoder ændres eller nulstilles.
- vil have muligheder for kontoopdagelse.
- vil have en godkendelsesproces for check-out-anmodninger.
Og hvis du sætter kryds ved punkter fra begge lister, har du naturligvis brug for en adgangskodeadministrator med både PSM- og PAM-funktioner.
Afsluttende tanker
Der er ikke noget grundlæggende galt med adgangskodeadministratorer. De har en rolle at spille og giver vigtige fordele inden for effektivitet og bekvemmelighed. I sig selv er de dog ikke legitime sikkerhedsløsninger, der leverer avancerede IT-sikkerhedsfunktioner, selv om de i årtier er blevet markedsført som sådan.
For at få effektivitet OG sikkerhed — ikke det første i stedet for det sidste — har din organisation brug for en adgangskodeadministrator styrket med PSM og/eller PAM. Med den tilgang og infrastruktur forbliver dine forretningsbrugere produktive og effektive, mens dit IT-personale får den kontrol, synlighed og rapportering, de har brug for til at holde din organisation sikker og compliant.