MSP-legitimationsoplysninger: 7 måder at sikre kundeadgang

Syv praksisser, der bygger på den fælles cybersikkerhedsvejledning fra 2022 til managed service providers (MSP’er), fjerner jagten på legitimationsoplysninger fra mange tickets og lader Dem vise kunderne, hvem der har haft adgang til deres systemer.

12. november 2026

Steven Lafortune

Gem hver kundes legitimationsoplysninger i en separat boks, giv teknikerne adgang til kun de kunder, de betjener, indsæt legitimationsoplysninger ved forbindelsen i stedet for at dele dem, beskyt boksen med multifaktorgodkendelse (MFA), og behandl adgangslogs pr. tekniker som nogle af Deres vigtigste logs, som De gemmer i mindst seks måneder. Det omsætter anbefalingerne om mindste privilegium og logning fra den fælles vejledning fra 2022 til managed service providers (MSP’er) og fjerner de manuelle opslag, der æder fakturerbar tid.

Hvorfor håndtering af legitimationsoplysninger er et problem i MSP-størrelse

En MSP har administrativ adgang til mange organisationer på én gang. Det gør den til et effektivt mål: Kompromittér én udbyder, og De kan måske nå alle de kunder, den administrerer. I maj 2022 udgav cybersikkerhedsmyndigheder fra USA, Storbritannien, Canada, Australien og New Zealand en fælles vejledning, der advarede mod netop den tendens.

I hverdagen hos mange MSP’er er virkeligheden mindre dramatisk, men lige så dyr.

Legitimationsoplysninger ligger for mange steder

En kundes adgang er spredt over et regneark, en wikiside, en teknikers personlige password manager og en gammel ticket. Ingen ved med sikkerhed, hvilken kopi der er den aktuelle, og hver kopi er endnu noget, der skal beskyttes.

Hvert opslag er tid, der ikke kan faktureres

At finde VPN-oplysningerne, derefter adgangskoden og så taste begge dele lægger minutter til mange tickets. Ganget op over et team og en måned er det tid, som MSP’en betaler for og ikke kan fakturere.

Teknikerne kan se mere, end de har brug for

Når alle kan åbne alt, afslører én kompromitteret teknikerkonto samtlige kunder. Det gør det også umuligt at dokumentere mindste privilegium, som er en central anbefaling til MSP’er.

Kunderne beder om dokumentation

Vejledningen opfordrer kunderne til at sikre, at deres MSP’s konti overvåges og revideres, så regn med, at kunderne, deres revisorer og deres cyberforsikringsselskaber vil spørge, hvem af Deres folk der har haft adgang til deres systemer, og hvornår. Et delt regneark kan ikke svare på det.

Syv praksisser for håndtering af legitimationsoplysninger hos MSP’er

Giv hver kunde sin egen boks. Adskil hver kundes forbindelser og legitimationsoplysninger, så adgang kan tildeles, gennemgås og tilbagekaldes pr. kunde.
Tildel adgang pr. kunde, og opdater den, når roller ændres. Teknikerne bør kun kunne nå de kunder, de betjener. Den fælles vejledning fra 2022 anbefaler at anvende mindste privilegium overalt og opdatere rettigheder straks, når administrative roller ændres.
Indsæt legitimationsoplysninger i stedet for at dele dem. Når forbindelser åbner med legitimationsoplysningerne udfyldt, behøver teknikerne ikke kopiere, indsætte eller gemme kundernes adgangskoder.
Gem forbindelsesoplysningerne sammen med legitimationsoplysningerne. Gem kundens VPN-, gateway- og værtsoplysninger i samme post, så en tekniker kommer fra ticket til session i ét trin.
Beskyt boksen med MFA. Den platform, der rummer alle kunders legitimationsoplysninger, bør aldrig være én adgangskode fra at blive eksponeret.
Log adgang pr. tekniker, og gem loggene. Registrér, hvem der åbnede hvilken kundepost, og hvornår. Den fælles vejledning anbefaler at gemme de vigtigste logs i mindst seks måneder; tjek, at Deres opbevaringsperiode lever op til det.
Hold øje med udløb, og fjern adgang hurtigt. Få besked, før kundernes legitimationsoplysninger og andre poster udløber, og fjern en fratrædende teknikers adgang ét sted på vedkommendes sidste arbejdsdag.

Regneark, personlige password managers eller en central platform

Spørgsmål	Regneark eller wiki	Hver teknikers egen password manager	Central platform til forbindelser og legitimationsoplysninger
Adskilt pr. kunde?	Kun efter fane eller side	Afhænger af den enkelte	Én boks pr. kunde
Mindste privilegium?	Alle med filen ser alt	Ingen central styring	Adgang pr. kunde, rolle eller gruppe
Ser teknikerne adgangskoderne?	Ja	Ja	Nej, takket være indsættelse af legitimationsoplysninger
Hvem har haft adgang til en kundes systemer?	Ukendt	Ukendt	Revisionsspor pr. tekniker
Når en tekniker stopper	Skift alle adgangskoder, vedkommende har set	Stol på, at hver enkelt sletter sine kopier	Fjern adgangen én gang
Tid fra ticket til session	Slå op, kopiér, indsæt	Slå op, udfyld automatisk	Ét klik, VPN inkluderet

Sådan understøtter Devolutions Remote Desktop Manager (RDM) disse praksisser

Remote Desktop Manager dækker de syv praksisser ovenfor (Team-udgaven med et cloudbaseret eller selvhostet arbejdsområde):

Én boks pr. kunde i et Devolutions Cloud- eller Devolutions Server-arbejdsområde med tilladelser pr. boks, mappe eller post.
Rollebaseret adgangskontrol med brugergrupper, som Devolutions Server kan knytte til Active Directory-grupper eller importere fra identitetsudbydere som Microsoft Entra ID, Okta eller PingOne.
Indsættelse af legitimationsoplysninger, når sessioner startes, i én app, der dækker RDP, SSH, web og over 150 protokoller i alt.
Integreret VPN-håndtering for Microsoft-, Cisco-, SonicWall- og IPsec-VPN’er.
MFA med Duo, YubiKey eller en hvilken som helst TOTP-app.
Et revisionsspor, revision af brugen af adgangskoder og eksport af rapporter som CSV samt notifikationer om udløbne og snart udløbende poster.

Vil De se, hvordan RDM håndterer en typisk kundeticket, fra den åbnes, til forbindelsen er oprettet? Book en livedemo, download RDM, eller se priserne.

Ofte stillede spørgsmål

Hvordan bør en MSP opbevare kundernes adgangskoder?

En MSP bør opbevare kundernes adgangskoder på en central, krypteret platform med en separat boks for hver kunde, adgang kun for de teknikere, der betjener den pågældende kunde, MFA på platformen og et revisionsspor pr. tekniker. Regneark, wikier og personlige password managers kan ikke håndhæve eller dokumentere dette pålideligt.

Hvad anbefaler den fælles vejledning fra 2022 til MSP’er?

Den fælles vejledning AA22-131A, der blev udgivet i maj 2022 af cybersikkerhedsmyndigheder fra USA, Storbritannien, Canada, Australien og New Zealand, anbefaler, at MSP’er håndhæver MFA, anvender mindste privilegium og opdaterer rettigheder, når roller ændres, forbedrer overvågning og logning, segmenterer netværk og fastlægger sikkerhedsansvaret i kundekontrakterne.

Hvordan kan teknikere få adgang til kundernes systemer uden at se adgangskoderne?

Med indsættelse af legitimationsoplysninger. Et værktøj som RDM udfylder kundens legitimationsoplysninger, når forbindelsen åbnes, så teknikeren arbejder på systemet uden at se, kopiere eller gemme adgangskoden.

Hvor længe bør en MSP gemme adgangslogs?

Den fælles vejledning fra 2022 anbefaler at gemme de vigtigste logs i mindst seks måneder. Kundekontrakter, branchekrav eller cyberforsikringspolicer kan kræve længere tid, så tjek også dem.

Hvad bør en MSP gøre, når en tekniker stopper?

Fjern teknikerens adgang til alle kundebokse ét sted på vedkommendes sidste arbejdsdag. Hvis teknikeren kunne se adgangskoder direkte, så skift også de mest følsomme legitimationsoplysninger hos kunderne. Med indsættelse af legitimationsoplysninger har langt færre adgangskoder nogensinde været eksponeret for vedkommende.