Privilegeret adgangsstyring i SMV'er + anbefalinger

I Devolutions' undersøgelse af IT-sikkerhedens tilstand i SMV'er 2022-23 [[rapporten er nu tilgængelig!](/da/blog/now-available-the-devolutions-state-of-it-security-in-smbs-in-2022-23-survey-report-is-here/)] spurgte vi ledere og beslutningstagere i SMV'er, hvordan de griber privilegeret adgangsstyring (PAM) an, hvordan de håndterer den, og hvordan de oplever den i deres virksomheder. Her er, hvad vi lærte, den fælles udfordring, mange SMV'er står med, og hvad vi anbefaler.

9. november 2022

Laurence Cadieux

Vigtige fund fra undersøgelsen

98 % af SMV’erne administrerer privilegerede konti. Kun 12 % har dog en fuldt udrullet PAM-løsning, hvilket betyder, at 88 % er mindre sikre og mere sårbare, end de tror. Endnu mere alarmerende er det, at 52 % af SMV’erne slet ikke har indført nogen PAM-kontroller.
De to hyppigste grunde til, at flertallet af SMV’erne ikke har en fuldt udrullet PAM-løsning, er, at de ikke har budget nok (28 %), og at PAM er for komplekst at implementere og administrere (12 %).
De tre vigtigste funktioner, SMV’er ønsker i en PAM-løsning, er: privilegeret adgang, der udløber automatisk, indbygget MFA og adgangskoderotation med nulstilling.
15 % af SMV’erne tilskriver PAM-kontroller, at de har styrket deres godkendelsesflow, forbedret produktiviteten og samlet set sat tempoet op i arbejdet. Yderligere 22 % af SMV’erne oplevede ingen effekt efter PAM (hverken negativ eller positiv), og 11 % sagde, at de oplevede visse ulemper.

Problemer ved et fødereret system

For at beskytte de værdifulde data og aktiver i deres privilegerede konti, også kaldet „nøglerne til kongeriget“, skal SMV’er etablere og håndhæve begge dele af ligningen for identitets- og adgangsstyring:

Identitetsstyring handler om, HVEM en slutbruger er.
Adgangsstyring handler om, HVAD en slutbruger har tilladelse til at gøre.

En udbredt udfordring er dog, at visse teknologier, for eksempel ældre systemer, telefoner og kameraer, ikke kan bruge et fødereret system.

Så hvorfor løser SMV’erne ikke det ved manuelt at oprette og vedligeholde unikke identitetskonti for hver bruger? Det er teknisk muligt, men i praksis meget urealistisk, når man tænker på mængden af forskellige typer privilegerede konti, der typisk findes i økosystemet, for eksempel:

Domæneadministratorkonti
Lokale administratorkonti
Nødadgangskonti
Applikationskonti
Systemkonti
Domænetjenestekonti

Der findes heldigvis en gennemprøvet løsning på den udfordring: SMV’er bør fuldt ud implementere en PAM-løsning, der bygger bro mellem godkendelse og autorisation og udvider den beskyttelse, et IAM-system giver, ind i det ikke-fødererede identitetsrum.

Hvad SMV’er bør kigge efter i en robust PAM-løsning

SMV’er bør fokusere på en robust PAM-løsning, der tilbyder alt det følgende:

En boks, der gemmer adgangskoder (og andre følsomme data, for eksempel alarmkoder til bygningen, softwarelicensnøgler og så videre), og som deles sikkert mellem flere slutbrugere.
Kontocheck-out, så administratorer kan godkende eller afvise en adgangsanmodning fra sag til sag og om nødvendigt sætte tidsgrænser.
Notifikationer, der advarer administratorer, når bestemte hændelser eller handlinger sker, som involverer slutbrugere, roller, bokse og så videre.
Automatisk obligatorisk adgangskoderotation.
Kontoformidling, som automatiserer arbejdsgange (for eksempel at åbne en VPN-klient, starte en fjernadgangsprotokol og tilgå en privilegeret konto), uden at slutbrugerne overhovedet får adgangskoderne.
Optagelse af sessionsaktivitet.
Mulighed for rotation af legitimationsoplysninger ved og efter hver check-out til en RDP-session, hvilket mindsker risikoen for, at RDP-legitimationsoplysningerne bliver misbrugt (legitimationsoplysningerne behøver ikke blive givet videre til brugerne, fordi hver godkendelse sker én gang, og dermed er der ikke behov for at rotere legitimationsoplysningerne).
Nem udrulning og administration.
En pris, der passer til SMV’ers IT-sikkerhedsbudgetter, som er markant mindre end store enterprise-budgetter.

Ud over det ovenstående understøtter nogle mere avancerede PAM-løsninger privilegeret sessionsstyring (PSM), som bruger en specialiseret server, der formidler godkendelsen i baggrunden, og som også kan optage aktiviteten i fjernsessioner. PSM er særligt vigtigt for SMV’er, der har eksterne konsulenter og „boomerang“-medarbejdere (altså medarbejdere, der forlader organisationen og senere vender tilbage). De slutbrugere har typisk brug for mere opsyn og begrænset adgang.

Fordele ved at implementere en PAM-løsning fuldt ud

Ved at implementere en robust PAM-løsning fuldt ud kan SMV’er effektivt og holdbart:

Reducere sikkerhedsrisici.
Gøre den samlede angrebsflade mindre.
Sænke driftsomkostninger og kompleksitet.
Øge synligheden og situationsbevidstheden.
Forbedre overholdelsen af regler.

Det, der venter forude

I vores næste dybdegående kig på Devolutions’ undersøgelsesrapport om IT-sikkerhedens tilstand i SMV’er 2022-23 ser vi på, hvordan SMV’er prioriterer, implementerer og måler indsatsen for at forbedre bevidstheden om IT-sikkerhed, og hvordan de kan styrke det område for at forstærke det „svageste led“ i IT-sikkerhedens forsvarskæde: slutbrugerne.