Steven LafortuneVi har for nylig udgivet rapporten for Devolutions’ undersøgelse om IT-sikkerhedens tilstand i SMV’er 2024-25. Der er mange interessante fund, men en af de vigtigste — og mest foruroligende — indsigter handler om, hvordan SMV’er håndterer privilegeret adgang.
På den positive side har nogle SMV’er indført pålidelige og effektive værktøjer til privilegeret adgangsstyring (PAM), som markant styrker deres cybersikkerhedsprofil, understøtter deres forpligtelser til governance og compliance og mindsker deres risiko. På den negative side har mange SMV’er endnu ikke taget det nødvendige skridt. Noget holder dem tydeligvis tilbage. Men hvad kan det være?
Læs hele rapporten om IT-sikkerhedens tilstand i SMV’er i 2025.
Ny serie
For at besvare det afgørende spørgsmål lancerer vi en ny serie i fire dele, der går i dybden med undersøgelsesrapporten og ser på de centrale grunde til, at mange SMV’er stadig støtter sig til ineffektive og usikre metoder til at administrere adgangen til deres mest følsomme aktiver.
Vi skyder serien i gang nedenfor med et af de mest opsigtsvækkende og bekymrende fund i hele undersøgelsen — et fund, der udsætter mange SMV’er for langt større risiko, end de er klar over.
Regneark til PAM: Udbredt? Ja. Sikkert? Nej.
Trods den voksende bevidsthed om, at privilegeret adgang er en kritisk risikoflade, viste undersøgelsesrapporten, at 52 % af SMV’erne stadig støtter sig til manuelle værktøjer som regneark til at administrere følsomme legitimationsoplysninger.
Det er ikke svært at forstå, hvorfor mange SMV’er vælger den tilgang. Regneark er almindelige og velkendte og bruges rutinemæssigt til alverdens arbejdsopgaver — alt fra budgetprognoser til udgiftsopfølgning. Desværre er regneark og PAM ikke et godt makkerpar.
10 grunde til, at det er en fejl at bruge regneark til PAM
Nedenfor fremhæver vi 10 grunde til, at det er usikkert, ineffektivt og utilstrækkeligt at bruge regneark til PAM.
1 - Meget usikkert
Regneark understøtter i sig selv ikke de robuste sikkerhedsfunktioner, der skal til for at beskytte følsomme data som adgangskoder og adgangsnøgler. De mangler kryptering, finkornet adgangskontrol, sikker deling og alarmering.
Og hvad med at sikre et regneark med en adgangskode? Den (oplevede) beskyttelse er ikke noget match for nutidens cyberkriminelle. Kort sagt: Regneark er aldrig designet til at fungere som en egentlig adgangskodeadministrator og boks. Det kan være udbredt at bruge dem sådan, men det er overvældende usikkert.
2 - Intet revisionsspor
Regneark understøtter ikke omfattende revisionsspor, og derfor er det umuligt at se, hvem der har haft adgang til hvad og hvornår. Det hæmmer brugeradministration og compliance (mere om det i næste punkt).
3 - Udfordringer med compliance
Mange SMV’er står over for (eller kommer snart til at stå over for) strenge krav til sikker kontrol af privilegeret adgang fra lovgivere, tilsynsmyndigheder og forsikringsselskaber. Regneark understøtter ikke den forpligtelse, for som nævnt er de aldrig designet som IT-sikkerhedsværktøjer.
4 - Hæmmer skalerbarheden
I takt med at SMV’er udvikler sig, bliver deres datasæt og krav til adgangsstyring større og mere komplekse. At bruge regneark til PAM er en hindring for vækst snarere end en hjælp. I stedet for større synlighed og mere kontrol kan SMV’er kæmpe med dårlig datahygiejne og uensartet anvendelse af standarder og regler — og ende med mere risiko og mindre sikkerhed.
5 - Tilbøjelig til fejl
En regnearksvits, der cirkulerer, lyder sådan her:
Person 1: „Glasset er 1/2 fuldt.“ Person 2: „Glasset er 1/2 tomt.“
Regnearket: „Glasset er 2. januar.“
Sjovt, ikke? Det, der ikke er sjovt, er, hvor tilbøjelige regneark er til datafejl, både dem, der skyldes formatering og formelregler (herunder standarder, som ingen kan huske at have sat i første omgang), og menneskelige fejl. Når det handler om at styre og administrere noget så kritisk som PAM, er de fejl mere end irritationsmomenter. De er risici, der kan hæmme produktiviteten og øge sårbarheden.
6 - Ingen avanceret PAM-funktionalitet
Regneark understøtter ikke avancerede PAM-funktioner som automatisk rotation af adgangskoder, sikker indsprøjtning af adgangskoder, sessionsovervågning, integration med andre systemer i miljøet og mere. Funktionerne gør ikke kun PAM langt lettere og mere effektivt. De øger også synlighed, sikkerhed, kontrol og governance.
7 - Formel-hovedpine
Hvor mange gange har vi ikke stirret forfærdet på et regneark, der er så fyldt med formler og konfigurationer, at selv den mindste ændring — eller bare en utilsigtet justering — kan få det hele til at vælte som et korthus? Desværre er det den virkelighed og den risiko, mange SMV’er lever med hver dag i deres regneark (eller måske flere regneark) med adgangskoder og andre følsomme data. Det er kun et spørgsmål om tid, før noget går galt.
Dertil kommer frygten for, at den lokale „regnearksguru“, som har lappet det hele sammen gennem årene, går på længere orlov eller siger op og efterlader et digitalt monster, som ingen kan tæmme. En egentlig PAM-løsning hjælper SMV’er med at undgå den skæbne.
8 - Mareridt med versionsstyring
Regneark, der bruges til at gemme adgangskoder, bliver hele tiden opdateret (eller det bør de i hvert fald). Problemet er, at flere personer kan have lov til at lave ændringerne. I så fald er det rodet, kedeligt og måske umuligt at følge opdateringerne. Det er særligt frustrerende for brugere, der skal have adgang til adgangskoder fra fjerne steder. Når dataene i regnearket er forkerte, må de skynde sig at finde de rigtige oplysninger — ofte foran en uimponeret kunde.
En omfattende PAM-løsning gør ende på mareridtene med versionsstyring, fordi alle altid ser de samme oplysninger, som ligger ét centralt sted. Og hvis noget skal justeres, er logning og sporing af ændringer tydelig — i modsætning til at forsøge (og ofte mislykkes med) at navigere i og skabe mening i et regnearks snørklede versionshistorik, hvor det at flytte et komma vejer lige så tungt som at ændre en adgangskode.
9 - Problemer med deprovisionering
Et af kernekravene i sikker og standardiseret PAM-governance er at deprovisionere risikable og inaktive konti. Regneark gør den grundlæggende opgave svær og kedelig. Resultatet er større sårbarhed og vedvarende administrativ hovedpine.
10 - Kan fremme „skygge-IT“
Sidst, men bestemt ikke mindst, er en af de største risici, alle organisationer står over for, „skygge-IT“. Det dækker over brugen af uautoriseret software, applikationer eller tjenester uden IT-afdelingens udtrykkelige viden og godkendelse. Gartner forudser, at 75 % af medarbejderne i 2027 vil anskaffe, ændre eller skabe teknologi uden for IT’s synsfelt, op fra 41 % i 2022.
Slutbrugere, der er trætte af regneark, fordi de er forældede, uorganiserede eller tidskrævende (eller alt det på én gang), kan begynde at bruge deres egne værktøjer og apps til adgangskodeadministration. Motivet er forståeligt, men resultatet er en sårbarhed, der sætter data i fare og kan underminere governance-standarder og compliancekrav.
Vejen frem
Regneark har eksisteret i årtier, og de vil eksistere i årtier endnu. Og der er mange gode grunde til det. Til mange opgaver på arbejdspladsen er regneark effektive og hensigtsmæssige (og lad os ikke glemme herligheden ved knappen „autosum“, som desværre får alle vores matematiklærere, der brugte så megen tid og energi på at uddanne os, til at ryste på hovedet af skuffelse).
Når det derimod handler om at gemme og dele adgangskoder og om at administrere og styre adgangen til privilegerede konti, er det en fejl at bruge regneark. Faktisk er det 10 fejl, som vi lige har gennemgået.
Vejen frem er klar: SMV’er, der stadig bruger regneark (og andre manuelle processer), bør starte rejsen med en let PAM-løsning, der integrerer med deres stak og understøtter just-in-time-adgang, sessionslogning og håndhævelse af politikker — uden en fuldtidsansat systemadministrator.
Devolutions’ pakke af løsninger til adgangskodeadministration for medarbejdere opfylder det krav perfekt. Trioen Devolutions Password Manager, Devolutions Cloud og Devolutions Server gør det muligt for SMV’er at:
-
Administrere legitimationsoplysninger: Gemme og dele adgangskoder sikkert på tværs af organisationen
-
Håndhæve sikkerhed: Beskytte følsomme data ved at indføre godkendelsespolitikker og multifaktorgodkendelse (MFA)
-
Strømline adgang: Give brugerne hurtig adgang til autoriserede konti med single sign-on og understøttelse på tværs af platforme
Lige så vigtigt er det, at Devolutions’ løsninger til administration af medarbejdernes adgang er designet til SMV’er. Der er ingen dyr overhead og ingen unødig kompleksitet. Vores løsninger giver mening strategisk, driftsmæssigt og økonomisk.
Mesterskabsklasse
Vi er også glade for at kunne nævne, at Devolutions for nylig blev kåret som Champion 2025 i PAM Emotional Footprint-rapporten fra Info-Tech Research Group. Rapporten kvantificerer brugeroplevelsen i forhold til den værdi, et produkt giver, og styrken af relationen. Resultatet er en score for „Net Emotional Footprint“, der afspejler den samlede stemning. Devolutions opnåede en perfekt Net Emotional Footprint-score på +100, og vi var en af de få leverandører, der fik 100 % positiv feedback uden negativ stemning.
Læs mere, og se de næste skridt
Hvis du vil vide mere og sige farvel til regneark — i hvert fald når det gælder PAM — så kontakt os i dag på sales@devolutions.net.
Vi inviterer dig også til at udforske vores helt nye Starter Pack, som giver vores løsninger til administration af medarbejdernes adgang (og mere) til op til fem brugere. Læs mere, og start en gratis prøveperiode.
Del 2 er på vej
I næste del af serien tager vi fat på endnu en forhindring, som ifølge undersøgelsesrapporten holder nogle SMV’er fra at indføre en omfattende PAM-løsning: troen på, at de „endnu ikke er store nok til at have brug for PAM“.
Vi ser på, hvorfor det synspunkt er forkert — og hvad SMV’er bør forstå og gøre for at styrke sikkerheden i hele organisationen uden at sprænge budgettet eller tynge administrationen. Følg med.