Dybdeanalyse: Adgangskodeadministratorer er nyttige — men de er ikke PAM

Rapporten Devolutions’ undersøgelse om IT-sikkerhedens tilstand i SMV’er 2024-25 er nu tilgængelig. Der er meget at udforske og pakke ud — alt fra insidertrusler til kunstig intelligens — men en af de største afsløringer er, at 52 % af SMV’erne endnu ikke har indført en sikker, effektiv og automatiseret løsning til privilegeret adgangsstyring (PAM). Det er alarmerende, når man tænker på, at:

• 74 % af databrud starter med misbrug af privilegerede legitimationsoplysninger
• 55 % af organisationerne ikke ved, hvor mange privilegerede konti de har, eller hvor de ligger
• Over 50 % af de privilegerede konti aldrig udløber eller bliver deprovisioneret

Vi har for nylig lanceret en serie i fire dele for bedre at forstå, hvad der holder nogle SMV’er fra at indføre (eller fuldt ud indføre) en PAM-løsning. I del 1 tog vi sigte på en klassiker i arbejdslandskabet — regneark — og delte 10 grunde til, at de kan være fremragende til opgaver som budgetprognoser, men er elendige til PAM. Hvis du missede den, kan du læse den her.

Lad os nu gå videre med del 2 i serien. Her sætter vi fokus på et arbejdsværktøj, der skaber en farligt falsk følelse af IT-sikkerhed i mange SMV’er: adgangskodeadministratorer.

Forretningskontinuitet over for sikkerhed

Ifølge rapporten Devolutions’ undersøgelse om IT-sikkerhedens tilstand i SMV’er 2024-25 har 30 % af toplederne i SMV’er ikke indført en PAM-løsning, fordi de bruger en adgangskodeadministrator med bokse og mener, at det er tilstrækkeligt.

Synspunktet er forståeligt, for adgangskodeadministratorer nævnes nogle gange i artikler, videoer og samtaler om PAM. Dertil kommer, at nogle leverandører, der sælger adgangskodeadministratorer, omtaler deres produkter som „PAM-løsninger“ eller som noget, der „muliggør PAM“. De påstande er ikke bare marketingsnak. De er vildledende markedsføring.

Her er den virkelige historie: I bund og grund er adgangskodeadministratorer værktøjer til forretningskontinuitet og ikke sikkerhedsværktøjer. De lader brugerne dele bokse, der indeholder forskellige typer følsomme data, for eksempel kontologin, kreditkortnumre, oplysninger om fjernforbindelser og så videre.

Funktionaliteten er bekvem og effektiv. Tænk på et scenarie, hvor en bruger, der har oprettet og brugt flere adgangskoder, forlader organisationen. Uden bokse kan de tidligere kolleger være nødt til at lede i regneark og notesblokke for (forhåbentlig) at finde adgangskoderne. Med bokse logger de bare ind og får det, de har brug for.

Vi kan tydeligt se værdien af adgangskodeadministratorer, når det gælder forretningskontinuitet og administrativ lethed. De fordele har dog intet med reel cybersikkerhed at gøre, for den overraskende sandhed er, at adgangskodeadministratorer i sig selv er usikre.

Den afgående bruger behøver blot kopiere adgangskoderne og indsætte dem i en anden fil. Ja, en organisation kan skifte alle adgangskoder, hver gang nogen stopper. Men det er kedeligt og tidskrævende. Og hvad med automatisk at nulstille adgangskoder efter hver brug? Det kan virke for interne konti, men ikke for tredjepartsapps eller adgangskoder til websites.

Adgangskodeadministratorer kan øge bevidstheden — men ikke sikkerheden

For at gøre det endnu mere forvirrende tilbyder adgangskodeadministratorer typisk funktioner, der handler om adgangskodesikkerhed, for eksempel:

• Tjek mod en liste over kendte kompromitterede adgangskoder
• Generator af stærke adgangskoder
• Håndhævelse af minimale adgangskodekrav
• Logning

Funktioner som dem er nyttige. Men når vi ser nærmere på dem, indser vi, at de faktisk ikke gør organisationer mere sikre. I bedste fald hjælper de organisationer med at blive opmærksomme på mulige problemer og sårbarheder. De er reaktive af natur og ikke proaktive. De viser, hvor sikkerheden i organisationen bør BEGYNDE. De fastlægger ikke, hvor den bør SLUTTE.

Det gælder især for tekniske brugere som systemadministratorer og helpdesk-medarbejdere. De professionelle arbejder der, hvor sikkerhedsbehovene og risiciene er størst. For dem er det ikke bare helt utilstrækkeligt at bruge en adgangskodeadministrator til PAM. Det er ekstremt usikkert.

Smid ikke adgangskodeadministratoren ud — tilføj PAM

Vi råder ikke SMV’er til at smide deres foretrukne og velkendte adgangskodeadministrator ud. Som nævnt er adgangskodeadministratorer praktiske og nyttige værktøjer til forretningskontinuitet. De kan også hjælpe med at øge bevidstheden om sårbarheder. Og værktøjer som generatorer af stærke adgangskoder kan fremme god adgangskodehygiejne og gode vaner hos slutbrugerne (som desværre altid vil være det svageste led i IT-sikkerhedskæden). Alt det er positivt.

Det, vi opfordrer SMV’er til, er at supplere deres adgangskodeadministrator med et ægte PAM-produkt. Det er en løsning, der har indbyggede funktioner som:

• Opdagelse af privilegerede konti
• Rollebaseret adgangskontrol (RBAC)
• Sikker indsprøjtning af legitimationsoplysninger
• Godkendelse af anmodninger om check-out
• Automatisk og planlagt rotation af adgangskoder
• Just-in-time-rettighedsforhøjelse af rettigheder
• Udbredelse af adgangskodeskift
• Sessionsoptagelse
• Administrative rapporter og revision
• Indbyggede godkendelsespolitikker

Med en ægte PAM-løsning — og ikke bare et værktøj til forretningskontinuitet, der er mærket som adgangskodeadministrator — får SMV’er fuld kontrol og synlighed over deres vigtigste og mest følsomme konti (også kaldet „nøglerne til kongeriget“).

Med de stigende risici og de potentielt katastrofale omkostninger ved et databrud — i øjeblikket i gennemsnit 4,88 millioner USD pr. hændelse — må ledere i SMV’er ikke se PAM som unødvendigt, bare fordi de har en adgangskodeadministrator. PAM bør i stedet ses som et grundlæggende krav og en afgørende investering i organisationens nuværende og fremtidige succes.

„PAM til os andre!“

Ledere, der nu indser, at de faktisk ikke har PAM i deres SMV (på trods af det, leverandører af adgangskodeadministratorer måske har lovet dem), skal ikke være bekymrede. Vejen frem er klar: se nærmere på Devolutions PAM.

Devolutions PAM er en grundlæggende sikkerhedsplatform, der er designet til at styre, overvåge og sikre ophøjet adgang for brugere, konti, processer og systemer på tværs af organisationen. Den integrerer gnidningsfrit med virksomhedssystemer, understøtter en bred vifte af sikkerhedsprotokoller og følger governance-standarder. Og lige så vigtigt er Devolutions PAM let at betale og designet specifikt til SMV’er. Der er ingen dyr overhead, og vores eksperter står klar til at hjælpe (uden ekstra omkostning), så implementeringen bliver hurtig og problemfri.

Hos Devolutions mener vi, at SMV’er har brug for den samme robuste sikkerhed og fulde synlighed omkring privilegeret adgang, som store virksomheder har — men uden at blive tynget af overdreven kompleksitet, stejle indlæringskurver eller at sprænge deres begrænsede IT-sikkerhedsbudgetter. Vi kalder det „PAM til os andre!“

PAM Champion

Vi er også glade for at kunne nævne, at Devolutions for nylig blev kåret som Champion 2025 i PAM Emotional Footprint-rapporten fra Info-Tech Research Group. Rapporten kvantificerer brugeroplevelsen i forhold til produktværdi og styrken af relationen mellem bruger og leverandør. Devolutions opnåede en perfekt Net Emotional Footprint-score på +100. Vi var også en af de få leverandører, der fik 100 % positiv feedback uden negativ stemning.

Læs mere, og se de næste skridt

Hvis du vil vide mere, så kontakt os i dag på sales@devolutions.net. Vi inviterer dig også til at udforske vores helt nye Starter Pack, som leverer Devolutions PAM (og mere) til op til fem brugere. Læs mere, og start en gratis prøveperiode.

Del 3 er på vej

I næste del af serien fokuserer vi på endnu en forhindring, som ifølge undersøgelsesrapporten holder nogle SMV’er fra at indføre en omfattende PAM-løsning: synspunktet om, at multifaktorgodkendelse (MFA) driver robust sikkerhed i hele organisationen og fungerer som et „sikkerhedsnet“ for dårlig adgangskodepraksis.

Vi ser på, hvorfor det synspunkt er forkert, og deler, hvad SMV’er kan gøre for at forbedre adgangskodehygiejnen, styrke håndhævelsen af politikker og sænke deres IT-sikkerhedsrisiko markant.