Laurence CadieuxTilbage i 2005 skrev sikkerhedsforskeren Mark Burnett en bog, der hedder Perfect Passwords, hvor han rådede folk til at vælge én dag om året til at gennemgå og skifte deres adgangskoder. Intel kunne lide idéen om en særlig dag, hvor folk fokuserede på den samlede bevidsthed om og hygiejne omkring adgangskoder (og ikke kun på at rotere adgangskoder), og den 2. maj 2013 lancerede teknologigiganten den første Verdens adgangskodedag. Siden da er den blevet afholdt den første torsdag i maj.
Når vi markerer den niende årlige Verdens adgangskodedag i 2022, spørger vi: Bliver organisationer og deres slutbrugere bedre til adgangskodeadministration, eller bliver de dårligere? Det viser sig, at svaret er begge dele! Lad os starte med de positive tendenser og den gode praksis.
2FA og adgangskodeadministratorer er i fremgang
Ifølge Bitwardens Password Decisions Survey 2022 bruger 88 % af IT-beslutningstagerne på verdensplan tofaktorgodkendelse (2FA). Ganske vist er 2FA ikke skudsikker. Alligevel er den en afgørende del af god adgangskodeadministration. Undersøgelsen viste også, at 86 % bruger adgangskodeadministratorer, hvilket er en stigning på 9 % i forhold til året før.
Selv om den stigende brug af adgangskodeadministratorer er godt nyt, gælder tallet ikke nødvendigvis for alle typer organisationer. Undersøgelsen Devolutions’ undersøgelse af cybersikkerhedens tilstand i SMV’er i 2021-2022 viste, at 71 % af SMV’erne brugte en adgangskodeadministrator, hvilket var et fald på 10 % i forhold til året før.
Hvad kan forklare faldet? Den mest sandsynlige grund er, at nogle SMV’er — på trods af rigeligt med beviser for det modsatte — bliver ved med at have den fejlagtige overbevisning, at de ikke er lige så sårbare som store organisationer og enterprise-virksomheder. I bund og grund tænker de SMV’er: „Vi er ikke blevet hacket endnu, derfor må de metoder, vi bruger til at gemme og dele adgangskoder, være sikre“. Den opfattelse er åbenlyst forkert, men som det gamle mundheld siger: Gamle vaner er svære at slippe (både de gode OG de dårlige!).
Adgangskodeadministratorer: cloud kontra on-premises?
Om et øjeblik ser vi på andre foruroligende tendenser inden for adgangskodeadministration, som undersøgelsen afdækker. Men først dykker vi dybere ned i adgangskodeadministratorer og ser på et afgørende — og for nogle komplekst og forvirrende — aspekt: cloud kontra on-premises.
I bund og grund bør beslutningen handle om organisationens konkrete behov for adgangskodeadministration, som varierer efter flere faktorer, blandt andet (men ikke kun):
- Brugernes placering og roller
- Krav til tilgængelighed
- IT-miljøets størrelse og kompleksitet
- Værdien af de data, der skal beskyttes
- Krav til compliance og sikkerhed
I nogle tilfælde er det klogere at indføre hybride udrulninger, der kombinerer elementer fra både cloud- og on-premises-løsninger. Derudover kan én og samme løsning udrulles flere gange for at håndhæve politikker som funktionsadskillelse (SoD).
Uanset hvilken løsning til adgangskodeadministration en organisation vælger — on-premises, cloud, gratis eller betalt — er det afgørende at definere alle behov (nuværende og forventede) klart, før man køber teknologi.
Det er stadig et problem at gemme, vælge og dele adgangskoder
Vi nævnte for et øjeblik siden, at nogle tendenser inden for adgangskodeadministration er problematiske i stedet for positive. Her er de uhyggelige detaljer: Ifølge den nævnte Bitwarden-undersøgelse sagde 53 % af respondenterne, at de gemmer adgangskoder i regneark og andre dokumenter, 42 % stoler på hukommelsen, og 29 % bruger pen og papir.
Og historien bliver værre: 53 % af IT-beslutningstagerne deler adgangskoder via e-mail, hvilket er 14 % højere end sidste år. Uden tvivl ligger den hurtige udbredelse af fjernarbejde bag tendensen. Og på trods af talrige højprofilerede cyberangreb og voksende sårbarheder forårsaget af fjernarbejde indrømmede 92 % af respondenterne, at de genbruger de samme adgangskoder på flere konti, 41 % deler adgangskoder via chat, og 31 % deler adgangskoder i samtale.
Er svaret at fjerne adgangskoderne?
I teorien kunne de sårbarheder, der følger med adgangskoder, løses ved at fjerne dem. Desværre er det i praksis — i hvert fald indtil videre — ikke en farbar løsning for de fleste organisationer (og stort set alle SMV’er), som ikke praktisk eller økonomisk kan indføre en helt adgangskodeløs infrastruktur. Dertil kommer, at adgangskoder på trods af deres iboende ulemper er meget alsidige og kan bruges på enhver enhed, når som helst og fra ethvert sted.
Da det er upraktisk at fjerne adgangskoder, er den næstbedste mulighed at lukke hullet ved at vælge en hybrid tilgang. En sådan hybrid tilgang bruger en konto, der er knyttet til en identitetsudbyder (IdP), til at autentificere sig mod en løsning til privilegeret adgangsstyring (PAM). Resultatet er, at slutbrugerne kun behøver én enkelt adgangskode for at oprette forbindelse til konti for fritstående, ikke-fødererede aktiver (for eksempel printere, netværksudstyr, specialmaskiner og så videre), mens PAM-løsningen letter forbindelsen til alle andre konti. Mere avancerede PAM-løsninger lader også organisationer tilføje større kontrol gennem funktioner som sikker indsprøjtning af legitimationsoplysninger, krav om adgangsanmodning og tidsbegrænset brug.
Et blik fremad
Hele 81 % af de hackerrelaterede brud involverer stjålne eller svage adgangskoder, og den gennemsnitlige omkostning ved et enkelt databrud er steget til 4,24 millioner USD pr. hændelse — det højeste beløb nogensinde.
At administrere, gemme og dele adgangskoder ordentligt (hvilket omfatter at overvåge brugen af dem) er noget, alle organisationer SKAL gøre for at styrke deres forsvar og minimere deres eksponering. På denne Verdens adgangskodedag opfordrer vi kraftigt alle organisationer til at gøre det til en topprioritet. Risiciene og det, der står på spil, er højere end nogensinde, og god praksis for adgangskodeadministration er ikke bare vigtig. Den er afgørende.