Whitepapers

For angribere er privilegeret adgang præmien: Få administratorrettigheder (eller en vej til dem), og alt længere nede i kæden bliver hurtigere og billigere at kompromittere. Nye data om brud bekræfter, at:

• Misbrug af legitimationsoplysninger stadig er den mest almindelige vej til indledende adgang.
• Udnyttelse af sårbarheder er steget kraftigt.
• Ransomware indgår i en stor andel af brud og rammer SMV'er uforholdsmæssigt hårdt (Verizon 2025, 6).

Den dynamik gør privilegeret adgangsstyring (PAM) til den korteste vej til en mærkbar risikoreduktion — og til en forudsætning for at kunne forsikres og for at være klar til audit.

Brancheforskning viser dog også forvirring mellem PAM og tilgrænsende praksisser. Nogle teams indfører eksempelvis en adgangskodeadministrator som erstatning for en PAM-boks, eller de flytter budgetter over til full-stack-identitets- og adgangsstyring (IAM), som ikke imødekommer de umiddelbare behov hos små virksomheder (Mulholland 2019). Den forvirring forsinker de resultater, som auditorer og forsikringsselskaber i stigende grad forventer.

 

SMV'er behøver ikke „full-stack“-PAM for mærkbart at sænke risikoen, tilfredsstille auditorer og forsikringsselskaber og forbedre den operationelle disciplin. De har brug for IT-drevet PAM, et fundament i den rigtige størrelse, som de kan udrulle hurtigt og prisvenligt, drive i det daglige og skalere over tid.

 

TRUSSELBILLEDET FOR SMV'ER

 

• Trusler med legitimationsoplysninger i centrum: Forskning viser misbrug af legitimationsoplysninger som den førende vej til indledende adgang. Infostealer-logs indeholdt virksomhedens legitimationsoplysninger fra ikke-administrerede systemer eller BYOD-systemer i 46 % af de undersøgte tilfælde — et bevis på, at grundlæggende hygiejne (opbevaring i boks, rotation, enhedspolitik) betyder noget (Verizon 2025, 8).
• Udbuddet af stjålne legitimationsoplysninger: Credential dumps er vokset til 16 milliarder kompromitterede poster — brændstof til angreb med genbrug af adgangskoder (Lapienytė 2025).
• Udbredelse af ransomware: Ransomware indgår i 44 % af alle brud og rammer SMV'er uforholdsmæssigt hårdt, mere end dobbelt så hårdt som større organisationer (Verizon 2025, 6).
• Tredjeparters skadesradius: Tredjeparters involvering i brud er fordoblet til 30 %, hvilket hæver barren for adgangskontroller over for kontraktorer, leverandører og MSP'er (Verizon 2025, 7).
• Omkostningerne ved databrud: Det globale gennemsnit i 2024 nåede 4,88 mio. USD. SMV'ers samlede beløb er lavere, men den forholdsmæssige konsekvens kan være eksistentiel (IBM 2024, 6).

 

HVAD DER DRIVER SMV'ER MOD PAM

 

Ud over den truende skygge fra cybertrusler er der nogle almindelige udløsere, der får SMV'er til at søge PAM. Udløserne hænger især sammen med krav om compliance og cyberforsikring.

• NIS2 (EU): Officiel teknisk vejledning hæver forventningerne til adgangsgovernance og nævner administration af privilegerede konti som en kontrolpolitik (ENISA 2025, 135–136).
• ISO/IEC 27001:2022 bilag A 8.2: Denne globale standard kræver udtrykkeligt administration af privilegerede adgangsrettigheder (Dange 2024).
• Forsikringsselskabernes minimumskrav: Forsikringsgivere forventer i stigende grad hærdede adgangskontroller — ofte specificeret på spørgeskemaer, hvilket påvirker forsikringsbarheden og præmierne mærkbart (Marsh & McLennan Companies, Inc. 2022, 3).
• Amerikanske standarder: Myndigheder som CISA og National Security Agency (NSA) peger på mindste privilegium, stærk MFA og kontroller for privilegerede konti som metoder til at mindske trusler mod identitet og adgang (NSA og CISA 2023, 6). Memorandummet til executive order M-22-09 nævner også, at PAM er nødvendigt for „at forbedre sikkerheden i systemer med høje privilegier, som det er vanskeligt eller urealistisk at modernisere på kort sigt“, som led i landets ambitiøse cybersikkerhedsstrategi for zero trust-arkitektur (ZTA) (Office of Management and Budget 2022, 8). Selv om denne strategi vedrører offentlige myndigheder, sætter standarden alligevel et eksempel, som den kommercielle sektor (altså SMV'er) kan følge.

På tværs af rammeværker og tilsynsmyndigheder bliver teams typisk bedt om at „vise beviserne“ for, at privilegeret adgang styres stramt. Det koger som regel ned til artefakter, der beviser:

• Hvem der havde adgang (autorisationer, godkendelser, begrundelser og tidsbegrænsede adgangsvinduer).
• Hvilke hemmeligheder der er beskyttet (adgangskoder ligger i en boks, og legitimationsoplysninger indsprøjtes, så brugerne aldrig ser eller genbruger dem).
• Hvad der skete (sessionsoptagelse og logs med passende opbevaringstid).

Et kompakt, IT-drevet PAM-fundament dækker præcis disse artefakter.

 

HVORFOR FULL-STACK-PAM IKKE PASSER TIL SMV'ER

 

Full-stack-PAM defineres almindeligvis som en end-to-end-strategi, der spænder over administration af legitimationsoplysninger og hemmeligheder, sessionsadministration og -optagelse, administration af endpoint-privilegier (EPM/PEDM), administration af cloud-rettigheder og automatisering samt anvendelser med maskinidentitet, ideelt samlet på én platform (Haber 2025).

Selv om den bredde er attraktiv for store virksomheder, indebærer den typisk udrulninger med flere moduler, bredere integrationer og længere implementeringsvinduer — faktorer, der kan være ude af proportioner for små IT-teams, som har brug for værdi hurtigt (Haber 2025).

Uafhængige branchekommentarer bekræfter dette billede: Omkostninger og kompleksitet står ofte i vejen for, at SMV'er indfører sikkerhed, selv når bevidstheden om risikoen er høj (Germain 2025). Devolutions’ SMV-undersøgelse 2024–2025 viste, at mange små virksomheder stadig bruger manuelle metoder (regneark, delte bokse) til at administrere privilegerede legitimationsoplysninger, og at brugen af disse metoder er steget. Deltagerne nævnte omkostninger, manglende kendskab og lav oplevet nødvendighed som de største barrierer for at indføre formel PAM (2025, 11).

Mønstret er tydeligt: Tunge udrulninger rammer ofte forbi det vindue, hvor mindre teams skal se værdi.

Resultatet: Full-stack-PAM kan love bred dækning, men slår ofte fejl, når det gælder tid til værdi og driftspasning for SMV'er. Omvendt betyder ingen PAM (eller „bare en adgangskodeadministrator“), at man dumper til audits og efterlader stående privilegier, der kan udnyttes.

 

Det rigtige svar for små teams er et fokuseret sæt kontroller med PAM-grundelementer, afstemt med auditorernes forventninger og understøttet af moderne vejledning (NIS2, ISO 27001 A.8.2, NSA/CISA-standarder) og forsikringsselskabernes tjeklister.

 

Hvorfor adgangskodeadministratorer ikke rækker

Adgangskodeadministratorer sikrer og deler hemmeligheder, men de styrer ikke privilegeret adgang, sådan som auditorer og forsikringsselskaber forventer. Fordi de er designet til samarbejde og til at holde delte adgangskoder i omløb og tilgængelige, gør de fleste adgangskodeadministratorer ikke følgende:

• roterer automatisk adgangskoder efter brug
• har godkendelsesforløb med begrundelser og tidsafgrænset check-out
• integrerer med platforme til administration af fjernforbindelser (så fjernadgang ofte ender med, at man kopierer og indsætter eller husker adgangskoder i stedet for at indsprøjte legitimationsoplysninger)
• udfører opdagelse af privilegerede konti eller håndhæver mønstre for mindste privilegium på tværs af administratorer, leverandører og tjenestekonti

Ved audits viser disse huller sig som manglende evne til at bevise autorisation, opsyn og hygiejne efter brug, præcis den dokumentation, en formel PAM-platform er designet til at skabe.

 

DEN IT-DREVNE PAM-MODEL

 

Et IT-drevet program ejes af IT-administratorer, udrulles på timer eller dage (i stedet for uger, måneder — eller endda år) og fokuserer på et lille sæt kontroller, der stopper reelle angreb og svarer auditorer fra dag ét.

En praktisk baseline på SMV-niveau omfatter typisk:

• Opdagelse af privilegerede konti
• Opbevaring af legitimationsoplysninger i en boks
• Godkendelsesforløb og check-out af privilegerede konti
• Automatisk rotation og udbredelse af adgangskoder

Efterhånden som modenheden vokser, kan teams tilføje sessionsformidling og -optagelse, overvågning og rapportering, just-in-time-rettighedsforhøjelse (JIT) og nul stående privilegier (ZSP) for at indskrænke angrebsfladen fra den „altid aktive administrator“.

 

IT-DREVNE BEDSTE PRAKSIS (SMV'ER)

 

Grundlæggende

Prioriter opdagelse og rotation for administratorkonti. Kortlæg konti, og indfør adgangskoderotation for at stoppe tavse „evergreen“-administratorer, som forsikringsselskaber markerer (Devolutions n.d., „Account discovery“, „PAM password rotation policies“, „Propagation scripts“).

Standardiser administratoradgang via godkendte forløb. Kræv begrundelse og tidsbegrænsede godkendelser for enhver privilegeret handling, og rotér automatisk ved indtjekning (Devolutions n.d., „Check-out approvals“).

Indsprøjt (formidl) legitimationsoplysninger. Start sessioner (RDP, SSH, VNC, SFTP, Telnet osv.) via PAM-værktøjet med indsprøjtning af legitimationsoplysninger, så brugerne ikke kan se eller genbruge hemmeligheder (Devolutions n.d., „Session management“).

Avanceret, men tilgængeligt

Optag sessioner med høj risiko. Aktivér sessionsoptagelse med kontroller til pause og afbrydelse og en opbevaringstid, der følger politikken. Det skaber afgørende bevis til undersøgelser og auditorer. (Devolutions n.d., „Session recording“).

Udvikl en strategi for ekstern adgang og tredjepartsadgang. Brug leverandørspecifikke roller, godkendelser, midlertidig adgang og sessionsovervågning. DBIR 2025 viser, at tredjeparters involvering i brud er fordoblet til 30 % — derfor er det nødvendigt at bevise kontrol med ekstern adgang (Verizon 2025, 7; Devolutions n.d.).

Indfør JIT-rettighedsforhøjelse og ZSP. Giv kun administratorrettigheder, så længe opgaven varer, og fjern gruppemedlemskab ved indtjekning for at reducere din angrebsflade med «altid aktive» administratorer (Tenable 2023; Devolutions n.d., „Zero standing privilege“).

 

IT-DREVNE BEDSTE PRAKSIS (MSP'ER)

 

Adskil kunder. Hold separate bokse pr. kunde for at sikre dataadskillelse og adgangspolitikker på kontraktniveau.

Håndhæv mindste privilegium for teknikere. Giv kun de minimumsrettigheder, der er nødvendige pr. kunde, og prioriter administrationen af de vigtigste privilegerede „tier-0“-konti.

Indsprøjt (formidl) altid legitimationsoplysninger. Sørg for, at teknikere opretter forbindelse uden nogensinde at se hemmeligheder, og integrer formidlingen med dine forløb for fjernforbindelser.

Brug godkendelsesforløb ved privilegeret brug. Kræv begrundelse og tidsafgrænsede godkendelser af privilegerede handlinger, og behold dokumentation, der kan revideres.

Integrer dit værktøj til fjernforbindelser med din PAM-platform. Konfigurer det, så det henter privilegerede legitimationsoplysninger fra boksen, så politikker håndhæves ensartet, og handlinger logges.

 

KONKLUSION

 

Det siger forskningen

• Misbrug af legitimationsoplysninger og udnyttelse af sårbarheder dominerer den indledende adgang, ransomware indgår i næsten halvdelen af alle brud, og tredjepartseksponeringen stiger kraftigt (Verizon 2025, 6–7).
• Auditorer og forsikringsselskaber forventer i stigende grad MFA- og PAM-kontroller, mens cybersikkerhedsstandarder verden over kræver, at begrænsning og administration af privilegerede rettigheder kan dokumenteres (ENISA 2025; Dange 2024).
• SMV'er anerkender problemet, men går i stå med indførelsen på grund af omkostninger, kompleksitet og forvirring om, hvad PAM egentlig indebærer (Devolutions 2025; Mulholland 2019).

Den IT-drevne løsning

Start med PAM-grundelementer, som små teams kan udrulle og drive: opdagelse, opbevaring af legitimationsoplysninger i en boks, indsprøjtning af legitimationsoplysninger (formidling) og godkendelser. Når disse grundelementer er på plads, kan SMV'er styrke deres strategi med sessionsoptagelse, rotation og udbredelse samt JIT/ZSP.

Dette fundament reducerer drastisk angrebsfladen fra legitimationsoplysninger og stående privilegier i dag, skaber den dokumentation, audits kræver, og bygger en skalerbar indgang til bredere styring af privilegier og hemmeligheder, efterhånden som modenheden vokser.

 

Devolutions’ IT-drevne PAM-løsningspakke samler det essentielle sikkerhedsfundament, som SMV'er har brug for, til en brøkdel af prisen for full-stack:

• Med fokus på det essentielle: Opdagelse af privilegerede konti, opbevaring i boks med formidlet adgang, rotation og udbredelse af adgangskoder, godkendelsesforløb og indbygget MFA.
• Prisvenlig: Gennemsigtige priser, der passer til SMV-budgetter.
• Let: Hurtig udrulning og enkel ibrugtagning — udrulles på timer eller dage i stedet for uger eller måneder (eller endda år).
• Fleksible muligheder for dataopbevaring: Både cloud-hostet (Devolutions Cloud) og self-hostet (Devolutions Server) dataopbevaring tilbydes.
• Vej til modenhed: Indbygget JIT-rettighedsforhøjelse og ZSP hjælper teams med at gå fra PAM-grundelementer til stærkere kontroller for mindste privilegium uden at skifte platform. PAM-løsningspakken dækker også administration af fjernforbindelser (fx sessionsovervågning og -optagelse) ved at inkludere branchens førende IT-favorit: Remote Desktop Manager.

 

Kort sagt

Hvis du er en SMV, et IT-team i mid-market eller en MSP, der jonglerer med mange små virksomheder, giver IT-drevet PAM dig de rigtige kontroller med det samme, så du kan reducere risikoen for brud, bestå audits og opfylde forsikringsselskabernes krav uden kompleksiteten og omkostningerne ved full-stack-udrulninger til enterprise.