En administrator er en bruger, der kan oprette og slette andre brugere, ændre opsætningen og i mange systemer se alt indhold. Det er nøglerne til huset. I mange mindre virksomheder kan ingen på stående fod sige, hvem der har dem, fordi adgangene er givet undervejs til en leverandør, en tidligere medarbejder eller den kollega, der var god til det. Svaret kræver hverken teknisk viden eller et stort projekt. I skal have en oversigt over administratorerne i hvert system, og virksomheden skal selv eje mindst én adgang til hvert af dem.
Hvorfor spørgsmålet hører til ledelsen
Teknikken kan klares af leverandøren. Spørgsmålet om, hvem der må have nøglerne til virksomhedens data, er en ledelsesbeslutning, på samme måde som det er ledelsen, der bestemmer, hvem der kan hæve på kontoen. Når ingen har truffet beslutningen, ender den hos den, der tilfældigvis oprettede systemet.
Tænkt eksempel: en virksomhed med 30 ansatte vil skifte leverandør af hjemmeside. Det viser sig, at domænet og mailen står på en konto, som en tidligere markedsmedarbejder oprettede i eget navn. Der er ingen uenighed med nogen, men virksomheden kan ikke selv komme ind, og det tager uger at få styr på. Tjek i god tid, hvem der står på den slags konti. Det er uddybet under hjemmeside, domæne og mail.
Oversigten på én side
Lav et enkelt ark med en linje for hvert system. Koderne skal ikke stå på arket, kun hvem der har adgangen:
- System. Hvad det hedder, og hvad det bruges til.
- Administratorer. Navne på personer, og hvilket firma de kommer fra.
- Egen adgang. Har virksomheden selv mindst én administrator, ja eller nej?
- Hvor adgangen opbevares. Hvem der kan finde den, hvis vedkommende er væk.
- Sidst gennemgået. Dato og hvem der gjorde det.
Bed IT-leverandøren om at levere listen for de systemer, leverandøren står for. En god leverandør kan gøre det hurtigt. Oversigten kan indgå på IT-kortet, så det hele findes samlet.
Her gemmer administratorerne sig
De fleste tænker på serveren og Microsoft 365. Listen er længere end som så, og disse steder bliver ofte glemt:
- Økonomisystem, ERP og CRM.
- Domæne, hjemmeside og webshop.
- Router, firewall (den boks, der styrer trafikken ind og ud) og WiFi.
- Backup, hvor en administrator ofte kan slette kopierne.
- Telefoni og mobilaftaler.
- Sociale medier og annoncekonti.
- Virk og Digital Post, hvor rettighedsadministratoren styrer, hvem der kan læse virksomhedens post.
- Fagsystemer og små abonnementer, afdelingerne selv har købt.
I Microsoft 365 er der en særlig beslutning om, hvem der ejer selve kontoen, se Microsoft 365 set fra ledelsen. Det samme gælder Digital Post, for uden en rettighedsadministrator kan posten ikke åbnes, som beskrevet i Hvem kan åbne virksomhedens Digital Post?.
Virksomheden skal selv eje mindst én adgang
Når leverandøren har alle administratoradgange, kan I ikke selv komme ind, hvis samarbejdet går i stå, eller hvis leverandøren er nede på det værste tidspunkt. Derfor skal I have mindst én adgang, som står i virksomhedens navn og ikke afhænger af en bestemt person eller leverandør.
Den slags konto kaldes ofte en nødkonto. Den bruges ikke i hverdagen. Oplysningerne opbevares et sikkert sted, som to personer i ledelsen kan finde, og I prøver en gang om året, om den virker. Få leverandøren til at oprette kontoen sammen med jer, og sæt en mail på den, der tilhører virksomheden og overlever, at en medarbejder stopper.
For leverandører gælder det modsatte. De skal have en adgang pr. navngiven person, så I kan se, hvem der har gjort hvad. En fælles konto, som hele teknikerholdet deler, gør det umuligt at lukke adgangen for én person.
Bogføringssystemet har sit eget krav
Bruger I et ikke-registreret bogføringssystem, kræver bogføringsloven § 15, stk. 1, nr. 2, at systemet følger anerkendte IT-sikkerhedsstandarder, herunder for bruger- og adgangsstyring. For registrerede systemer skal kunderne senest den 1. marts 2027 valideres med MitID, og så bliver spørgsmålet, hvem hos jer der kan foretage valideringen. Det handler artiklen om MitID-validering i bogføringssystemet om.
Hvor langt overblikket rækker
Oversigten giver ledelsen svar på, hvem der har nøglerne. Hvordan adgange beskyttes, hvilke krav der stilles til login, og hvordan risikoen vurderes, er sikkerhedsledelse. Den del finder I under CISO as a Service.
Det gør I nu
Bed leverandøren om listen over administratorer i denne uge, og udfyld resten af arket selv. Sæt et kryds ved hvert system, hvor virksomheden ikke selv har en adgang, og aftal en dato, hvor det er rettet. Fjern de navne, ingen kan forklare. Læg derefter gennemgangen ind i kalenderen to gange om året, og tilføj et punkt i fratrædelsesprocessen, så en administrator, der stopper, altid bliver fjernet.
Det skal I lade være med
- At lade leverandøren være eneste administrator · så kommer I kun ind, hvis leverandøren vil og kan.
- At dele en konto mellem flere · I kan hverken se, hvem der gjorde hvad, eller lukke for én person.
- At give direktøren administratorrettigheder til hverdagsbrug · den konto bruges til mail og er dermed mere udsat.
- At skrive koderne på oversigten · arket skal vise, hvem der har adgang, og intet andet.
Det skal I kræve af den eksterne
- ☐ En komplet oversigt over administratorer i alle systemer, også dem uden for leverandørens område.
- ☐ Mindst én adgang i virksomhedens navn til hvert kritisk system.
- ☐ Navngivne adgange til alle teknikere hos leverandøren.
- ☐ En fast gennemgang to gange om året med besked til ledelsen om ændringer.
Kilder
- Bogføringsloven (lov nr. 700 af 24. maj 2022): § 15, stk. 1, nr. 2.
- Virk: Digital Post: rettighedsadministrator og adgang til posten.
- Erhvervsstyrelsen: nye krav til registrerede bogføringssystemer: MitID-validering efter bekendtgørelse nr. 811 af 22. september 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Vikarer, konsulenter og eksterne: sådan får de adgang · Licensoverblik
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-chef hos Nielco IT
