En vikar skal bruge en konto i morgen, revisoren vil se noget i økonomisystemet, og en konsulent skal ind i projektmappen i tre måneder. Adgangen bliver oprettet i en fart, ofte af den, der kender koden, og så glemmer alle den. For ansatte har mange efterhånden en fast proces. For eksterne er der sjældent en, og derfor står gamle konti tilbage længe efter, at personen er væk. Tre ting løser det: en enkel bestilling, en udløbsdato på alle konti og en navngiven intern ansvarlig for hver ekstern.
Hvem taler vi om?
Eksterne falder i fire grupper, og de har forskellige behov.
- Vikarer og timelønnede. De arbejder som ansatte i en kort periode og skal bruge det samme som dem, de afløser, eller mindre.
- Konsulenter og rådgivere. De skal have adgang til et bestemt projekt, en bestemt mappe eller et enkelt system.
- Leverandørens teknikere. De logger på for at drive eller rette systemer, ofte med høje rettigheder.
- Revisorer og andre samarbejdspartnere. De skal typisk læse, og de behøver sjældent mere.
Processen for ansatte dækker den første gruppe delvist, men den forudsætter, at HR ved, hvornår nogen stopper. Det gør HR ikke altid, når en konsulent er købt af en afdelingsleder.
Bestillingen: fem felter
Bestillingen behøver ikke være et system. En fast mail eller en formular med fem felter er nok:
- Hvem skal have adgang, og fra hvilken virksomhed?
- Hvad skal personen bruge den til?
- Hvilke systemer og mapper er nødvendige?
- Hvem er intern ansvarlig?
- Hvornår slutter adgangen?
Felterne går til den, der må bestille hos leverandøren. Se hvem der må ringe til IT-leverandøren. Er et felt tomt, oprettes kontoen ikke. Den regel kan virke stram første gang, men den bliver hurtigt en vane, og den sparer jer for oprydning.
Giv kun den adgang, opgaven kræver. Det er nemmere at åbne for mere, når behovet viser sig, end at finde ud af bagefter, hvem der så hvad.
Udløbsdatoen er det vigtigste felt
Alle eksterne konti skal have en slutdato fra starten, og datoen skal gerne sættes i selve systemet, så kontoen lukker af sig selv. I Microsoft 365 kan adgang for gæster og eksterne konti styres med udløb, når det er sat op. Spørg driftsleverandøren, hvordan det gøres hos jer, og i hvilke systemer det ikke kan lade sig gøre.
I de systemer, hvor det ikke kan automatiseres, kommer datoen i kalenderen hos den interne ansvarlige. Skal adgangen forlænges, skal den ansvarlige selv bede om det med en ny dato. Så skal nogen tage stilling, og uden svar lukker kontoen. Det er sjældent galt at lukke en adgang en uge for tidligt, for den kan åbnes igen på få minutter.
Datoen hører hjemme på én liste. Det kan være en fane i administratoroversigten eller et ark for sig. Gå listen igennem en gang om måneden sammen med licensafstemningen. Mange eksterne optager en licens, og det gør udgiften synlig, når de bliver glemt.
Hver person sin egen konto
En konto, der hedder “vikar” og går på skift, er nem i dag og umulig i morgen. I kan ikke se, hvem der har gjort hvad, og koden skal skiftes hver gang nogen stopper, hvilket sjældent sker. Hver person skal derfor have sin egen konto, også når den kun skal bruges i to uger.
Det gælder også leverandørens teknikere. Bed om navngivne konti pr. tekniker i stedet for en fælles servicekonto, og få en liste over, hvem hos leverandøren der har adgang. Stopper en tekniker, skal I have besked. Aftal samtidig, om fjernadgang er åben hele tiden, eller om jeres kontaktperson skal give lov hver gang. Svaret afhænger af jeres drift, og det skal stå i aftalen.
Vil I gå dybere i, hvilke krav der skal stilles til leverandørers adgang ud fra et sikkerhedsperspektiv, så hører det til i sikkerhedsledelsen og dermed under CISO as a Service.
Den interne ansvarlige
Ledelsen bærer ansvaret for adgangene, og det kan ikke overlades til den eksterne. Derfor har hver ekstern en fast intern ansvarlig, normalt den, der har bestilt opgaven. Personen svarer på, om adgangen stadig er nødvendig, og giver besked, når opgaven er løst. Stopper den ansvarlige selv, skal de eksterne konti overdrages som en del af fratrædelsen.
Når opgaven er slut
Den sidste dag skal ikke afhænge af nogens hukommelse. Fast afslutning betyder, at kontoen lukkes, at udstyr og adgangskort kommer tilbage, at filer flyttes til jeres egne mapper, og at koder, den eksterne har kendt, bliver skiftet. Datatilsynet behandler i sit katalog over foranstaltninger tilpasning af adgangsrettigheder, når et ansættelsesforhold ændrer sig. Det er skrevet om ansatte. At samme tankegang passer på eksterne, er vores vurdering, og den er let at bruge i praksis.
Hvad gør I nu?
Bed driftsleverandøren om en liste over alle konti, der ikke tilhører en ansat, herunder gæster i Microsoft 365 og leverandørens egne konti. Sæt en intern ansvarlig på hver. Dem, ingen vil stå ved, lukkes efter en kort varsling. Tag derefter de fem felter i brug fra næste bestilling.
Det skal I lade være med
- At dele en konto mellem flere · så kan I ikke se, hvem der har gjort hvad.
- At oprette adgange uden slutdato · de bliver stående, længe efter opgaven er slut.
- At lade leverandøren alene holde styr på sine egne adgange · listen skal ligge hos jer.
- At give fulde rettigheder for en sikkerheds skyld · åbn for det, opgaven kræver, og udvid ved behov.
Det skal I kræve af den eksterne
- ☐ En liste over alle eksterne konti med ansvarlig og udløbsdato.
- ☐ En enkel bestilling, som alle afdelinger kan bruge.
- ☐ Udløb sat op i de systemer, der kan klare det.
- ☐ Besked fra leverandøren om, hvilke teknikere der har adgang.
- ☐ Månedlig gennemgang af listen sammen med licenserne.
Kilder
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem har administratoradgang hos jer? · Egen mobil og pc på arbejdet
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-chef hos Nielco IT
