Adgangskontrol

Adgangskontrol er den samlede betegnelse for de mekanismer, der sikrer, at kun de rette brugere kan tilgå de rette systemer og data på det rette tidspunkt. Det er en central sikkerhedsforanstaltning, der er krævet i GDPR, ISO 27001, NIS2 og de fleste andre sikkerhedsrammer.

Tilbage til ordbog

Hvad er adgangskontrol?

Adgangskontrol (access control) er en samlet betegnelse for processer og teknologier, der styrer, hvem der kan se og bruge ressourcer i et computermiljø. Det dækker autentificering (bekræftelse af identitet), autorisation (hvad du må gøre) og regnskab/revision (hvad du har gjort).

Stærk adgangskontrol er fundamentet for informationssikkerhed: Selv med krypterede data og sikre systemer er sikkerheden kompromitteret, hvis de forkerte personer har adgang. Adgangskontrol hænger tæt sammen med multifaktorautentificering og zero trust-principper.

Adgangskontrolmodeller

De mest anvendte adgangskontrolmodeller er:

RBAC (Role-Based Access Control): Adgang tildeles baseret på brugerens rolle i organisationen. Den mest udbredte model i praksis.
ABAC (Attribute-Based Access Control): Adgang baseres på attributter ved brugeren, ressourcen og omgivelserne. Mere fleksibel end RBAC.
MAC (Mandatory Access Control): Centralt kontrolleret baseret på klassificering. Bruges primært i militær og statslig sammenhæng.
DAC (Discretionary Access Control): Ejere af ressourcer beslutter adgang. Fleksibel, men sværere at styre i stor skala.

Livscyklusstyring af adgange

Adgangskontrol er ikke en engangstildeling men en kontinuerlig proces:

Onboarding: Tildeling af adgang baseret på jobfunktion (need-to-know).
Ændringer: Justering af adgang ved jobskifte eller ændrede arbejdsopgaver.
Gennemgang: Periodisk kontrol (access review) af om tildelte adgange stadig er nødvendige.
Offboarding: Øjeblikkelig deaktivering af alle adgange ved fratrædelse.

Access creep: "Access creep" opstår, når medarbejdere akkumulerer adgange over tid ved jobskifte uden at de tidligere adgange fjernes. Regelmæssige adgangsgennemgange er afgørende for at modvirke dette.

Privilegeret adgangsstyring

Privilegerede konti (administrator-adgang) udgør den største risiko og kræver særlig opmærksomhed. PAM (Privileged Access Management) dækker processer og teknologier til at styre, overvåge og auditere privilegeret adgang, herunder just-in-time adgang, session recording og vaultede credentials.

Ofte stillede spørgsmål om adgangskontrol

Hvad er adgangskontrol?

Adgangskontrol er de mekanismer, der sikrer, at kun autoriserede brugere kan tilgå specifikke systemer, data og ressourcer. Det dækker autentificering, autorisation og auditering.

Hvad er forskellen på autentificering og autorisation?

Autentificering bekræfter, hvem du er (f.eks. via adgangskode eller MFA), mens autorisation bestemmer, hvad du må gøre, når din identitet er bekræftet.

Hvad er RBAC?

RBAC (Role-Based Access Control) er en adgangskontrolmodel, hvor rettigheder tildeles baseret på foruddefinerede roller i organisationen, frem for til individuelle brugere. Det er den mest udbredte model i praksis.

Hvorfor er regelmæssige adgangsgennemgange vigtige?

Adgangsgennemgange sikrer, at medarbejdere kun beholder de rettigheder, de faktisk har brug for. Uden regelmæssige gennemgange opstår access creep – brugere akkumulerer unødvendige rettigheder over tid, hvilket øger risikoen for databrud.

Hvad er Privileged Access Management (PAM)?

PAM dækker processer og værktøjer til at kontrollere og overvåge konti med forhøjede privilegier (f.eks. administratorkonti). Det inkluderer just-in-time adgangstildeling, session recording og sikker opbevaring af credentials.