Modul 7 · 7.1
Rettigheter og minimal administrasjon
Modul 7: Tilgang, leverandører og sky · Lesetid: 10 minutter
Læringsmål: Etter denne leksjonen kan du sette opp rettigheter etter prinsippet "så lite som mulig": alle har sin egen konto, administratorrettigheter holdes atskilt, eksterne parter får midlertidig og begrenset tilgang, og du har en fast rutine for når noen begynner, bytter stilling eller slutter.
Nøkkelbegreper: least privilege, personlig konto, delt konto, administratorkonto, funksjonsadskillelse, inn, gjennom og utflytting, tilgangsoversikt
Prinsippet: så lite som mulig
Least privilege (på norsk: minimale rettigheter) betyr at alle får nøyaktig den tilgangen som trengs for jobben sin, og ikke mer. NIST beskriver det som et prinsipp der brukere kun har de rettighetene som er strengt nødvendige for oppgavene sine.
Hvorfor er dette viktig? Fordi enhver konto før eller siden kan bli overtatt: gjennom phishing (modul 3), et lekket passord (leksjon 1.4) eller en infisert laptop. Hva en angriper da kan gjøre, avhenger helt av rettighetene til den kontoen. Kontoen til en praktikant som bare driver med sosiale medier, gir lite. Kontoen til noen som "for enkelhets skyld" er administrator overalt, gir alt: e-post, betalinger, nettsiden, sikkerhetskopiene.
Minimale rettigheter gjør altså ikke et innbrudd mindre sannsynlig, men de begrenser skaden. Det er samme tankegang som med nøkler til en bygning: rengjøringspersonalet har nøkkel til ytterdøren, ikke til safen.
Alle en egen konto
En delt konto er en konto der flere personer logger inn med samme passord: "vi bruker alle info@example.com for å logge inn i regnskapsprogrammet". Det føles praktisk, men har fire store ulemper:
- Du vet ikke hvem som gjorde hva. I loggen står det bare "info". Hvis en betaling er endret, kan du ikke finne ut hvem som gjorde det.
- Du kan ikke stenge ute én enkelt person. Slutter noen, må du endre passordet for alle, og i praksis skjer det ofte ikke.
- Tofaktorautentisering (2FA) fungerer dårlig. Koden kommer på én telefon, så 2FA blir slått av eller koden sendes rundt.
- Passordet spres via meldinger, lapper og e-post, og er dermed ikke lenger hemmelig.
En personlig konto løser alt dette: egen innlogging, egen 2FA, egen logg, kan stenges ute enkeltvis. Nesten alle forretningstjenester støtter flere brukere med egne rettigheter. En delt e-postadresse som info@ kan godt fortsette å eksistere som adresse; la dem som leser den, få tilgang gjennom sin egen konto, hvis e-postsystemet ditt støtter det.
Administratorrettigheter holdes atskilt
En administratorkonto kan opprette brukere, endre rettigheter, endre innstillinger og ofte også slette data. Nettopp derfor bruker du den så lite som mulig.
- Jobb til daglig med en vanlig konto, og logg bare inn som administrator når du faktisk skal administrere noe. Dette gjelder også laptopen din (leksjon 5.2).
- Sørg for minst to personer med administratorrettigheter på de viktigste tjenestene, eller en godt oppbevart nødkonto. Hvis den eneste administratoren er syk eller borte, sitter du fast.
- Men heller ikke flere enn nødvendig. Fem administratorer i en bedrift med åtte ansatte er fire for mange.
- Slå på tofaktorautentisering på alle administratorkontoer, helst phishingbestandig (leksjon 2.4).
Funksjonsadskillelse går et skritt videre: én person skal ikke alene kunne gjennomføre en sensitiv handling fra start til slutt. Det mest kjente eksempelet så du i leksjon 1.2: den som registrerer et nytt kontonummer for en leverandør, godkjenner ikke selv betalingen. I en liten bedrift kan dette løses enkelt: én forbereder betalingen, en annen godkjenner den i bankappen.
Eksterne parter: midlertidig og begrenset
Nettbyggere, regnskapsførere, IT-bedrifter og frilansere trenger ofte tilgang. Den klassiske feilen er å gi dem ditt eget passord. Da kan de gjøre alt du kan, og etterpå vet du ikke lenger hvem som fortsatt kommer inn.
Bedre:
- Gi en egen konto med bare de rettighetene som trengs. En regnskapsfører trenger kun tilgang til fakturaer; en nettbygger til filene for én nettside.
- Gi tilgang med en sluttdato hvis det er et avgrenset oppdrag. Mange systemer kan automatisk la en konto eller nøkkel utløpe.
- Begrens der det er mulig fra hvilket nettverk noen kan logge inn.
- Før oversikt over hvem som har hvilken ekstern tilgang, og hvorfor.
Inn, gjennom og utflytting
Rettigheter vokser av seg selv. Noen begynner i salg, hjelper til noen måneder i administrasjonen og går så over til produksjon. Hvis ingen følger med, har denne personen etter to år rettighetene fra alle tre stillingene. Derfor ordner du rettigheter på tre tidspunkter:
| Tidspunkt | Hva du gjør |
|---|---|
| Innflytting (ny medarbeider) | Opprett egne kontoer med rettighetene som hører til stillingen, sett opp 2FA med én gang, forklar hvor hva befinner seg |
| Gjennomflytting (ny stilling) | Nye rettigheter legges til, og gamle rettigheter fjernes |
| Utflytting (slutter) | Deaktiver kontoer på siste arbeidsdag, trekk tilbake økter på enheter, endre delte passord, overfør filer |
Ved utflytting er rekkefølgen viktig. Først overfør, deretter deaktiver, slett først senere. Sletter du en konto med én gang, forsvinner i mange tjenester også filene, kalenderne og e-posten til vedkommende. Hos enkelte skytjenester er dette endelig etter en kort periode: Microsoft 365 beholder ifølge egen dokumentasjon OneDrive til en slettet bruker som standard i 30 dager. Deaktivering beholder dataene og stenger tilgangen.
Husk også ved avslutning: videresendingsregler personen har satt opp (leksjon 2.5), app-passord, tilgang til bankappen, sosiale medier og registraren for domenet ditt, samt nøkler eller adgangskort til lokalet.
Tilgangsoversikten
En tilgangsoversikt er en enkel tabell: per tjeneste hvem som har tilgang, med hvilke rettigheter, og om det er en egen eller en ekstern konto. Gå gjennom listen minst to ganger i året, og alltid etter at noen slutter. For hver linje stiller du ett spørsmål: trenger denne personen dette fortsatt i dag?
I praksis: slik ser det ut
I eksempelmiljøet Min side inviterer du en kollega, regnskapsfører eller nettbygger som bruker. Vedkommende logger inn med egne opplysninger, og du krysser av per tillatelse hva de får gjøre, for eksempel bare Fakturaer for regnskapsføreren. Kun eieren av kontoen kan invitere brukere og endre rettigheter, og med ett klikk trekker du tilgangen tilbake igjen. I DirectAdmin kan du gi en nettbygger en egen FTP-konto for én mappe, eller en innloggingsnøkkel med utløpsdato, begrensede kommandoer og kun fra bestemte IP-adresser.
I Nextcloud velger du for en kollega som slutter, først Disable: vedkommende kan ikke lenger logge inn, men filene blir bevart. Veiledningen er tydelig: slett brukeren først når alt er overtatt, for en slettet bruker er, med alle filene sine, endelig borte. I andre systemer fungerer dette på lignende måte, men navn og frister varierer; sjekk dette opp før noen slutter.
Oppsummering
- Minimale rettigheter begrenser skaden når en konto blir overtatt.
- Alle en egen konto: da vet du hvem som gjorde hva, og kan stenge noen ute enkeltvis.
- Administratorrettigheter brukes bare når det trengs, for et lite antall personer, med sterk 2FA.
- Eksterne parter får en egen, begrenset og om mulig midlertidig konto, aldri ditt eget passord.
- Ordne rettigheter ved inn, gjennom og utflytting; ved avslutning: overfør, deaktiver, slett senere.
Quiz
Oppgave
Oppgave A7.1: Hvem får hvilken tilgang? Du får en rekke situasjoner fra en liten bedrift (en ny regnskapsfører, en nettbygger for et oppdrag, en kollega som slutter, en praktikant). Velg for hver situasjon den beste måten å gi eller stenge tilgang på. Programmet sjekker valget ditt og forklarer hvorfor.
Oppgave D7.1: Tilgangsoversikten din. Lag en tilgangsoversikt over de fem viktigste tjenestene dine: hvem har tilgang, med hvilke rettigheter, egen eller delt konto, intern eller ekstern. Fjern minst én overflødig rettighet eller delt konto, og skriv ned utflyttingslisten din for neste gang noen slutter.
Oppgave D7.1: Tilgangsoversikten din
Slik gjør du det: (1) Velg dine fem viktigste tjenester (for eksempel e-post, regnskap, bank, kontrollpanel for webhotell, skylagring, registrar for domenet ditt). (2) Lag en oversikt per tjeneste: hvem har tilgang (rolle, navn trengs ikke), hvilke rettigheter, egen eller delt konto, intern eller ekstern, tofaktorautentisering (2FA) på, dato for siste innlogging hvis tjenesten viser det. (3) Slå opp brukerlisten i hver tjeneste og sammenlign den med oversikten din. Noter forskjeller. (4) Fjern minst én overflødig rettighet, én gammel konto eller én delt konto, eller erstatt en delt konto med personlige kontoer. (5) Kontroller for hver tjeneste hvor mange administratorer det er; sikt mot to. (6) Skriv utmeldingslisten din: hva gjør du på en persons siste arbeidsdag (deaktivere kontoer, trekke tilbake økter, gå gjennom videresendingsregler og app-passord, endre delte passord, overføre filer, bank, sosiale medier, registrar, nøkler og adgangskort). (7) Sett en tilbakevendende avtale (to ganger i året) for å gå gjennom oversikten.
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.
- WebOké-veiledning 11.3: Invitere brukere og gi tilganger
- Nextcloud-veiledning 14.2: Opprette, redigere, deaktivere og slette brukere
- Nextcloud-veiledning 14.7: Rettigheter: hvem administrerer hva i Nextcloud-en din?
- Nextcloud-veiledning 16.7: Kollega slutter: overta filer, kalender og delte mapper på en trygg måte
- DirectAdmin-veiledning 3.5: Innloggingsnøkler: innlogging for skript og programmer
- DirectAdmin-veiledning 11.6: FTP-kontoer opprettes og administreres
- NIST, Glossary: least privilege (engelsk): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (engelsk): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion