Krav til privilegeret adgangsstyring i danske virksomheder

Hvad er privilegeret adgangsstyring – og hvorfor egne krav?

Privileged Access Management (PAM) er på dansk administration af privilegeret adgang. Det er en sikkerhedspraksis, der beskytter organisationens mest følsomme konti og systemer. Kerneopgaven er at styre, kontrollere og overvåge adgangen til konti med forhøjede rettigheder, så data og kritiske systemer ikke kompromitteres.

Privilegerede konti har udvidede adgangsrettigheder. Det gælder fx administratorer, superbrugere og systemkonti. De kan ændre konfigurationer, tilgå følsomme oplysninger eller styre væsentlige driftskomponenter.

IAM, CIAM og PAM dækker forskellige målgrupper. IAM administrerer identiteter og adgang for interne medarbejdere og sikrer, at den rette person får adgang til det rette system. CIAM retter sig mod eksterne brugere. PAM beskytter privilegerede brugere og følsomme systemer gennem kontrol og overvågning af højrisiko-adgange.

PAM sikrer, at kun de rette personer har adgang til de mest kritiske systemer og data. Det understøtter sikkerheds- og compliancekrav, forhindrer uautoriseret adgang og gør det muligt at reagere hurtigt på potentielle trusler.

Et kravsæt er nødvendigt, fordi et PAM-princip ikke i sig selv afgør, hvilke konti og adgangsveje der skal beskyttes hos jer. Kravene må tage udgangspunkt i jeres systemer, roller, leverandører og de data, der er i spil. For danske virksomheder omfattet af NIS2-loven skal kravene desuden kunne dokumenteres.

Hvilke konti og adgangsveje skal jeres krav dække?

Kortlæg først de konti med forhøjede rettigheder: administratorer, superbrugere og systemkonti. Systemkonti bruges typisk af applikationer og tjenester, har sjældent en person bag sig og er derfor svære at knytte til en navngiven ejer.

Leverandørers fjernadgang er blevet en favoritvej ind for angribere. Supportadgang skal derfor vurderes som en privilegeret adgangsvej på linje med en administratorkonto – ikke som en almindelig serviceaftale.

Højt privilegerede konti kan misbruges af eksterne angribere, men også af interne fejl eller misbrug. Kravene bør derfor dække både ondsindet og fejlagtig brug.

Microsoft Digital Defense Report 2025 peger på, at en stor del af angreb mod mindre virksomheder sker via kompromitterede admin-identiteter og usikre remote adgangsveje som RDP/VPN. Det gør support- og adgangsmodellen til et sikkerhedsanliggende, ikke kun et serviceanliggende.

Kræver IT-support fysisk fremmøde, betaler I med ventetid, afbrydelser og en adgangsmodel, der ofte er svær at dokumentere. Derfor bør kravene også omfatte fjernsupport og tredjeparter.

Krav til identitet, MFA og tidsbegrænset adgang

Identitet først betyder, at den, der udfører en privilegeret handling, autentificerer sig som sig selv – fx i Entra ID med MFA og betinget adgang. Delte konti gør det umuligt at henføre en handling til en person bagefter.

Stil krav om MFA på alle sessioner og udfas faste VPN/RDP-adgange til support. Permanente adgangsveje er svære at tidsbegrænse og udgør en stående rettighed, der kan stjæles og genbruges.

Just-in-Time (JIT) adgang via Entra ID/PIM fjerner stående admin-rettigheder. Admin-rettigheder tildeles midlertidigt og kun til den konkrete opgave, frem for at ligge fast på en konto.

Et konkret krav kan være at afskaffe en fast VPN-bruger eller en delt admin-konto "til support", der altid virker. Den erstattes af JIT-adgang pr. opgave med MFA, et tidsvindue på fx 30–60 minutter og logning. Resultatet er mindre stående adgang at stjæle og bedre dokumentation ved audit.

NIS2-lovens § 6, stk. 1, nr. 10 kræver brug af løsninger med multifaktorautentificering eller kontinuerlig autentificering. § 6, stk. 1, nr. 9 stiller krav om adgangskontrolpolitikker og forvaltning af aktiver. Det betyder, at omfattede danske virksomheder skal bruge løsninger med multifaktorautentificering eller kontinuerlig autentificering. JIT nævnes ikke i de citerede bestemmelser som et selvstændigt lovkrav, men fremgår i kilderne som en anbefalet metode til at fjerne stående admin-rettigheder.

Faste VPN/RDP-adgange mod JIT-adgang via Entra ID/PIM

Krav til fjernsupport og eksterne leverandører

Remote IT-support kan være mere sikkert end fysisk fremmøde – men kun når adgangen styres som en privilegeret risiko. Det er derfor adgangen, ikke fremmødet, der skal kravstilles.

Bygger fjernsupport på Zero Trust remote access, bliver processen mere kontrolleret end en fast nøgle i låsen. I kan håndhæve MFA, tidsbegrænse adgang, logge alt og lukke sessioner automatisk.

CISA's guide til sikring af remote access lægger vægt på MFA og på at komme væk fra permanente VPN-tunneller til mere moderne access-mønstre. Det peger mod krav om kortvarige, kontrollerede sessioner i stedet for faste forbindelser.

NIST SP 800-171 Rev. 3 fremhæver krav om session termination: sessioner skal afsluttes ved inaktivitet eller, når opgaven er løst. Kravet bør skrives ind i aftalen med leverandøren, så afslutning ikke afhænger af den enkelte tekniker.

Ved skærmstyring bør brugeren initiere eller tilkende sessionen, og sessionen skal lukke automatisk. Kombineret med mindste privilegie betyder det, at rettigheder kun gives til den konkrete opgave.

NIS2-lovens § 6, stk. 1, nr. 4 kræver forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter ved forholdene mellem enheden og dens direkte leverandører. Det betyder, at I skal stille krav til leverandørers adgang og kunne dokumentere dem.

Logning, sporbarhed og dokumentation

Audit logs og sagsnoter knyttet til den enkelte ticket gør det muligt at følge "hvem gjorde hvad hvornår". Det er den dokumentation, der kan fremlægges, når adgangen skal efterprøves.

Kravet til fjernsupport bør derfor omfatte audit logs, så leverandøradgang kan dokumenteres i en NIS2-kontekst. Uden logning kan adgangen ikke bevises bagefter.

Risikoen ligger i adgangen: hvem kan logge ind hvor, med hvilke rettigheder, og om det kan bevises bagefter. Jeres krav bør besvare det spørgsmål, før I vælger supportmodel.

Organisationer, der arbejder mod ISO/IEC 27001-certificering, skal ikke blot have processer og rutiner på plads, men også kunne vise objektive beviser for, at rutinerne følges. Logning og sagsnoter er netop et sådant bevis.

NIS2-lovens § 6, stk. 1, nr. 6 kræver politikker og procedurer til vurdering af effektiviteten af foranstaltninger til styring af cybersikkerhedsrisici. § 7, stk. 1 pålægger ledelsesorganet at godkende foranstaltningerne og føre tilsyn med gennemførelsen. Logning gør det muligt for ledelsen at føre dette tilsyn.

Fra krav til drift: tjekliste og mindste privilegie

Indfør en fast tjekliste for godkendelse, session termination og datahåndtering ved fjernstyring. Standardiserede trin gør det muligt at efterleve kravene ensartet, uanset hvem der udfører opgaven.

Tjeklisten bør som minimum indeholde: MFA på alle sessioner; udfasning af faste VPN/RDP-adgange til support; JIT-adgang via Entra ID/PIM; tidsafgrænsning af alle privilegier (fx 30–60 minutter); audit logs til dokumentation; og brug af Intune til baggrundsudrulning.

Ved session termination skal sessioner afsluttes ved inaktivitet eller, når opgaven er løst, jf. NIST SP 800-171 Rev. 3. Ved skærmstyring skal brugeren initiere eller tilkende sessionen, og sessionen skal lukke automatisk. Datahåndtering bør omfatte, hvad leverandøren må tilgå, og hvordan logs og sagsnoter bevares.

Mindste privilegie betyder, at admin-rettigheder tildeles midlertidigt og kun til den konkrete opgave. Kombineret med logning giver det en sporbar sammenhæng mellem opgave, rettighed og person. Enhedsstyring kan løse mange opgaver uden at uddele permanente rettigheder. Med Microsoft Intune kan indstillinger og software udrulles i baggrunden, så fejl ofte rettes uden at afbryde brugeren og uden en bred admin-adgang.

Danske hensyn: kommuner, virksomheder og compliance

Danske kommuner står over for øgede krav til sikkerhed. Fra borgerdata til administrative systemer er den moderne kommune afhængig af, at it-infrastrukturen er både effektiv og sikker, og adgangen til kritiske systemer skal styres, kontrolleres og overvåges. Kompleksit har en dansk PAM-guide målrettet kommuner, og Advania har en dansk IT-ordbog, der definerer PAM.

Den danske NIS2-lov er Lov nr. 434 af 6. maj 2025. Loven trådte i kraft 1. juli 2025 (§ 33). Den opdeler enheder i væsentlige og vigtige enheder.

En væsentlig enhed beskæftiger 250 personer eller derover, eller har en årlig omsætning på over 50 mio. euro og en årlig samlet balance på over 43 mio. euro (§ 4, stk. 1). En vigtig enhed beskæftiger 50 personer eller derover eller har en årlig omsætning på over 10 mio. euro og en årlig samlet balance på over 10 mio. euro (§ 5, stk. 1).

NIS2-lovens § 6, stk. 1, opregner ti minimumsområder. De mest PAM-relevante er politikker for risikoanalyse og informationssystemsikkerhed; håndtering af hændelser; driftskontinuitet, herunder backup og krisestyring; forsyningskædesikkerhed; sikkerhed ved erhvervelse, udvikling og vedligeholdelse; vurdering af effektiviteten; cyberhygiejne og uddannelse; kryptografipolitikker; personalesikkerhed, adgangskontrolpolitikker og forvaltning af aktiver; samt brug af multifaktorautentificering eller kontinuerlig autentificering.

NIS2-loven § 7, stk. 1 fastslår, at foranstaltningerne skal godkendes af ledelsesorganet, som også fører tilsyn med gennemførelsen. Ledelsen kan holdes personligt ansvarlig, og bøderne går op til 10 mio. euro eller 2 % af den globale omsætning for væsentlige enheder. Væsentlige hændelser skal varsles til myndighederne inden for 24 timer med en fuld rapport senest efter en måned.

For danske virksomheder, der er omfattet af NIS2 eller arbejder mod ISO/IEC 27001, gælder tilsvarende, at leverandøradgang og administrative rettigheder skal kunne dokumenteres. Logning og sagsnoter kan være det objektive bevis for, at rutinerne følges. NIS2 stiller også krav om, at omfattede virksomheder skal stille krav til deres leverandører, og mange SMVer møder NIS2 gennem kontrakterne.

SAMSIK's vejledning til kommuner om NIS2 kan være et sted at starte for kommunale enheder. Nesp.ONE hjælper kommuner med NIS2, herunder adgangsstyring, og IPW Systems' ISMS understøtter både NIS2 og ISO 27001.

Ifølge NIS2-loven er de offentliggjorte vejledninger fra den kompetente myndighed den officielle kilde til, hvordan kravene fortolkes.