En feilsendt e-post, en gammel administratorbruker eller en leverandørtilgang som aldri ble stengt, kan gi uvedkommende tilgang til virksomhetens data. Sikkerhetsarbeidet bør gjøre slike feil lettere å oppdage og begrense skaden når de skjer.
Start med tilgangene og arbeidsoppgavene
Personer med legitim tilgang kan gjøre feil eller misbruke tilgangen. Begge deler må håndteres, men det er lite hjelp i å behandle alle ansatte som mistenkte. Undersøk heller hvilke oppgaver som er sårbare, hvilke rettigheter som trengs og hvor rutinene er uklare.
Eksemplene nedenfor er tenkte situasjoner:
- En kundeliste sendes til feil mottaker fordi adressene ligner.
- En konsulent beholder administratortilgang etter at prosjektet er avsluttet.
- En medarbeider laster ned flere opplysninger enn oppgaven krever og lagrer dem i en privat tjeneste.
- En delt konto gjør det vanskelig å undersøke hvem som endret en innstilling.
Fem rutiner som er verdt å prøve
1. Tilgang ved oppstart og rollebytte
La en ansvarlig godkjenne rettigheter ut fra arbeidsoppgaven. Bruk egne kontoer, og gi administratortilgang særskilt. Sett en sluttdato for midlertidige tilganger og gjennomgå dem når rollen endres.
2. En kontroll før opplysninger deles
Gi ansatte konkrete eksempler på hvilke opplysninger som kan deles, med hvem og gjennom hvilke kanaler. Gjør det enkelt å be om hjelp før en kundeoversikt eller et konfidensielt dokument lastes opp til en ny tjeneste.
3. Rapportering uten unødig terskel
En ansatt må vite hvem som tar imot en melding om feil deling eller mistenkelig aktivitet. Forklar hva som skjer etter at noen melder fra. Hensikten er å få rask informasjon og begrense skade.
4. Avslutning av tilgang
Ha en sjekkliste for fratreden og avsluttede oppdrag. Avklar tidspunkt for stenging, tilbakelevering av enheter, overføring av arbeidsmateriale og kontroll av eksterne tjenester. Ta med leverandørkontoer og delte hemmeligheter.
5. Håndtering av mistanke
Følg en avtalt hendelsesprosess. Begrens skade, sikre relevant dokumentasjon og avklar hvem som kan undersøke saken. Involver HR og juridisk kompetanse ved personalsaker. Ikke gi tilfeldige medarbeidere adgang til å lete i kollegers kommunikasjon.
Logging og personvern må vurderes sammen
Sikkerhetslogging er ikke en generell tillatelse til å overvåke arbeidet. Kontrolltiltak må ha saklig grunn i virksomhetens forhold og være forholdsmessige. Arbeidsgiver må også følge krav til drøfting og informasjon, og avklare behandlingsgrunnlag, formål, tilgang og lagringstid når personopplysninger behandles. Reglene for innsyn i ansattes e-post og elektroniske utstyr må vurderes særskilt. Arbeidstilsynet om kontroll og overvåking og Datatilsynet om personvern på arbeidsplassen.
Et første steg
Ta én rolle eller ett avsluttet oppdrag og gå gjennom hvilke tilganger personen har. Sammenlign med det rollen trenger. Bruk avvikene til å forbedre rutinen, og avtal når kontrollen skal gjentas.
Se også personvern ved kontroll av ansatte og kontroller for skytjenester.
Vil dere gå gjennom dette sammen?
Jeg kan hjelpe dere med å avklare behovet og prioritere neste steg.