Den, der gennemgår jeres miljø, skal kunne læse opsætningen uden at kunne ændre den, og adgangen skal have en slutdato fra starten. For hver platform vælger driften mellem to veje: selv at trække udtrækkene eller at give en tidsbegrænset læseadgang.
Valget er ikke ens på tværs af miljøet. I en cloud-lejer findes der typisk indbyggede læseroller. På en firewall er det ofte enklere, at driften eksporterer konfigurationen. Det vigtige er, at hver adgang er besluttet, registreret og lukket igen.
Læsning kræver nogle gange mere end læserettigheder
I NIST’s SP 800-115 står der, at nogle sikkerhedsindstillinger kun kan læses med rettigheder som administrator eller root, også når gennemgangen er automatisk. En almindelig brugerkonto ser derfor ikke alt.
Konfiguration fra routere, firewalls og andet netudstyr bør ifølge vejledningen trækkes af systemadministratorerne, så intet utilsigtet bliver ændret. Det giver den første tommelfingerregel: Hvor læsning kræver administratorrettigheder, er det driften, der trækker udtrækket, og den, der gennemgår, der læser det.
Platform for platform
Navnene på rollerne skifter med platform og version, og vi gengiver dem ikke her. Slå den aktuelle rolle op i producentens egen dokumentation, når adgangen oprettes, og vælg den smalleste, der dækker det, der skal ses.
- Lokalt katalog · Typisk vej: Driften kører udtræk, eller en personlig konto med læseadgang · Det, I skal tjekke: At kontoen ikke arver rettigheder via grupper
- Cloud-lejer · Typisk vej: Indbygget læserolle med tidsbegrænsning · Det, I skal tjekke: At rollen ikke giver adgang til indhold som post og filer
- Firewall og netudstyr · Typisk vej: Driften eksporterer konfigurationen · Det, I skal tjekke: At eksporten er komplet og dateret
- Servere · Typisk vej: Driften kører kommandoer og afleverer output · Det, I skal tjekke: At output viser værtsnavn og tidspunkt
- Backup og virtualisering · Typisk vej: Skærmbilleder eller eksport ved driften · Det, I skal tjekke: At administrationsfladen ikke åbnes udefra for gennemgangen
Tabellen er tænkt som udgangspunkt. Den konkrete fordeling afhænger af, hvad jeres platforme tillader, og hvor meget driften selv vil trække.
Personlige konti og flerfaktor
En læsekonto til gennemgangen bør være personlig. Deles den, kan logningen ikke skelne den, der gennemgår, fra andre. Det er almindelig praksis at kræve flerfaktor på kontoen på samme måde som på driftens egne konti, og at kontoen kun kan bruges fra de veje ind, der er aftalt.
Kontoen bør heller ikke kunne læse forretningsdata. En gennemgang af opsætningen skal se indstillinger, roller og regler, ikke indholdet af postkasser og drev. Når I slår rollen op i producentens dokumentation, så læs i beskrivelsen, om den giver adgang til konfiguration, til data eller til begge dele, før den bliver tildelt.
Når driften trækker udtrækket
Vælger I selv at trække udtrækkene, flytter ansvaret for fuldstændigheden over til driften. Et udtræk, der mangler en organisatorisk enhed, en filial eller en del af lejeren, giver huller i gennemgangen, som ingen opdager. Skriv derfor kommandoen eller skærmens sti ned sammen med tidspunktet og den konto, der trak udtrækket. Så kan den, der gennemgår, se, hvad udtrækket dækker, og I kan gentage det, når rettelserne skal efterprøves.
Den, der gennemgår, efterlader også spor
NIST anbefaler, at den, der vurderer, fører en aktivitetslog med mindst dato og tid, eget navn, eget system og målsystemet, værktøj, kommando og kommentarer. Bed om den log. Holdt op imod platformens egen logning viser den, at adgangen blev brugt til det aftalte og ikke til andet. Den gør det også let at forklare usædvanlige logposter, som overvågningen ellers ville rejse spørgsmål om.
Udløb fra første dag
Bilaget til forordning (EU) 2024/2690 er kun bindende for visse digitale tjenesteudbydere. For andre virksomheder fungerer det som målestok. Punkt 11.2.2 (d) siger, at adgangsrettigheder skal tage højde for tredjeparters adgang, navnlig ved at begrænse dem “i omfang og varighed”. Punkt 6.7.2 (h) siger, at forbindelser fra tjenesteudbydere kun gives efter anmodning om autorisering og “i en bestemt periode, f.eks. varigheden af en vedligeholdelsesaktivitet”.
Det passer direkte på en gennemgang. Sæt slutdatoen, når kontoen oprettes, og lad platformen håndhæve den, hvor det kan lade sig gøre. Kan platformen ikke sætte udløb, står datoen i registeret og i driftens kalender.
Planen siger, hvad adgangen må bruges til
NIST anbefaler, at planen for vurderingen angiver de tilladte systemer, en udelukkelsesliste og typen af tilladte og forbudte aktiviteter, skrevet så ingen kan læse dem på to måder. For adgangene betyder det, at planen nævner hver konto, hver rolle og hver adgangsvej. Står en platform ikke i planen, er der heller ikke adgang til den.
Registrér og luk
Forordningens punkt 11.2.2 (e) og (f) nævner et register over tildelte rettigheder og logning af forvaltningen. Brugt som målestok giver det en enkel liste: hvem fik adgang, til hvad, hvornår, og hvornår den blev lukket.
Lukningen er mere end at deaktivere kontoen. Fjern rollen, luk adgangsvejen, fx en VPN-profil eller en adresse på en tilladt liste, og gem udtrækket fra logningen, der viser kontoens brug. Til sidst kontrollerer driften, at kontoen ikke længere kan logge ind.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at vejen besluttes for hver platform, før adgangen oprettes, og at der står en fast dato for lukning. Det kræver også, at nogen i driften ejer listen.
Uden udløb bliver en gennemgangskonto til endnu en glemt konto. Den står i kataloget længe efter, at rapporten er læst, med rettigheder ingen længere kan forklare.
Det skal I lade være med
- At genbruge en administratorkonto til gennemgangen · den kan ændre, hvor den skulle læse.
- At oprette adgang uden slutdato · udløbet glemmes, når rapporten er afleveret.
- At give læseadgang til indhold · gennemgangen skal se indstillinger, ikke data.
Det skal gennemgangen kunne vise
- ☐ En liste over adgange pr. platform med rolle, start og slut.
- ☐ At hver konto er personlig og kræver flerfaktor.
- ☐ Udtræk, der viser, at adgangene er lukket.
- ☐ Hvilke udtræk driften selv har trukket.
Kilder
- NIST, SP 800-115 Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 2.3, 3.4 og 6.5, læst 13. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilaget punkt 6.7.2 og 11.2.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en tabel over jeres platforme og skriv for hver, om driften trækker udtrækket, eller om der gives læseadgang, og hvornår den lukkes.
Læs også: Gæstebrugere og leverandørkonti i kataloget · Udtræk med script og API
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
