Adgangskodepolitikken holdt op mod nyere vejledning: længde, skift, negativliste og spærring

Mange passwordpolitikker er skrevet efter råd, der var almindelige for ti år siden: otte tegn, store og små bogstaver, tal og tegn, og skift hver tredje måned. De nyere vejledninger peger andre steder hen. Kontrollen er at læse de faktiske indstillinger i katalog og lejer og holde dem op mod en dateret vejledning, og at skrive det tydeligt, hvor kilderne er uenige.

Den danske målestok er SAMSIK’s vejledning om passwordsikkerhed fra oktober 2026. Ved siden af den står den amerikanske NIST-standard for autentificering og SCuBA-baselinen fra CISA, og bilaget til forordning 2024/2690, som på ét punkt trækker den anden vej.

Fire indstillinger at læse

Længde. SAMSIK anbefaler mindst 15 tegn for et password og, hvis der bruges passphrases, mindst fem ord og 20 tegn. NIST siger, at passwords, der bruges som eneste faktor, skal være mindst 15 tegn, og at passwords, der bruges sammen med en anden faktor, skal være mindst 8 tegn. Der bør kunne bruges mindst 64 tegn. CISA og NSA skriver, at passwords, der er lette at knække, typisk er kortere end 15 tegn og ikke tilfældige nok.

Sammensætning. SAMSIK anbefaler at undgå unødigt komplicerede regler. NIST siger, at andre regler for sammensætning ikke må kræves. En politik, der kræver tal og specialtegn, men tillader otte tegn, er altså skrevet efter de ældre råd.

Negativliste. SAMSIK anbefaler en negativliste, så udbredte passwords afvises. NIST kræver, at nye passwords sammenlignes med en blokeringsliste. Selve udførelsen står i artiklen om kontrol af passwords mod lister over lækkede koder.

Spærring eller forsinkelse. SAMSIK anbefaler kontospærring eller forsinkelse efter mislykkede forsøg, en fast procedure for at genåbne låste konti, og at sikkerhedsspørgsmål ikke bruges til genåbning. NIST kræver, at mislykkede forsøg begrænses, og at der højst tillades 100 i træk pr. autentifikator. Punkt 11.6.2, litra d), i bilaget til 2024/2690 handler om blokering efter et fastsat antal mislykkede forsøg og gælder de omfattede virksomhedstyper.

Faste skift: her trækker kilderne i hver sin retning

Det femte punkt er skift med faste mellemrum, og her er kilderne uenige. Det skal stå i en gennemgang, så læseren selv kan se, hvilken målestok fundet er holdt op imod.

• SAMSIK 2026 anbefaler tvunget skift kun ved tegn på kompromittering. Fravalget af faste skift forudsætter dog, at en række tiltag er på plads: oplysning til brugerne, teknisk kontrol af længde, kontrol mod udbredte og lækkede passwords, kontrol mod genbrug af tidligere passwords og begrænsning eller forsinkelse af loginforsøg.
• NIST SP 800-63B-4 siger, at periodisk skift ikke må kræves, men at skift skal tvinges ved tegn på kompromittering.
• SCuBA fra CISA siger i MS.AAD.6.1v1, at brugeres passwords ikke må udløbe.
• Bilaget til forordning 2024/2690 har i punkt 11.6.2, litra c), ordene “med planlagte mellemrum” om skift af autentificeringsoplysninger. Det binder fx udbydere af cloudtjenester og administrerede tjenester, som forordningen er rettet mod.

For en virksomhed, der er omfattet af forordningen, er bilaget den bindende tekst, og de nyere vejledninger fjerner ikke kravet. Artikel 2 giver plads til at afstemme kravene efter risikoen, og et fravalg skal da stå skriftligt med begrundelse. For en virksomhed uden for forordningen er det et valg mellem målestokke. Hvordan forskellen afvejes, er tolkning, og den hører hjemme i et skriftligt valg.

SAMSIK’s forudsætninger er selv et kontrolpunkt

Har I fjernet de faste skift med henvisning til SAMSIK, skal forudsætningerne kunne påvises. Det er en praktisk følge af vejledningen, at en gennemgang spørger til hver af dem:

1. Er der en teknisk kontrol af minimumslængden?
2. Afvises udbredte og lækkede passwords?
3. Afvises genbrug af tidligere passwords?
4. Er loginforsøg begrænset eller forsinket?
5. Er brugerne oplyst om, hvordan de vælger et godt password?

Mangler en af dem, hviler fravalget af faste skift på et ufuldstændigt grundlag efter SAMSIK’s egen vejledning.

Udtrækkene

Hvilke udtræk der bruges, er praksis. Typisk læses passwordpolitikken i kataloget, eventuelle finkornede politikker for særlige grupper, lejerens indstillinger for udløb og spærring og opsætningen af negativlisten. Udtrækket skal vise de effektive værdier og ikke den skrevne politik. En politik i et dokument, der siger 15 tegn, mens kataloget kræver 8, er et fund om både indstillingen og dokumentet.

Hvad det kræver, og hvad det koster at lade være

Det kræver, at virksomheden vælger sin målestok skriftligt, og at indstillingerne bringes på linje med den. Overgangen til længere passwords tager tid, fordi den først slår igennem, når brugerne skifter. Fjernes faste skift, skal forudsætningerne være på plads først.

Uden kontrollen har mange virksomheder en politik, der giver korte passwords med forudsigelige mønstre og hyppige skift, og som brugerne derfor skriver ned eller tæller op. Det er den kombination, de nyere vejledninger forsøger at komme væk fra.

Det skal I lade være med

• At fjerne faste skift uden SAMSIK’s forudsætninger · så hviler fravalget på et halvt grundlag.
• At skrive, at faste skift er afskaffet · bilaget til 2024/2690 kræver dem stadig for de omfattede.
• At beholde regler om sammensætning ved otte tegn · længde vejer tungere i alle de nyere kilder.

Det skal gennemgangen kunne vise

• ☐ De effektive passwordindstillinger i katalog og lejer med dato.
• ☐ Den valgte målestok og begrundelsen for den.
• ☐ Bevis for negativliste og for begrænsning eller forsinkelse af loginforsøg.
• ☐ Ved fravalg af faste skift: hver af SAMSIK’s forudsætninger påvist.
• ☐ For virksomheder omfattet af forordning 2024/2690: skift med planlagte mellemrum eller et dokumenteret fravalg.

Kilder

• SAMSIK, Passwordsikkerhed, 5. udgave, oktober 2026, side 4, 9, 14 og 18 til 19, læst 13. november 2026.
• NIST SP 800-63B-4 (2025), afsnit 3.1.1.2 og 3.2.2, læst 13. november 2026.
• CISA, M365 Secure Configuration Baseline for Microsoft Entra ID, MS.AAD.6.1v1, læst 13. november 2026.
• Gennemførelsesforordning (EU) 2024/2690, bilaget, artikel 1 og 2 og punkt 11.6.2, læst 13. november 2026.
• CISA og NSA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, punkt 9, læst 13. november 2026.

Senest gennemgået: november 2026.

Næste skridt

Læs minimumslængden og udløbsindstillingen i jeres katalog og lejer, og skriv ned, hvilken vejledning de er sat efter.

• Identitet og adgang
• Adgangskoder: hvad kan kontrolleres uden at se dem

Læs også: SAMSIK’s vejledninger læst som kontrolpunkter · Valg af målestok

→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT