Spørger man driften, hvem der er administrator, får man et svar fra hukommelsen, og det mangler næsten altid nogen. En opgørelse, der kan bruges som bevis, trækkes fra systemerne selv og samles i én liste: kataloget, lejeren, netværksudstyret og de forretningssystemer, der har deres egne administratorer.
Det er listen, som resten af kontrollen af privilegerede konti hviler på. Uden den kan ingen sige, om der er for mange administratorer, eller om de rigtige har rettighederne.
Hvad målestokkene siger
I punkt 11.2.2, litra e) og f), i bilaget til gennemførelsesforordning (EU) 2024/2690 står det, at virksomheden fører “et register over tildelte adgangsrettigheder” og logger forvaltningen af dem. Punkt 11.3.2, litra c), kræver, at systemadministrationsbeføjelserne individualiseres og begrænses “i videst muligt omfang”. Forordningen gælder for bestemte typer af digitale tjenesteudbydere, blandt andet udbydere af cloudtjenester, datacentre og administrerede tjenester. For alle andre er bilaget en målestok, som det er vores tolkning, at mange bruger.
CISA’s baseline for Entra ID (SCuBA) er mere konkret for skyen. Politik MS.AAD.7.1v1 siger, at mindst to og højst otte brugere skal have rollen Global Administrator. MS.AAD.7.2v1 siger, at privilegerede brugere skal have mere afgrænsede roller i stedet. Baselinen er obligatorisk for amerikanske civile føderale myndigheder og stillet til rådighed for andre til orientering.
SCuBA lister også de roller, der regnes for højt privilegerede: Global Administrator, Privileged Role Administrator, User Administrator, SharePoint Administrator, Exchange Administrator, Hybrid Identity Administrator, Application Administrator og Cloud Application Administrator. Listen er et udgangspunkt og kan udvides med roller, der giver lignende magt i jeres lejer.
CISA og NSA anbefaler i deres fælles rådgivning om hyppige fejlopsætninger at begrænse antallet af brugere med administratorrettigheder, mindske de permanente privilegerede tildelinger og gennemgå rettighederne periodisk. Microsoft peger i sin vejledning om adgangsgennemgange på de samme spørgsmål: hvor mange har administrativ adgang, hvor mange er Global Administrator, og er gæster eller partnere fjernet igen efter en administrativ opgave?
Hvorfra listen trækkes
Ingen kilde beskriver, hvilke systemer opgørelsen skal dække. Bilagets register gælder adgangsrettigheder til net- og informationssystemer i det hele taget, så en bred opgørelse ligger inden for ordlyden. At samle det hele i én liste er praksis. En gennemgang trækker typisk fra disse steder:
- Det lokale katalog · medlemmer af de højest privilegerede grupper, som beskrevet i Active Directory med læseadgang.
- Lejeren i skyen · tildelinger af de højt privilegerede roller, både aktive og dem, der kan aktiveres.
- Netværksudstyr · lokale konti på firewalls, switche og trådløse controllere og den gruppe i kataloget, der eventuelt giver adgang.
- Virtualisering og backup · administratorer på platformen, som ofte er lokale konti uden for kataloget.
- Forretningssystemer · systemernes egne administratorroller, som sjældent følger kataloget.
Det sidste punkt overses oftest, fordi rollerne administreres af en fagperson og ikke af IT.
Felterne i opgørelsen
En opgørelse, der kan regnes efter, har de samme felter for hvert system. Eksemplerne i parentes er tænkte.
- System · (Lejeren, firewall i hovedkontoret, økonomisystemet)
- Rolle eller gruppe · (Global Administrator, superbruger, administratorprofil)
- Konto · (Kontonavnet, som systemet viser det)
- Person · (Navngiven ejer eller “ingen”)
- Personlig eller fælles · (Personlig, delt, servicekonto)
- Tildelingsform · (Permanent, tidsbegrænset, aktiveres efter behov)
- Kilde og dato · (Udtrækkets filnavn og tidspunkt)
Feltet med kilde og dato er det, der gør listen til bevis. Står der et system uden et udtræk bag, er linjen en påstand.
Det, opgørelsen typisk afslører
Når listen er samlet, er der fire ting at læse efter. Det første er antallet af Global Administrator i lejeren holdt op mod SCuBA’s ramme på to til otte. Det andet er konti, der ikke kan føres til en person. Det tredje er personer med administratorrettigheder i mange systemer, hvor en enkelt kompromitteret konto vil række langt. Det fjerde er roller, der er bredere end opgaven, fx en fuld administratorrolle, hvor en afgrænset rolle til brugerstyring ville være nok.
Om rettighederne er tildelt permanent eller kun aktiveres efter behov, er et selvstændigt kontrolpunkt, som er beskrevet i privilegerede roller i skyen. Adskillelsen mellem administratorkonti og almindelige konti hører også til et andet kontrolpunkt.
Når opgørelsen skal gentages
En opgørelse har størst værdi anden gang, den laves. Så kan de to lister lægges side om side, og hver ny administrator siden sidst kan forklares med en sag, et projekt eller en ansættelse. En linje, der ikke kan forklares, er et fund i sig selv.
Det hjælper at gemme de udtræk, listen bygger på, i samme mappe med dato i filnavnet og at bruge de samme kommandoer eller rapporter hver gang. Så kan den næste, der laver opgørelsen, gøre det uden at gætte på, hvordan det blev gjort sidst. Bilagets krav om at logge forvaltningen af adgangsrettigheder peger i samme retning: ændringerne mellem to opgørelser skal kunne genfindes i en log.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at hver systemejer trækker sin liste i samme periode, og at nogen samler dem i ét format. Første gang tager det tid at finde de forretningssystemer, der har egne administratorer. Derefter kan opgørelsen gentages med de samme udtræk.
Uden opgørelsen kan I ikke påvise, at rettighederne er begrænset, og I kan ikke føre en periodisk gennemgang, fordi der ikke er noget at gennemgå. Den administrator, ingen kender til, er også den, ingen fjerner.
Det skal I lade være med
- At lave opgørelsen fra hukommelsen eller fra en gammel dokumentation · den skal komme fra systemerne.
- At udelade forretningssystemerne, fordi IT ikke ejer dem · deres administratorer tæller med.
- At regne en fælles administratorkonto som én person · den skal stå som fælles, med de personer, der kender den.
Det skal gennemgangen kunne vise
- ☐ Ét samlet register over administratorer i katalog, lejer, netværksudstyr, platforme og forretningssystemer.
- ☐ Et dateret udtræk bag hver linje.
- ☐ Antal Global Administrator holdt op mod rammen på to til otte.
- ☐ Konti uden navngiven ejer markeret.
- ☐ Tildelingsformen for hver privilegeret rolle.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, artikel 1 og punkt 11.2.2 og 11.3.2, læst 13. november 2026.
- CISA, M365 Secure Configuration Baseline for Microsoft Entra ID, MS.AAD.7.1v1, MS.AAD.7.2v1 og afsnittet om højt privilegerede roller, læst 13. november 2026.
- CISA og NSA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, tabel 2, læst 13. november 2026.
- Microsoft Learn, Access reviews, opdateret 12. marts 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed ejerne af lejeren, firewallen og jeres største forretningssystem om hver deres administratorliste i samme uge, og læg dem i ét skema.
Læs også: Den periodiske adgangsgennemgang · Systemlisten bygget fra systemerne selv
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
