Når en medarbejder stopper, lukkes kontoen i kataloget, og dermed lukker adgangen til alle systemer, der bruger fælles login. De systemer, der har deres egne brugerlister, lukker ikke af sig selv. Det kan være økonomisystemet, en webbutik, et fagsystem i skyen eller en leverandørportal. Kontrollen er at finde de systemer og afstemme deres brugerlister mod kataloget.
Selve afstemningen står ikke i de kilder, vi har læst, og er derfor beskrevet som praksis. Reglerne for, hvornår adgangen skal lukkes, er derimod klare.
Hvad reglerne siger om ophør
Bilaget til forordning 2024/2690 gælder adgangsrettigheder til alle “net- og informationssystemer”, også dem uden for kataloget. Efter punkt 11.2.2, litra b), skal rettighederne følge med, når en ansættelse slutter eller ændres. Efter punkt 11.5.4 slås en identitet fra straks, når behovet er væk. Bilaget binder de tjenesteudbydere, forordningen er rettet mod, og kan bruges som målestok af andre.
Ordet straks er vigtigt her. Et system med egen brugerliste lukker ikke samtidig med kataloget, og forskellen mellem de to datoer er netop det, kontrollen skal måle.
Forskellen mellem systemer med og uden fælles login
Vejledningen til de statslige tekniske minimumskrav viser forskellen tydeligt. Software som tjeneste uden integreret login er ikke omfattet af statens krav om MFA og om kontrol af passwords. Tjenester, der bruger myndighedens brugerkonti gennem fælles login, er omfattet. Staten skal følge dem. Private virksomheder kan læne sig op ad dem.
For en gennemgang betyder det, at systemer uden fælles login står uden for to kontroller på én gang: MFA og passwordkontrol. Den tredje, lukningen ved fratrædelse, hænger på, at nogen husker systemet.
SAMSIK peger i sin passwordvejledning fra 2026 på den anden side af sagen. Fælles login letter byrden for brugerne, men et kompromitteret password giver adgang til alle de systemer, kontoen har adgang til. Fælles login er derfor ikke en løsning, der fjerner behovet for MFA. Det samler adgangen ét sted, hvor den kan styres.
Find systemerne
Det første skridt er at finde de systemer, der har egne brugere. Metoden er praksis. Gode kilder er:
- Systemlisten · hvis den har et felt for login, er sorteringen enkel. Hvis ikke, er det et felt at tilføje. Se systemlisten bygget fra systemerne selv.
- Programmerne i lejeren · systemer, der bruger fælles login, står der. Det, der mangler, er dem uden.
- Fakturaer og abonnementer · tjenester, som forretningen betaler for, og som IT ikke kender.
- Fratrædelsestjeklisten · systemer, HR eller lederen beder om lukning af, peger på systemer med egne brugere.
Afstem brugerlisterne
For hvert system uden fælles login kan en gennemgang afstemme brugerlisten mod kataloget. Det er samme tanke som ved inaktive og forældreløse konti, men listen kommer fra systemet selv:
- Træk brugerlisten fra systemet med navn, mailadresse, rolle og sidste login, hvis systemet viser det.
- Hold listen op mod kataloget og personalelisten.
- Marker brugere, der er lukket i kataloget, men aktive i systemet.
- Marker brugere med administratorrolle i systemet, og tag dem med i opgørelsen over administratorrettigheder.
Tag de seneste fratrædelser, og se, hvornår kontoen blev lukket i hvert system. Det viser, om processen virker. Er afstanden mellem lukningen i kataloget og lukningen i systemet uger eller måneder, er det et fund, uanset hvor mange konti det drejer sig om.
Rettelsen
Den holdbare rettelse er at koble systemet til fælles login, så lukningen i kataloget slår igennem. Det kan ikke altid lade sig gøre, fx fordi systemet ikke understøtter det. Så er rettelsen en arbejdsgang: systemet står på fratrædelsestjeklisten med en navngiven ansvarlig, og brugerlisten afstemmes med en fast rytme. Begge dele er praksis.
Systemer, som leverandøren administrerer
Nogle systemer administreres helt af en leverandør, som også opretter og lukker brugere. Så skal leverandøren have besked ved hver fratrædelse, og afstemningen skal ske på leverandørens brugerliste. Det er praksis at bede leverandøren om listen med en fast rytme og at holde den op mod jeres egen personaleliste. Om aftalen med leverandøren dækker det, er et spørgsmål om leverandørstyring. Det tekniske kontrolpunkt er det samme: hvem står på listen, og burde de det?
Hvad det kræver, og hvad det koster at lade være
Det kræver, at systemerne med egne brugere findes, at hver har en ejer, der kan trække brugerlisten, og at listerne afstemmes. Første gang er det mest tid til at finde systemerne. Derefter er det en kort afstemning pr. system.
Uden kontrollen kan en tidligere medarbejder logge på økonomisystemet eller kundeportalen måneder efter fratrædelsen, uden MFA og uden at kataloget viser noget. Loggen i systemet vil se ud som almindelig brug.
Det skal I lade være med
- At regne med, at lukning i kataloget lukker alt · systemer med egne brugere lukker ikke af sig selv.
- At lade forretningen administrere brugere uden en tjekliste fra IT · så glemmes systemet ved fratrædelse.
- At glemme administratorerne i systemerne · de hører med i den samlede opgørelse.
Det skal gennemgangen kunne vise
- ☐ En liste over systemer uden fælles login med ejer.
- ☐ En afstemning af hvert systems brugerliste mod kataloget med dato.
- ☐ Lukkedatoer i systemerne for de seneste fratrædelser.
- ☐ Systemernes administratorer i den samlede opgørelse.
- ☐ En plan for kobling til fælles login, hvor det kan lade sig gøre.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 11.2.2 og 11.5.4, læst 13. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til de tekniske minimumskrav, september 2025, afsnit 3.3 og 3.4, læst 13. november 2026.
- SAMSIK, Passwordsikkerhed, oktober 2026, side 11, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed økonomi, salg og HR om navnene på de systemer, de selv opretter brugere i, og træk brugerlisten fra det første.
Læs også: Sikkerhedsindstillinger i forretningssystemer i skyen · Når et system lukkes
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
