Konti, der ikke længere har en person bag, opstår hver gang nogen fratræder, en vikar slutter, eller et projekt lukker. Den tekniske kontrol er en afstemning: kataloget holdt op mod personalelisten og mod tidspunktet for sidste logon. Det, der står tilbage, er konti, der skal forklares eller lukkes.
Afstemningen er praksis. Kravet om at lukke kontiene er derimod skrevet ned flere steder, og det giver en målestok, fundene kan holdes op imod.
Hvad målestokkene siger
Bilaget til gennemførelsesforordning (EU) 2024/2690 siger i punkt 11.5.4, at virksomheden “gennemgår regelmæssigt identiteterne” og deaktiverer dem straks, hvis der ikke længere er behov for dem. Punkt 11.2.2, litra b), kræver, at adgangsrettigheder ændres, når et ansættelsesforhold ophører eller ændres. Punkt 12.5 tilføjer, at aktiver, der ikke kan leveres tilbage, ikke længere må kunne bruges til at komme ind i systemerne. Bilaget binder de typer af digitale tjenesteudbydere, som forordningen nævner i artikel 1. Andre kan låne det som sammenligning.
I SAMSIK’s vejledning om ransomware lyder anbefalingen: “Brugerkonti, som ikke længere benyttes, nedlægges straks. Eksempelvis afgående medarbejdere eller eksterne konsulenter.” CISA og NSA anbefaler at gennemgå brugerkonti og fjerne inaktive eller unødvendige rutinemæssigt. ANSSI har sovende konti som et kontrolpunkt på sit laveste niveau, det vil sige blandt de kritiske problemer.
Ingen af kilderne fastsætter, hvor længe en konto må være inaktiv, før den lukkes. Bilaget siger “regelmæssigt” og “straks”.
Sidste logon: hvad tallet kan og ikke kan
Sidste logon er det felt, afstemningen hviler mest på, og det har svagheder i begge platforme.
I Active Directory opdateres attributten Last-Logon-Timestamp kun, når den gemte værdi er ældre end et indstillet interval. Feltet er derfor ikke præcist til dagen, og det skal stå i rapporten, når det bruges. Hvor langt intervallet er, afhænger af opsætningen og skal læses i jeres eget miljø.
I Entra ID findes der ifølge Microsoft ingen indbygget rapport over inaktive konti. I stedet bruges tidspunktet for sidste login, og der findes felter for både interaktivt og ikke-interaktivt login. Feltet for sidste vellykkede login via Graph kræver en udvidet licens. Microsoft skriver, at et rimeligt vindue i mange organisationer er mellem 90 og 180 dage, og at ferie, orlov og andre lovlige grunde skal overvejes.
Det betyder, at en konto, der ikke har logget på i lang tid, ikke automatisk er forældreløs. Og en konto, der har logget på i går, kan sagtens være det, hvis den tilhører en fratrådt medarbejder, hvis password stadig bruges af en anden.
Afstemningen mod personalelisten
Den stærkeste kontrol er derfor at sammenligne kataloget med en oversigt over dem, der faktisk er tilknyttet. Det er praksis og ikke beskrevet i kilderne. En gennemgang kan typisk gøre det i tre trin:
- Ansatte · personalelisten fra lønsystemet eller HR med fratrædelsesdato holdt op mod konti i kataloget og lejeren. Konti for fratrådte, der stadig er slået til, er fund.
- Eksterne · vikarer, konsulenter og leverandørers medarbejdere. Her findes sjældent en samlet liste, så kontrakter og indkøbsordrer bruges i stedet. Konti uden udløbsdato er et fund i sig selv.
- Konti uden person · testbrugere, kursuskonti, fællespostkasser og gamle systemkonti. De skal enten have en navngiven ejer eller lukkes.
Samme afstemning kan køres mod lokale konti i forretningssystemer, der ikke bruger fælles login. Det er beskrevet i forretningssystemer uden for fælles login.
Eksterne konti kræver en anden kontrol
Eksterne nævnes udtrykkeligt i SAMSIK’s anbefaling, og de er sværest at afstemme, fordi de ikke står i lønsystemet. En konsulent, der er færdig med sin opgave, siger sjældent selv til, og den leder, der bestilte opgaven, tænker ikke nødvendigvis på kontoen.
Det er praksis at sætte en udløbsdato på eksterne konti allerede ved oprettelsen og at lade forlængelse kræve en ny godkendelse. Så bliver kontrollen et spørgsmål om, hvor mange eksterne konti der står uden udløbsdato. Det tal kan trækkes direkte fra kataloget og lejeren.
Felterne i fundlisten
- Konto · (Kontonavn og platform)
- Type · (Ansat, ekstern, test, system)
- Person eller ejer · (Navn eller “ingen fundet”)
- Sidste logon · (Dato og hvilket felt der er brugt)
- Status i personalelisten · (Fratrådt dato, ukendt, ikke relevant)
- Beslutning · (Lukkes, forlænges med udløbsdato, ejer skrives på)
Hvorfor fundet går igen
En oprydning, der sker som en engangsindsats, holder til næste fratrædelse. Det er vores læsning af kilderne, at kontrollen hører hjemme i fratrædelsesprocessen, og at en årlig oprydning ikke er nok alene. Bilagets ord “straks” peger samme vej.
Det praktiske spørgsmål til driften er, hvordan IT får besked, når en medarbejder eller en konsulent stopper, og hvor hurtigt kontoen slås fra derefter. En stikprøve af de seneste fratrædelser holdt op mod datoen, kontoen blev deaktiveret, viser, om processen virker.
Hvad det kræver, og hvad det koster at lade være
Det kræver en personaleliste med fratrædelsesdatoer, en liste over eksterne med kontraktens slutdato og et udtræk af konti med sidste logon fra både katalog og lejer. Det tager tid første gang, især at finde ejerne af testbrugere og fælleskonti.
Uden afstemningen står konti åbne for personer, der ikke længere er tilknyttet, og ingen opdager, hvis de bliver brugt. En gyldig konto, der bruges af den forkerte, ser i loggen ud som almindelig brug.
Det skal I lade være med
- At lade sidste logon være eneste kriterium · en fratrådt persons konto kan stadig være i brug.
- At oprette konti til eksterne uden udløbsdato · så er det jer, der skal huske at lukke dem.
- At slette konti uden at slå dem fra først · en periode som deaktiveret afslører afhængigheder.
Det skal gennemgangen kunne vise
- ☐ En afstemning af konti mod personalelisten med dato.
- ☐ En liste over eksterne konti med udløbsdato eller begrundelse.
- ☐ Testbrugere og fælleskonti med navngiven ejer.
- ☐ En stikprøve af seneste fratrædelser holdt op mod deaktiveringsdatoen.
- ☐ En note om, hvilket felt for sidste logon der er brugt pr. platform.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, artikel 1 og punkt 11.2.2, 11.5.4 og 12.5, læst 13. november 2026.
- SAMSIK, Reducer risikoen for ransomware, 2. udgave, april 2023, side 10, læst 13. november 2026.
- CISA og NSA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, tabel 2, læst 13. november 2026.
- Microsoft Learn, Manage inactive user accounts, opdateret 21. februar 2025, læst 13. november 2026.
- Microsoft Learn, Last-Logon-Timestamp attribute, læst 13. november 2026.
- ANSSI, Active Directory security assessment checklist, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag de ti seneste fratrædelser, og se, hvornår hver konto blev slået fra i katalog og lejer. Afstanden mellem de to datoer viser, om processen virker.
Læs også: Servicekonti · Gæstebrugere og leverandørkonti i kataloget
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
