Mange virksomheder har en adgangsgennemgang i deres procesbeskrivelse. Det, en teknisk gennemgang spørger efter, er sporet: hvilken liste der blev gennemgået, hvem der tog stilling, og hvilke ændringer det førte til i systemerne. En adgangsgennemgang, der ikke har efterladt noget spor, kan ikke påvises.
Kilderne er her enige om princippet. De er uenige om, hvor ofte det skal ske, og kun én af dem sætter et fast interval.
Hvad kilderne kræver
Punkt 11.2.3 i bilaget til Kommissionens forordning 2024/2690 lyder, at virksomheden “gennemgår adgangsrettighederne med planlagte mellemrum og ændrer dem på grundlag af organisatoriske ændringer”, og at den “dokumenterer resultaterne af deres gennemgang, herunder de nødvendige ændringer af adgangsrettighederne”. Punkt 11.3.3 siger det samme for privilegerede konti og systemadministrationskonti. Bilaget sætter ikke et fast interval. Uden for de virksomhedstyper, forordningen dækker, er teksten et sammenligningsgrundlag.
DORA’s tekniske standard for IKT-risikostyring, delegeret forordning (EU) 2024/1774, er mere præcis for finansielle enheder. Artikel 21, litra e), nr. iv), kræver, at adgangsrettigheder ajourføres mindst en gang om året for alle IKT-systemer. For de systemer, der bærer kritiske eller vigtige funktioner, er fristen mindst hver sjette måned. Artiklen gælder ikke de enheder, der er omfattet af den forenklede ramme i DORA artikel 16, stk. 1.
SAMSIK anbefaler i vejledningen om ransomware “Revision af brugeradgange årligt.” Det er en anbefaling, og det er den danske målestok, der ligger nærmest en privat virksomhed uden for de regulerede sektorer.
Hvordan adgangsgennemgangen passer ind i en samlet NIS2-audit, hører til den almene auditmetode og NIS2-auditten. Her handler det om det tekniske bevis.
Det spor, en gennemgang efterlader
Hvilket spor der viser, at gennemgangen er sket og førte til ændringer, beskriver ingen af kilderne. Det følgende er praksis. Et fuldt spor har fire dele:
- Listen, der blev gennemgået · et dateret udtræk af brugere og rettigheder fra det system, gennemgangen gjaldt. Er listen lavet i hånden, er det ikke sikkert, at den svarer til systemet.
- Hvem der tog stilling · navnet på den leder eller systemejer, der har bekræftet eller afvist hver linje. Det er dem, der kender behovet. IT kan sjældent vurdere det alene.
- Beslutningen pr. linje · bevares, ændres eller fjernes.
- Ændringen i systemet · ændringsloggen i katalog, lejer eller forretningssystem, der viser, at de fjernede rettigheder faktisk blev fjernet efter gennemgangens dato.
Den sidste del er den, der oftest mangler. En gennemgang kan være afsluttet med beslutninger om at fjerne ti rettigheder, uden at nogen har fjernet dem. Når ændringsloggen holdes op mod beslutningerne, ses det med det samme.
Indbyggede funktioner i Entra ID
Microsoft har adgangsgennemgange i Entra ID, som kan gentages med fast frekvens, og Privileged Identity Management har gennemgange af, om brugere stadig har brug for deres roller. Revisionshistorikken kan hentes ned. Funktionerne kræver en udvidet licens.
Bruges de, giver de en stor del af sporet af sig selv: hvem der blev spurgt, hvad de svarede, og om rettigheden blev fjernet automatisk. Det, de ikke dækker, er forretningssystemer og netværksudstyr uden for lejeren. Dem må sporet laves for på anden vis, fx med det udtræk, der ligger til grund for opgørelsen over administratorrettigheder.
En gennemgang uden ændringer
En adgangsgennemgang, hvor alle rettigheder blev bevaret, kan være rigtig. I et miljø med jævnlig udskiftning af medarbejdere er det dog sjældent, og den, der gennemgår, vil spørge til det. Det er en tolkning af, hvad bilaget mener med at ændre rettighederne på grundlag af organisatoriske ændringer: når organisationen har ændret sig, forventes rettighederne også at have gjort det.
Et nyttigt tjek er at sammenholde gennemgangen med personalelisten. Har nogen skiftet afdeling i perioden, burde deres rettigheder være blevet ændret. Står de uændret, har gennemgangen ikke fanget det.
Privilegerede konti for sig
Punkt 11.3.3 i bilaget nævner de privilegerede konti særskilt, og det er praksis at gennemgå dem oftere og mere grundigt end almindelige brugere. Her er det ofte IT selv, der ejer rettighederne, så det er en anden person end den daglige leder, der skal tage stilling. En god løsning er, at IT-chefen eller en anden uden for driften godkender listen over administratorer, så den, der har rettighederne, ikke også godkender dem.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen trækker listen, sender den til de rigtige ledere, samler svarene og fører ændringerne igennem. For finansielle enheder under DORA er rytmen givet. For andre skal virksomheden selv fastsætte den, og SAMSIK’s årlige anbefaling er et naturligt udgangspunkt.
Uden sporet kan I ikke påvise, at gennemgangen er sket, og rettigheder, der burde være fjernet, bliver ved at hobe sig op. Det er netop den ophobning, gennemgangen er sat i verden for at stoppe.
Det skal I lade være med
- At lade IT godkende rettigheder alene · lederne kender behovet.
- At afslutte gennemgangen ved beslutningen · ændringen i systemet er en del af den.
- At gennemgå en håndlavet liste · gennemgå et udtræk fra systemet.
Det skal gennemgangen kunne vise
- ☐ Dateret udtræk af de rettigheder, der blev gennemgået.
- ☐ Navngivne personer, der har taget stilling til hver linje.
- ☐ Beslutninger pr. linje.
- ☐ Ændringslog, der viser de gennemførte ændringer efter gennemgangens dato.
- ☐ Den fastsatte rytme og, for finansielle enheder, rytmen for systemer med kritiske eller vigtige funktioner.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, artikel 1 og punkt 11.2.3 og 11.3.3, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 21, litra e), nr. iv), læst 13. november 2026.
- SAMSIK, Reducer risikoen for ransomware, 2. udgave, april 2023, side 10, læst 13. november 2026.
- Microsoft Learn, Access reviews, opdateret 12. marts 2026, læst 13. november 2026.
- Microsoft Learn, Privileged Identity Management, opdateret 23. april 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find jeres seneste adgangsgennemgang, og hold de rettigheder, den besluttede at fjerne, op mod ændringsloggen.
Læs også: Inaktive og forældreløse konti · Privilegerede roller i skyen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
