En filserver, der har været i brug i tyve år, har tusindvis af mapper, og ingen kan læse rettighederne på dem alle. Det samme gælder dokumentbiblioteker i skyen, der er vokset med hvert nyt projekt. En gennemgang må derfor finde de for brede rettigheder med udtræk, der peger på de steder, hvor det er værd at se nærmere efter, og med en stikprøve af resten.
Metoden er praksis. Målestokken for, hvad der er for bredt, kommer fra CISA og NSA, SAMSIK og bilaget til forordning 2024/2690.
Hvad målestokkene siger
CISA og NSA har utilstrækkelige adgangslister på netværksshares og tjenester med på deres liste over ti fejlopsætninger. Listen er udtrykkeligt ikke en rangliste. De skriver, at deres hold rutinemæssigt finder følsomme oplysninger og loginoplysninger på delte drev. Anbefalingerne er sikre opsætninger, der kun giver adgang til autoriserede, mindste rettighed, restriktive rettigheder på filer og mapper, og at anonym opregning af shares slås fra.
SAMSIK anbefaler i vejledningen om ransomware, at “Skriveadgange reduceres til det behovsbestemte”, og at antallet af konti med skriverettigheder til kritiske data begrænses. Det er en anbefaling, og den er nyttig, fordi den skelner mellem læse- og skriveret. En bred skriveret til kritiske data er den, der gør mest skade, hvis en konto bliver misbrugt.
Bilaget til 2024/2690 nævner tre principper i punkt 11.2.2 under litra a): need to know, mindste rettighed og adskillelse af opgaver. De binder de digitale tjenesteudbydere, forordningen er rettet mod, og giver andre et sprog at måle i.
Udtrækkene, der peger på de rette steder
Hvilke udtræk der bruges, er praksis, og det samme er rækkefølgen. En gennemgang starter typisk med de rettigheder, der rammer flest:
- Rettigheder givet til meget brede grupper · grupper som alle brugere i domænet eller alle godkendte brugere på delte mapper. Det er de steder, hvor adgangen reelt er åben for hele virksomheden.
- Skriveret for brede grupper · samme liste, men kun dér, hvor gruppen kan ændre eller slette. Det er SAMSIK’s skelnen omsat til et udtræk.
- Rettigheder givet direkte til enkeltbrugere · i stedet for grupper. De er svære at vedligeholde og overlever ofte personens fratrædelse.
- Shares, der kan opregnes anonymt · CISA’s særskilte anbefaling.
- Mapper, hvor arven er brudt · undermapper med egne rettigheder, som ingen har overblik over.
For dokumentbiblioteker i skyen svarer det til biblioteker og websteder, der er delt med hele organisationen, med gæster eller med links, som alle kan åbne. Den eksterne del er beskrevet i ekstern deling af filer og teams.
Stikprøven
Udtrækkene finder de brede rettigheder, men ikke om en snæver rettighed er givet til de forkerte. Det kræver, at nogen, der kender indholdet, ser på listen. En stikprøve er praksis og kan bygges sådan:
- Vælg et lille antal mapper eller biblioteker med følsomt indhold, fx løn, personale, kontrakter og kunders data.
- Træk rettighederne på hver med alle grupper udfoldet til personer.
- Bed den forretningsansvarlige for indholdet om at bekræfte hver person.
Stikprøven giver ikke et fuldt billede. Den viser, om rettighederne på de vigtigste steder svarer til behovet, og om ejerne kender dem. Finder stikprøven fejl, er det en grund til at udvide.
Følsomme oplysninger på delte drev
CISA og NSA nævner loginoplysninger på delte drev særskilt. En gennemgang med læseadgang kan ikke åbne alle filer, og det bør den heller ikke. Det, der kan kontrolleres, er om driften selv har en arbejdsgang for at finde og fjerne den slags filer, og om de mapper, driften bruger til scripts og konfiguration, er begrænset til dem, der skal bruge dem. Det sidste er praksis, men det følger af princippet om mindste rettighed.
Ejere frem for IT
Rettigheder på filer er et af de steder, hvor IT sjældent kan vurdere behovet. Det er praksis at give hver hovedmappe eller hvert bibliotek en forretningsansvarlig ejer, som godkender adgang og indgår i den periodiske adgangsgennemgang. Uden ejere ender det med, at IT giver adgang på opfordring og aldrig fjerner den igen.
Når udtrækket er for stort til at læse
Selv et udtræk af de øverste niveauer kan give mange tusinde linjer. Det er praksis at sortere det, før nogen læser det: først efter gruppens størrelse, så efter skriveret, så efter hvor følsomt indholdet er. De linjer, der har både en stor gruppe, skriveret og følsomt indhold, læses først. Resten kan vente til næste runde. Sorteringen skal stå i rapporten, så det er klart, hvad der er set, og hvad der ikke er.
Hvad det kræver, og hvad det koster at lade være
Det kræver et udtræk af rettighederne på de øverste niveauer af filservere og biblioteker, en liste over de brede grupper og forretningsansvarlige, der vil tage stilling til stikprøven. Rettelsen er sjældent teknisk svær, men den kræver omtanke, fordi en fjernet rettighed kan stoppe en arbejdsgang, ingen havde beskrevet.
Uden kontrollen ligger kritiske data med skriveret for hele virksomheden. En enkelt kompromitteret konto er så nok til at ændre eller kryptere det hele.
Det skal I lade være med
- At give adgang til alle brugere for at løse et akut behov · det bliver stående.
- At give rettigheder direkte til personer · brug grupper med ejer.
- At lade IT godkende adgang til forretningens data alene · ejerne kender behovet.
Det skal gennemgangen kunne vise
- ☐ Et udtræk af rettigheder givet til brede grupper, med skriveret markeret.
- ☐ En liste over rettigheder givet direkte til enkeltbrugere.
- ☐ Status for anonym opregning af shares.
- ☐ En stikprøve af følsomme mapper bekræftet af den forretningsansvarlige.
- ☐ Navngivne ejere af hovedmapper og biblioteker.
Kilder
- CISA og NSA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, punkt 8 og tabel 8, læst 13. november 2026.
- SAMSIK, Reducer risikoen for ransomware, 2. udgave, april 2023, side 10, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 11.2.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk en liste over de delte mapper, hvor gruppen med alle brugere har skriveret, og find en ejer til hver.
Læs også: Stikprøve af servere og klienter · Ekstern deling af filer og teams
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
