Standardkoder og fabriksindstillinger overlever de steder, hvor ingen tænker på udstyret som en computer: printeren, kameraet, mødelokalets skærmudstyr, IP-telefonen og styringen i produktionen. De overlever også i programmer, hvor installationen opretter en administratorkonto med et kendt password. Gennemgangen finder dem ved at gå udstyret igennem gruppe for gruppe og ved at se på, om der er en fast procedure ved ibrugtagning.
Kontrollen er enkel at beskrive. Det svære er at få alt udstyret med.
Målestokkene
CISA og NSA har i AA23-278A samlet ti fejlopsætninger i en liste, der udtrykkeligt ikke er prioriteret. Én af dem er standardopsætninger af software og programmer, herunder standardloginoplysninger og standardrettigheder. CISA skriver, at ud over netudstyr har printere, scannere, kameraer, AV-udstyr, IP-telefoner og IoT-enheder ofte standardloginoplysninger. Anbefalingen er at ændre eller slå standardbrugernavne og -passwords fra ved installation og ibrugtagning og at ændre standardopsætningen, før udstyret sættes i produktion, efter producentens hærdningsvejledning.
SAMSIK anbefaler i vejledningen om passwordsikkerhed fra oktober 2026, at standardpasswords altid ændres, inden udstyr og software tages i brug. SAMSIK anbefaler ændring af standardpasswords som fast procedure ved ibrugtagning og at gennemgå adgange til udstyr og software med jævne mellemrum for at finde standardpasswords. Vejledningen nævner routere, printere, logservere og firewalls som eksempler.
SAMSIK’s vejledning om beskyttelse af OT fra 2026 skriver: “De mest udbredte sikkerhedshuller i OT-systemer er brug af standard-passwords og usikre fjernadgange”. Vejledningen anbefaler at skifte standardpasswords og at bruge passwords på mindst 15 tegn.
Alle tre er anbefalinger. Ingen af dem er lovkrav for en dansk virksomhed.
Hvor standarderne gemmer sig
Det er almindelig praksis at dele gennemgangen i grupper efter, hvem der har sat udstyret op:
- Netudstyr: switche, routere, firewalls og trådløse adgangspunkter. Ofte sat op af driften eller en leverandør.
- Kontorudstyr: printere, scannere, mødelokaleudstyr og IP-telefoner. Ofte sat op af leverandøren af udstyret.
- Bygningsudstyr: kameraer, adgangskontrol, alarmer og styring af varme og ventilation. Ofte sat op af en installatør uden kontakt til IT.
- Produktionsudstyr: styringer og operatørpaneler. Ofte sat op af maskinens producent.
- Programmer: databaser, webapplikationer, overvågning og værktøjer til udrulning, hvor installationen opretter en konto.
Bygningsudstyr og produktionsudstyr er de grupper, der oftest står uden for driftens opgørelse. SAMSIK’s OT-vejledning er grunden til at tage produktionen med. Hvordan overgangen mellem kontornet og produktionen læses, uden at røre anlægget, kræver sin egen planlægning.
Sådan findes de systematisk
En systematisk gennemgang har tre trin.
Det første er en liste over alt udstyr med en administrationsflade. Den kan bygges fra netværkets egne lister, fra DHCP og fra indkøb. Udstyr med en administrationsflade, der kan nås fra netværket, kommer først. Metoden er beskrevet i systemlisten bygget fra systemerne selv, og listen derfra kan genbruges.
Det andet er at spørge for hver enhed, om standardkontoen er ændret, slået fra eller stadig i brug. Svaret skal komme fra den, der administrerer enheden, og helst med dato for ændringen.
Det tredje er en kontrol ved et lille udvalg. Hvordan kontrollen gøres uden at prøve koder af på udstyret, aftales med driften. Gennemgangen bør ikke selv prøve at logge på med kendte koder, medmindre det er udtrykkeligt aftalt, for så er det en anden slags test. Penetrationstest er en anden ydelse med sin egen aftale.
Andet end koder
Standardindstillinger er mere end passwords. CISA nævner standardrettigheder. Det kan være administrationsflader, der er slået til på alle netkort, tjenester, der er tændt, men ikke bruges, og eksempelfiler i et program. Producentens hærdningsvejledning er målestokken for den enkelte enhed, og den skal findes frem for hver type.
Udstyr, der nulstilles
En ændret kode kan forsvinde igen. Udstyr, der nulstilles efter en fejl, eller som udskiftes under garanti, kommer ofte tilbage med fabriksindstillingerne. Det samme gælder programmer, der geninstalleres. Kontrollen er, om proceduren også bruges igen, når udstyret er repareret eller udskiftet. Ingen af kilderne beskriver det, men det følger af SAMSIK’s råd om at gennemgå adgangene med jævne mellemrum.
Proceduren ved ibrugtagning
SAMSIK’s anbefaling om en fast procedure ved ibrugtagning er den del, der virker fremad. Kontrollen er, om proceduren findes, om den også gælder udstyr, som en installatør eller leverandør sætter op, og om den bliver fulgt. Beviset er en udfyldt tjekliste for det seneste udstyr, der er taget i brug. Kontrollen af nye systemer generelt står i nyt system før idriftsættelse.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over udstyr med administrationsflade og en ejer for hver gruppe. Det tunge er at få bygningsudstyr og produktionsudstyr med, fordi de ofte ejes af andre end IT.
Uden kontrollen står der udstyr på nettet, hvis kode står i en manual, alle kan finde. SAMSIK kalder det det mest udbredte hul i OT-systemer.
Det skal I lade være med
- At lade installatøren sætte udstyr op uden jeres procedure · skriv kravet ind i aftalen.
- At afgrænse gennemgangen til det, IT har købt · bygningsudstyr og produktion har også administrationsflader.
- At prøve standardkoder af uden aftale · det er en test med en anden aftale.
Det skal gennemgangen kunne vise
- ☐ En liste over udstyr og programmer med administrationsflade og ejer.
- ☐ Status for standardkontoen pr. enhed med dato.
- ☐ En procedure for ændring af standardindstillinger ved ibrugtagning.
- ☐ En udfyldt tjekliste for det seneste udstyr, der er taget i brug.
- ☐ Producentens hærdningsvejledning for de vigtigste enhedstyper.
Kilder
- CISA og NSA, AA23-278A, Top Ten Cybersecurity Misconfigurations (5. oktober 2023), punkt 1 og tabel 1, læst 13. november 2026.
- SAMSIK, Passwordsikkerhed (oktober 2026), side 16, læst 13. november 2026.
- SAMSIK, Beskyttelse af OT (2026), læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv udstyret med administrationsflade op i de fem grupper, og marker det, hvor ingen ved, om standardkontoen er ændret.
Læs også: Administrationsflader, der kan nås fra brugernettet eller internettet · Databaser
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
