Når en vurdering finder medarbejdere med for mange rettigheder i en koncern, er fundet sjældent, at nogen har fejlet i ét system. Fundet er, at processen for at give, ændre og fjerne rettigheder ikke følger medarbejderne, når de skifter rolle, afdeling eller selskab. Beskrives fundet som en procesmangel, kan det lukkes. Beskrives det som en liste over brugere, der skal ryddes op i, kommer det igen næste år.
Det er sitets vurdering, at adgangsstyring er det område, hvor forskellen mellem et teknisk fund og et procesfund er tydeligst i en koncern.
Hvorfor rettigheder hober sig op i en koncern
I et enkelt selskab skifter en medarbejder afdeling, og den lokale IT-afdeling kan fjerne de gamle rettigheder. I en koncern kan medarbejderen skifte fra ét selskab til et andet, fra en lokal rolle til en koncernrolle eller fra et forretningsområde, der bruger ét system, til et, der bruger et andet. Hvert skifte giver nye rettigheder. De gamle bliver ofte stående, fordi ingen i det nye selskab ved, hvad medarbejderen havde i det gamle.
Opkøbte selskaber gør billedet mere uoverskueligt. Efter handlen har de ofte deres eget brugerkatalog, egne roller og egne administratorer. Indtil kataloget er integreret, findes der medarbejdere med rettigheder i to systemer, som ingen ser samlet.
Hvad målestokkene siger
Punkt 11.2 i bilaget til forordning 2024/2690 lyder næsten som en beskrivelse af det, fundet mangler. Rettigheder tildeles og tilbagekaldes efter behovet for viden, mindste privilegium og adskillelse af opgaver. De ændres ved ophør eller ændring af ansættelse. Der føres et register over tildelte rettigheder. De gennemgås med planlagte mellemrum og ændres på grundlag af organisatoriske ændringer, og resultatet dokumenteres. Forordningen binder kun de digitale tjenesteudbydere, den selv opregner. For en industri- eller handelskoncern er punktet en målestok for, hvad en moden proces indeholder.
Adgangskontrolpolitikker står som nummer 9 på listen over minimumskrav i NIS 2-lovens § 6, stk. 1, for dem, loven omfatter.
CISA og NSA nævner i deres fælles rådgivning fra 2023 om ti systemiske fejlopsætninger i store organisationer både utilstrækkelig adskillelse af bruger- og administratorrettigheder og dårlig hygiejne omkring legitimationsoplysninger. Rådgivningen understreger, at svaghederne findes i mange store organisationer, også modne.
Fundet beskrevet som proces
Et procesfund om adgangsstyring svarer på fire spørgsmål:
- Hvem udløser ændringen? Melder HR eller den nye leder et rolleskift, også når skiftet går mellem selskaber?
- Hvem ser hele billedet? Findes der et sted, hvor alle en medarbejders rettigheder på tværs af koncernen kan ses?
- Hvem gennemgår? Gennemgås rettighederne med faste mellemrum, og af hvem?
- Hvad sker der efter en organisationsændring? Udløser en omorganisering eller et opkøb en gennemgang?
Mangler svaret på et eller flere af spørgsmålene, er det det, fundet handler om. Antallet af brugere med for mange rettigheder er symptomet.
Hvorfor engangsoprydningen ikke virker
Det er fristende at lukke fundet med en oprydning: alle rettigheder gennemgås, de overflødige fjernes, og fundet meldes lukket. Det giver en pæn status til næste rapport. Men hvis processen for rolleskift ikke er ændret, hober rettighederne sig op igen fra dagen efter.
Det er sitets anbefaling, at fundet først betragtes som lukket, når processen er ændret, og når en senere stikprøve viser, at nye rolleskift håndteres. Oprydningen er et nødvendigt første skridt, men den lukker ikke fundet. Rollefordelingen ved efterprøvningen står i lukning af fund i tre linjer.
Hvordan vurderingen finder fundet
En gængs fremgangsmåde i en koncernvurdering er at vælge en stikprøve af medarbejdere, der har skiftet rolle eller selskab inden for det seneste år, og se, hvilke rettigheder de har i dag. Stikprøven viser, om processen virker, uden at hele brugerkataloget skal gennemgås. Den viser også, om problemet er koncentreret i bestemte selskaber eller i overgangene mellem dem.
De tekniske kontrolpunkter for adgangsstyring, fx hvordan rettigheder trækkes ud af systemerne og sammenlignes, er beskrevet under tekniske kontrolpunkter. Hvordan adgangsfund behandles, når kun ét selskab auditeres, står under den almene auditmetode.
Fundet og koncernscoren
I en modenhedsmåling scorer mange selskaber adgangsstyring højt, fordi de har en politik og et system. Procesfundet viser, at scoren kan dække over en svaghed i overgangene, som intet enkelt selskab ejer. Det er sitets vurdering, at adgangsstyring på koncernniveau bør have sin egen score ved siden af selskabernes, så overgangene bliver synlige.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at HR, de lokale IT-afdelinger og koncernens sikkerhedsfunktion aftaler, hvem der udløser ændringer ved rolleskift på tværs, og at der findes et sted, hvor rettighederne kan ses samlet. Det kræver også, at opkøbte selskaber får en plan for, hvornår deres katalog integreres.
Lukkes fundet med en oprydning alene, står det i rapporten igen om et år. Og i mellemtiden har medarbejdere rettigheder, de ikke har brug for, i systemer, ingen har overblik over.
Det skal I lade være med
- At melde fundet lukket efter en oprydning · processen skal ændres, før det holder.
- At lade hvert selskab gennemgå sine egne rettigheder isoleret · overgangene bliver ikke set.
- At vente med opkøbte selskabers katalog, til integrationen er færdig · rettighederne vokser imens.
Det skal gennemgangen kunne vise
- ☐ En proces for rolleskift, der også gælder mellem selskaber.
- ☐ Et sted, hvor en medarbejders rettigheder på tværs af koncernen kan ses.
- ☐ Dokumenterede gennemgange med faste mellemrum.
- ☐ En stikprøve af rolleskift, der viser, at processen virker.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, artikel 1 og bilagets punkt 11.2, læst 14. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 6, stk. 1, nr. 9, læst 14. november 2026.
- CISA og NSA, Top Ten Cybersecurity Misconfigurations (AA23-278A), 5. oktober 2023, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk en liste over medarbejdere, der har skiftet selskab det seneste år, og se, hvilke rettigheder de stadig har i det gamle.
Læs også: Opkøbte selskaber, der aldrig blev integreret · Gentagne fund
→ Kontakt · Tlf. 70 13 63 23 · Sikkerhedsmodenhed hos Nielco IT
