Hvordan sikrer du medarbejderes fjernadgang?

Når en medarbejder åbner et forretningssystem fra hjemmekontoret, på rejse eller via sit eget netværk, forbinder han eller hun ikke kun til arbejdet – han eller hun forbinder virksomheden til et miljø, som I ikke fuldt ud kontrollerer. Spørgsmålet er derfor ikke kun, hvordan man sikrer medarbejderes fjernadgang, men hvordan man gør det uden at forsinke folk, komplicere daglige opgaver eller øge omkostningerne med unødvendigt mange systemer.

Fjernadgang er blevet en naturlig del af driften i mange virksomheder. Den understøtter fleksible arbejdsordninger, hurtigere service og bedre samarbejde på tværs af lokationer. Samtidig kan et stjålet kodeord, et ikke-opdateret bærbart system eller et usikkert netværk åbne en vej til e-mails, filer, finansielle oplysninger og kundedata. Sikkerheden skal derfor bygge på klare driftsregler, synlighed og evne til at reagere – ikke kun én teknisk løsning.

Hvordan sikrer du medarbejderes fjernadgang i praksis?

Sikker fjernadgang starter med en simpel regel: en medarbejder skal kun have den adgang, han eller hun behøver for at udføre sit arbejde, og virksomheden skal kunne bekræfte, hvem der forbinder. Dette kaldes ofte minimumsrettigheder, men i drift handler det simpelthen om, at en bogholder ikke automatisk har adgang til ledelsessystemer, og at en tidligere medarbejder ikke kan logge ind efter sin sidste arbejdsdag.

Mange virksomheder starter med at købe et nyt sikkerhedssystem, men efterlader gamle adgangsgrupper, fælles kodeord og uskrevne undtagelser. Det reducerer værdien af investeringen. En bedre start er at kortlægge, hvilke systemer personalet bruger uden for kontoret, hvilke data der er følsomme, og hvilke roller der har brug for adgang til hvad. Derefter kan man vælge enklere og mere målrettede forsvarsmekanismer.

Autentificeringen skal kunne modstå stjålne kodeord

Kodeord alene er ikke tilstrækkelig beskyttelse for e-mail, cloud-tjenester, fjernstyring eller ledelsessystemer. Phishing er stadig en af de mest almindelige veje for angribere ind i virksomheder, og en veludført svindelmail kan narre en erfaren medarbejder på en travl dag.

Multifaktorautentificering tilføjer en bekræftelse, for eksempel i en autentificeringsapp, en sikkerhedsnøgle eller med biometrisk autentificering på en enhed. Hvis et kodeord lækkes, skal angriberen derefter stadig opnå adgang til en anden faktor. Ikke alle metoder er lige gode. Bekræftelse i en app eller med en sikkerhedsnøgle giver generelt bedre beskyttelse end SMS, som kan være sårbar over for misbrug af telefonnumre.

Dette forsvar skal først nå de vigtigste systemer: e-mail, fillagring, fjernadgangssystemer, finansielle systemer og administratoradgange. Især administratorers konti skal beskyttes, da et enkelt login kan give omfattende adgang. Der skal også være en proces for medarbejdere, der skifter telefon eller mister en enhed, så sikkerhedsforanstaltningen ikke bliver en serviceforhindring.

Enheden er en del af adgangen

Det betyder ikke meget, at login er godt beskyttet, hvis den bærbare computer, der opretter forbindelse til systemet, er uopdateret, fuld af ukendte programmer eller uden kryptering. Fjernadgang skal baseres på pålidelige enheder, ikke kun pålidelige brugere.

Virksomheder skal vide, hvilke enheder der har adgang til deres data, hvem der er ansvarlig for dem, og om de opfylder minimumskravene. Dette gælder både bærbare computere og telefoner. Styret enhedsadministration gør det muligt at se status for opdateringer, kræve skærmlås, aktivere kryptering og slette virksomhedsdata fra en mistet eller stjålet enhed, når det er nødvendigt.

Medarbejdernes egne enheder kan være egnede i afgrænsede tilfælde, men så skal grænserne defineres. Er det tilladt at gemme vedhæftede filer på enheden? Er kun webversioner af systemer tilladt? Kan virksomheden fjerne data, hvis en medarbejder stopper? Svaret afhænger af dataenes art og lovgivningen, men en uklar politik er altid en risiko.

Beskyttelse af slut-enheder skal også analysere mistænkelig adfærd, såsom usædvanlige logins, forsøg på at køre skadelige filer eller kryptere data. Sådanne værktøjer erstatter ikke regelmæssig administration. Advarsler, som ingen ser, hjælper ikke, når alvoren indtræffer.

Netværket derhjemme og på farten er ikke virksomhedens netværk

En medarbejder kan sidde i et sikkert hjem, men oprette forbindelse til et usikkert trådløst netværk, bruge et offentligt netværk i lufthavnen eller dele en internetforbindelse med andre enheder, der ikke er under virksomhedens kontrol. Derfor skal trafikken beskyttes, og adgangen direkte fra internettet begrænses.

En sikker fjernforbindelse eller adgang baseret på en identificeret bruger-session kan reducere risikoen. Hvilken metode der passer bedst, afhænger af de systemer, der bruges. Virksomheder med ældre systemer, der er hostet lokalt, kan have brug for en anden tilgang end virksomheder, der arbejder næsten udelukkende i cloud-tjenester. Målet er dog det samme: at det ikke skal være muligt at få adgang til interne systemer med et simpelt login fra en ukendt enhed eller et ukendt netværk.

Det er lige så vigtigt at lukke tjenester, der ikke behøver at være synlige på internettet. Fjernstyringsværktøjer, webservere og administrationsgrænseflader er populære mål. Hvis de er åbne uden klare begrænsninger, bliver virksomheden afhængig af, at ingen svagheder findes – hvilket ikke er realistisk risikostyring.

Adgangskontrol er en daglig driftsopgave

Sikker fjernadgang fejler ofte i HR-processer snarere end i teknologi. En ny medarbejder får hurtig adgang for at kunne starte arbejdet, men ingen gennemgår tilladelser, når roller ændres. Derefter stopper medarbejderen, og adgangen lever videre i et system, som ingen længere husker.

En god proces forbinder rekruttering, rolleændringer og afskedigelse. En administrator godkender adgang efter behov, adgangen dokumenteres, og den gennemgås med jævne mellemrum. Ved afskedigelse skal adgangen lukkes samme dag, aktive sessioner annulleres, og det sikres, at virksomhedens data ikke forbliver i personlige konti eller enheder.

Fælles brugerkonti er særligt problematiske. De gør det svært at spore, hvem der har foretaget en ændring, og de fortsætter ofte med at blive brugt, efter at medarbejdere har skiftet job. Hvis fælles adgang er uundgåelig, f.eks. til et bestemt servicesystem, skal den styres med en adgangskodeadministrator, godkendt adgang og registrering af brug.

Medarbejdere har brug for enkle regler og realistisk hjælp

En sikkerhedspolitik, som kun IT-afdelingen forstår, vil ikke blive fulgt. Medarbejdere har brug for klare instruktioner om, hvad de skal gøre, når de modtager mistænkelig post, mister en telefon eller skal arbejde fra et andet land. De skal også vide, hvor de kan henvende sig uden at frygte at have begået fejl.

Regelmæssig, kort træning giver normalt bedre resultater end et langt kursus en gang om året. Eksempler fra den virkelige arbejdsdag virker bedst: en anmodning fra "direktøren" om betaling, en login-side, der ligner Microsoft, eller en uventet anmodning om at godkende identifikation på telefonen. Målet er ikke at gøre medarbejdere mistænksomme over for alt, men at de stopper op og bekræfter, når noget ikke passer.

Samtidig skal servicen være tilgængelig. Hvis en medarbejder ikke kan få hjælp hurtigt, når multifaktorgodkendelse fejler, eller enheder kræver opdatering, finder han eller hun ofte en usikker genvej. Sikkerhed og en god brugeroplevelse skal derfor støtte hinanden.

Test, om forsvaret virker, når noget går galt

Intet forsvar er perfekt. Derfor skal virksomheden kunne reagere hurtigt, når der opstår mistanke om en stjålet konto eller en inficeret enhed. Kan I lukke adgangen med det samme? Se, hvilke systemer brugeren har åbnet? Isolere enheden uden at stoppe hele driften? Gendanne data, hvis et angreb når længere?

Sikkerhedskopiering er en vigtig del af dette, men den skal testes. En sikkerhedskopi, der ikke kan gendannes under tidspres, er ikke en reel modstandsevne. Det samme gælder en beredskabsplan, der ligger ulæst i en mappe. Klar ansvarlighed, opdaterede kontaktpersoner og øvede handlinger forkorter nedetiden, når minutterne tæller.

Hos nexIT nærmer vi os dette som et samspil mellem daglig administration, enhedssikkerhed, adgangskontrol og gendannelsesplanlægning. Virksomheder behøver ikke at samle en kompleks samling af løsninger for at opnå succes. De skal vide, hvad de ejer, hvem der har adgang, og hvem der reagerer, når der opstår afvigelser.

Sikker fjernadgang bør ikke være en hindring for fleksibelt personale. Når adgange, enheder og reaktioner er under kontrol, bliver det i stedet et solidt fundament for en fortsat drift – uanset om personalet arbejder fra kontoret, hjemmefra eller et andet sted.