Hvorfor Zero Trust ikke kun er for de største virksomheder
Zero Trust lyder måske som et projekt for banker, globale koncerner og it-afdelinger med store konsulentbudgetter. Det behøver det ikke være. For en mindre virksomhed handler modellen først og fremmest om at ændre nogle få grundlæggende vaner: Kontrollér, hvem der forsøger at få adgang, giv kun de nødvendige rettigheder, og vær forberedt på, at en konto eller en enhed kan blive kompromitteret.
Kort fortalt betyder Zero Trust, at ingen bruger, enhed eller applikation automatisk betragtes som sikker. Adgang skal verificeres, uanset om medarbejderen sidder på kontoret, arbejder hjemmefra eller logger på fra en café. Du kan finde mere baggrund i en praktisk gennemgang af Zero Trust, men de vigtigste principper kan ofte implementeres med funktioner, virksomheden allerede betaler for.
Den klassiske sikkerhedsmodel byggede på en stærk ydre mur, typisk en firewall og en VPN-forbindelse, mens alt inden for netværket blev opfattet som mere eller mindre betroet. Den model passer dårligere til en hybrid arbejdsplads, hvor data ligger i cloud-tjenester, medarbejdere bruger private eller mobile enheder, og eksterne samarbejdspartnere skal have adgang. Den gode nyhed er, at standardfunktioner i Microsoft 365, Google Workspace og andre cloud-platforme ofte giver adgang til MFA, adgangspolitikker, logning og rollebaseret styring uden nye enterprise-investeringer.
De tre kerneprincipper bag en effektiv Zero Trust-strategi
En enkel Zero Trust-strategi kan bygges op omkring tre principper. Det første er eksplicit verifikation. Et login skal vurderes ud fra identitet, enhed, placering, tidspunkt og den konkrete ressource, der ønskes adgang til. Et kendt brugernavn alene er ikke længere tilstrækkeligt. Det andet er mindste privilegium, hvor brugeren kun får adgang til de systemer og data, der er nødvendige for arbejdsopgaven. Det tredje er at antage, at et databrud kan ske, så virksomheden begrænser skaden, opdager mistænkelig aktivitet og har en plan for reaktion.
Det er ikke det samme som at købe en bestemt Zero Trust-platform. Modellen kræver i stedet en prioriteret indsats, hvor kritiske aktiver kortlægges, regler sættes op, og resultaterne løbende kontrolleres. NISTs officielle Zero Trust-arkitektur beskriver netop denne overgang fra perimeter-tænkning til løbende kontrol. Samtidig kan mindre virksomheder bruge Center for Cybersikkerheds vejledninger som et dansk udgangspunkt for grundlæggende sikkerhedspraksis.
| Klassisk fæstningsmodel | Zero Trust-tankegang |
|---|---|
| Netværket inden for firewallen antages at være sikkert | Hver adgangsforespørgsel verificeres |
| VPN giver ofte bred adgang til netværket | Adgang gives til bestemte systemer og data |
| Stort fokus på den ydre netværksgrænse | Fokus på identitet, enhed, data og kontekst |
| Adgang kan bestå permanent | Adgang begrænses i omfang og varighed |
Identiteten som nyt perimeter og gevinsten ved gratis MFA
Nu ser vi nærmere på identiteten. I en cloud-baseret virksomhed er brugerens login ofte den vigtigste forsvarslinje. Når e-mail, dokumenter, økonomisystemer og kundedata tilgås via internettet, er det mindre afgørende, hvor brugeren befinder sig på netværket. Det afgørende er, om personen er den, vedkommende udgiver sig for at være, om enheden er opdateret, og om adgangen passer til situationen.
MFA betyder flerfaktorbekræftelse. Ud over adgangskoden skal brugeren bekræfte identiteten med eksempelvis en godkendelse i en app, en sikkerhedsnøgle eller en biometrisk faktor. Det beskytter især mod automatiserede angreb, hvor kriminelle forsøger at genbruge stjålne adgangskoder på tværs af tjenester. Microsoft beskriver MFA som et centralt sikkerhedstiltag og angiver, at MFA for administratorer kan gøre kontokompromittering 99,9 procent mindre sandsynlig under de relevante forudsætninger. Se de konkrete anbefalinger i Microsofts Entra-praksis.
I Microsoft 365 kan en administrator normalt aktivere sikkerhedsstandarder eller oprette Conditional Access-politikker i Microsoft Entra ID. I Google Workspace kan administratoren tilsvarende håndhæve totrinsbekræftelse under sikkerhedsindstillingerne. Funktionernes præcise tilgængelighed afhænger af abonnementet, så licenser bør kontrolleres før planlægning. En god udrulning begynder med administratorer og højt privilegerede brugere, hvorefter resten af organisationen får en kort tilvænningsperiode med tydelig kommunikation.
- Aktivér MFA for alle brugere, herunder ledelsen og midlertidige konti.
- Foretræk phishing-resistente metoder som sikkerhedsnøgler eller passkeys, hvor platformen understøtter dem.
- Brug en registreret backup-metode, men undgå fælles telefonnumre og delte godkendelser.
- Forklar på forhånd, hvorfor MFA indføres, og giv medarbejderne en enkel vej til hjælp.
- Gennemgå logins og afvis ukendte godkendelsesforsøg med det samme.
Princippet om mindste privilegium i den daglige drift
Små virksomheder arbejder ofte hurtigt, og derfor får medarbejdere let permanente administratorrettigheder. Delte fælleskonti er endnu en typisk genvej. Problemet opstår, når en konto bliver hacket, en medarbejder kommer til at slette data, eller ingen længere kan forklare, hvem der har haft adgang til hvad. En delt konto gør både forebyggelse og efterforskning vanskelig, fordi handlingerne ikke kan knyttes sikkert til en bestemt person.
RBAC, som står for rollebaseret adgangsstyring, gør rettighederne mere overskuelige. En bogholder kan eksempelvis få adgang til økonomisystemet, men ikke til produktionsmapper. En salgsmedarbejder kan se relevante kundedata, men behøver ikke adgang til personalejournaler. Kundedata bør opdeles efter følsomhed og funktion, så et ransomware-angreb ikke automatisk spreder sig til alle mapper og systemer. Rollebaseret styring kan være meget detaljeret, helt ned til bestemte funktioner eller felter i et system, men en mindre virksomhed bør begynde med få, tydelige roller.
- Opret personlige konti til alle brugere og fjern fælles login, hvor det er muligt.
- Adskil almindelige brugerprofiler fra administratorprofiler.
- Giv midlertidig høj adgang til en konkret opgave og fjern den igen bagefter.
- Gennemgå medlemskab af grupper og delte mapper mindst hvert kvartal.
- Deaktivér straks konti ved fratrædelse, og fjern adgangen til SaaS-tjenester, VPN og mobile enheder.
Trin for trin mod et stærkere forsvar på budget
Zero Trust fungerer bedst som en løbende rejse, ikke som et engangsprojekt. Carnegie Mellon Universitys Software Engineering Institute anbefaler en faseopdelt tilgang, hvor organisationen først forbereder sig, derefter kortlægger aktiver og arbejdsgange, tester ændringer og udvider dem gradvist. Det er særligt relevant for mindre virksomheder, hvor it-ansvaret ofte ligger hos få personer. Start med de største risici i stedet for at forsøge at redesigne alt på én gang.
- Kortlæg kritiske aktiver. Lav en liste over kundedata, økonomisystemer, e-mail, produktionssystemer, sikkerhedskopier og andre funktioner, som virksomheden ikke kan undvære. Notér, hvor data ligger, hvem der bruger dem, og hvad et døgns nedetid vil koste.
- Aktivér MFA uden ledelsesundtagelser. Håndhæv MFA for samtlige brugere. Administratorer bør have den stærkeste beskyttelse, fordi en kompromitteret administratorkonto kan åbne mange døre på én gang.
- Ryd op i administratorroller. Fjern overflødige globale administratorer, opret rene brugerprofiler til dagligt arbejde, og brug en særskilt administratorkonto, når en ændring faktisk kræver høje rettigheder.
- Kontrollér enheder og opdateringer. Sørg for skærmlås, kryptering, automatisk opdatering, antivirus og fjernelse af gamle enheder fra virksomhedens systemer. Mange af disse funktioner findes allerede i operativsystemer og cloud-platforme.
- Segmentér data og test gendannelse. Begræns adgangen til delte mapper, adskil backup fra almindelige brugerkonti, og test, om data reelt kan gendannes. En backup, der aldrig er prøvet i praksis, er ikke en sikker plan.
Dataklassificering behøver heller ikke starte med et stort projekt. Begynd med to eller tre kategorier, eksempelvis intern, fortrolig og meget følsom. Brug kategorierne til at beslutte, hvem der må dele information eksternt, hvilke enheder der må tilgå den, og hvornår ekstra godkendelse kræves. En enkel regel, som medarbejderne forstår og følger, er bedre end en avanceret politik, som bliver omgået i hverdagen.
Tag det første skridt og lås de digitale døre i dag
Zero Trust er en overskuelig proces, når den opdeles i konkrete opgaver. Den største gevinst kommer sjældent fra det mest avancerede værktøj, men fra konsekvent MFA, personlige konti, begrænsede rettigheder, opdaterede enheder og løbende kontrol. Det kræver disciplin og nogle få timers fokuseret opsætning, ikke nødvendigvis en dyr konsulentindsats.
Start i denne uge med at åbne administrationspanelet i den primære cloud-platform. Kontrollér, om MFA er aktiveret for alle, lav en liste over administratorer, gennemgå inaktive brugere, og identificér de tre vigtigste datasamlinger. Vælg derefter én adgangsregel, der kan forbedres med det samme. Små, målbare ændringer bygger hurtigt et stærkere forsvar, og hver fjernet overflødig adgang gør det sværere for et angreb at udvikle sig til et alvorligt driftsstop.
