Når en kollega med administrative rettigheder siger op, går på pension eller skifter til en anden afdeling, skal driften lukke mere end en brugerkonto. Personen har kendt delte adgangskoder, oprettet tjenestekonti, haft nøgler til cloudtjenester og måske adgang gennem en leverandørs portal. Det er en almindelig driftsopgave og ikke et udtryk for mistillid. Svaret på, hvordan I gør det ordentligt, hviler på to ting: en liste over alt, hvad personen havde adgang til eller kendte, og en kontrol bagefter, der viser, at oprydningen faktisk holder.
Fratrædelsen er en driftsopgave, ikke en mistanke
Opgaven er den samme, uanset hvorfor personen stopper, og uanset hvor godt samarbejdet har været. Adgange, der stadig virker efter en fratrædelse, er en risiko, fordi ingen længere holder øje med dem, og fordi de kan blive misbrugt af andre, hvis oplysningerne er havnet et forkert sted. Det har intet med personen at gøre.
Skriv derfor proceduren, så den gælder alle med brede rettigheder, og gennemfør den på samme måde hver gang. Det gør det lettere for alle parter, også den, der stopper. Ledelsens side af afhængigheden af nøglepersoner og opfølgningen ved skift er beskrevet på sikkerhedstesten.dk. Spørgsmål om ansættelsesvilkår, fratrædelsesaftaler og tidspunkter for lukning hører hjemme hos HR og den rådgivning, virksomheden bruger.
Det, personen havde adgang til
Lav listen sammen med personen, mens vedkommende stadig er ansat. Det er den bedste kilde til det, der ikke står i dokumentationen.
- Personlige konti · den almindelige konto og de separate administratorkonti i Active Directory, Entra ID og cloudmiljøer. → Én konto til alt
- Rollemedlemskaber · grupper og roller med vide rettigheder, også dem, der blev tildelt midlertidigt og aldrig fjernet. → Privilegerede grupper i Active Directory
- Delte konti · fælles administratorkonti, nødadgangskonti og lokale administratorkonti på servere og udstyr.
- Netværksudstyr og platforme · firewalls, switche, virtualisering og lagersystemer med egne konti.
- Leverandørportaler · adgang til driftsleverandørens system, licensportaler, domæneregistrering og support hos systemleverandører.
- Fjernadgang · VPN, fjernskrivebord og eventuelle fjernstyringsprogrammer på egne enheder.
Det, personen kendte
Det sværeste er ikke kontiene, men det, personen ved. Hvis en adgangskode til en delt konto har været kendt, skal den skiftes, selv om personens egen konto er lukket.
NIST SP 800-53 skriver i kontrollen om kontostyring, at organisationen skal have en proces for at skifte adgangsoplysninger til delte konti, når en person forlader den gruppe, der bruger dem. Kontrollen om fratrædelse nævner både at lukke adgangen og at tilbagekalde de adgangsoplysninger, der er knyttet til personen.
Det betyder i praksis:
- Delte adgangskoder · skiftes for alle konti, personen kendte koden til.
- Tjenestekonti · konti, programmer bruger, og som personen kan have oprettet eller kendt koden til. Skift kræver plan, fordi programmer kan stoppe. → Tjenestekonti
- Nøgler og hemmeligheder · adgangsnøgler til cloudtjenester og API’er, som personen har oprettet eller haft adgang til. → Nøgler og hemmeligheder i cloud
- Adgangskoder i scripts · driftsscripts, der indeholder koder, personen har skrevet ind.
Er der en adgangskodeboks, gør den arbejdet lettere, fordi den viser, hvad personen havde adgang til. Er der ikke, er det et fund i sig selv. Brug lejligheden til at spørge, om delte konti overhovedet er nødvendige. Hver delt konto, der kan erstattes af personlige konti med de rigtige rettigheder, er én konto mindre at skifte koden på næste gang nogen stopper.
Når viden kun fandtes hos én
Har personen været den eneste, der kendte et system, er lukningen af adgange kun halvdelen af opgaven. Den anden halvdel er at sikre, at andre kan passe systemet bagefter, uden at nogen må låne den gamle konto eller ringe og spørge om en kode.
Brug opsigelsesperioden til at få det vigtigste skrevet ned: hvordan systemet genstartes, hvor konfigurationen ligger, hvilke leverandører der kontaktes, og hvilke konti der bruges til hvad. Lad en kollega udføre de faste opgaver, mens personen stadig er der og kan svare. Det, der ikke bliver overdraget, ender med at blive løst med genveje, fx at en delt kode alligevel ikke skiftes, fordi ingen tør. Notér den slags beslutninger med en dato, så de bliver taget op igen.
Rækkefølgen
Lukningen skal ske i en rækkefølge, der ikke stopper driften og ikke efterlader huller:
- Før sidste arbejdsdag · lav listen, overdrag viden, og flyt ejerskab af tjenestekonti, scripts og leverandørforhold til en anden.
- Ved fratrædelsen · luk personlige konti, fjern rollemedlemskaber, og luk fjernadgang og leverandørportaler.
- Lige efter · skift delte adgangskoder og nøgler i en planlagt rækkefølge, og hold øje med, om noget holder op med at virke.
- Nogle uger senere · gennemgå logningen for forsøg på at bruge lukkede konti, og kontrollér, at listen er gennemført.
Hvis personen skifter til en anden stilling i virksomheden, gælder det samme for de rettigheder, den nye rolle ikke kræver.
Hvornår en afgrænset test giver mening
En gennemgang efter listen viser, at det, I kendte til, er lukket. En afgrænset test kan vise, om der er noget, I ikke kendte til. Det giver mening, når personen har haft brede rettigheder i lang tid, når dokumentationen er mangelfuld, eller når der ikke har været en adgangskodeboks.
Testen kan afgrænses til identitet og fjernadgang: hvilke konti der stadig har administrative rettigheder, om der findes konti uden aktiv ejer, og om der er adgangsveje udefra, som ikke står på listen. Den skal bestilles som en kontrol af oprydningen og beskrives sådan i opdraget, uden reference til personen. Resultatet kan kobles direkte til oprydningen af gamle konti. → Inaktive konti og gamle computere i kataloget
Det skal I lade være med
- At lade proceduren afhænge af stemningen ved fratrædelsen. Den skal være den samme hver gang.
- At nøjes med at lukke den personlige konto. Delte koder og nøgler virker stadig.
- At skifte alle tjenestekonti på én gang. Programmer kan stoppe uden varsel.
- At beskrive testen som en undersøgelse af personen. Den kontrollerer en oprydning.
- At glemme leverandørerne. Adgange hos andre lukkes ikke af jeres eget katalog.
Hvad kan og ikke kan konkluderes
En gennemført liste og en ren test viser, at de adgange, I og testeren kunne finde, er lukket. De beviser ikke, at der ikke findes en adgang uden for testens afgrænsning, fx hos en leverandør, I ikke kendte til. De siger heller ikke noget om personen, kun om oprydningen.
Tjekliste, når en administrator stopper
- ☐ Er listen over adgange lavet sammen med personen?
- ☐ Er ejerskab af tjenestekonti, scripts og leverandørforhold flyttet?
- ☐ Er personlige konti og rollemedlemskaber fjernet?
- ☐ Er delte adgangskoder og nøgler skiftet efter plan?
- ☐ Er leverandørportaler og fjernadgang lukket?
- ☐ Er logningen gennemgået for forsøg på at bruge lukkede konti?
- ☐ Er det vurderet, om en afgrænset test er nødvendig?
Kilder
- NIST SP 800-53 rev. 5: PS-4 (fratrædelse: luk adgang, tilbagekald adgangsoplysninger) og AC-2 (kontostyring, herunder skift af adgangsoplysninger til delte konti, når en person forlader gruppen). Gældende udgivelse 5.2.0.
- CIS Controls v8.1: kontrol 5 (kontostyring) og kontrol 6 (styring af adgangsrettigheder).
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Adgangskoder i scripts · Kunden skifter MSP
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
