En driftsleverandør har brug for at kunne logge ind hos sine kunder. Spørgsmålet er, hvordan den adgang er bygget. Hvis den samme konto, den samme adgangskode eller den samme gruppe af teknikere giver fuld adgang hos alle kunder, bliver MSP’en selv det mest værdifulde mål i hele kundekredsen. En test af MSP’ens egne konti svarer derfor på et enkelt spørgsmål: hvor mange kunder kan nås, hvis én adgang hos jer bliver misbrugt?
Svaret afhænger mindre af, hvor stærke adgangskoderne er, og mere af, hvordan kontiene er fordelt mellem kunder, teknikere og opgaver.
Hvorfor kontiene er et testområde for sig
Hos en almindelig virksomhed rækker en administratorkonto til virksomhedens eget miljø. Hos en MSP kan en konto række ind i mange kunders miljøer på én gang. Det ændrer vægten af et fund. En svag beskyttelse af en enkelt konto, som hos en kunde ville være et middelfund, kan hos MSP’en være det mest alvorlige i rapporten, fordi konsekvensen ganges med antallet af kunder, kontoen når.
Den fælles anbefaling til MSP’er fra NCSC (UK), CISA og en række andre myndigheder siger direkte, at administratorlogins ikke bør genbruges på tværs af kunder, og at konti med adgang til kundernes miljøer skal behandles som privilegerede og beskyttes med flere faktorer.
Mønstre, testen leder efter
Testen ser på, hvordan adgangen til kunderne faktisk er bygget, ikke på, hvordan den er beskrevet. Mønstre, testen kan finde, er:
- Samme konto hos alle kunder · en servicekonto eller en navngiven administratorkonto, der findes med samme navn og adgangskode i hvert kundemiljø.
- Delt login blandt teknikerne · flere personer bruger samme konto, så det ikke kan ses, hvem der gjorde hvad.
- Fuld rettighed som standard · alle teknikere har administratorrettigheder hos alle kunder, også dem, de aldrig arbejder for.
- Tidligere medarbejdere · konti, der ikke blev lukket hos alle kunder, da medarbejderen stoppede.
- Gemte adgangskoder · loginoplysninger til kunderne ligger i et dokumentationssystem eller et fælles regneark, som mange kan læse.
Ingen af dem kræver en svaghed i et produkt. De opstår, fordi det var praktisk, da kunderne var få, og fordi ingen har fået til opgave at se det samlede billede. → Fjernstyringsværktøjer som testområde
Hvad testen kan og må
En test af MSP’ens konti er MSP’ens egen bestilling. Den kan omfatte jeres eget katalog, jeres dokumentationssystem, adgangsløsningen til kunderne og den måde, teknikerne logger ind på. Den kan vise, hvor langt en adgang rækker, uden at testeren logger ind hos kunderne.
Det er et vigtigt skel. Testeren må ikke bruge en MSP-konto til at arbejde i en kundes miljø, medmindre kunden har givet tilladelse. I stedet kan testen dokumentere, at kontoen ville give adgang, og hvor mange kunder den gælder. Rækkevidden kan beskrives ud fra jeres egne oversigter over kunder og rettigheder. → Adskillelse mellem kunder i MSP’ens miljø
Det, I skal stille til rådighed
- Oversigt over kundeadgange · hvilke konti og grupper der findes hos hver kunde, og hvem der bruger dem.
- Adgangsløsningen · den vej, teknikerne logger ind til kunderne, og hvilke krav den stiller.
- Personaleoversigt · nuværende og tidligere teknikere i den periode, I vil have vurderet.
- Dokumentationssystemet · hvor loginoplysninger opbevares, og hvordan adgangen til dem er styret.
- Kontaktperson · en, der kan forklare, hvorfor kontiene er bygget, som de er.
Oversigten over kundeadgange er i sig selv en del af resultatet. Kan I ikke lave den, er det et fund, før testen er begyndt.
Aftal også, hvordan testeren skal behandle de loginoplysninger, testen eventuelt støder på. De giver adgang til kunder, som ikke er part i testen. Rapporten bør beskrive, at oplysningerne fandtes, og hvor de lå, men ikke gengive dem. Skift dem bagefter, uanset om testeren har brugt dem eller ej.
Når fundet er gjort
Fundene behøver ikke overraske teknikerne. Det overraskende er at se dem samlet: at en enkelt konto rækker til samtlige kunder, eller at en tidligere medarbejder stadig står som administrator hos en del af dem. Fundene bør prioriteres efter rækkevidde. Den konto, der når flest kunder med flest rettigheder, kommer først.
Rettelserne beskrives som principper:
- Én adgang pr. kunde · ingen konto eller adgangskode går igen fra kunde til kunde.
- Personlige konti · hver tekniker har sin egen adgang, så handlinger kan spores.
- Flere faktorer · på alle konti, der kan nå kunderne, også servicekonti, hvor det er muligt.
- Adgang efter opgave · teknikere får rettigheder hos de kunder, de arbejder for, og kun så længe det er nødvendigt. → Tidsbegrænsede administratorrettigheder
- Fast fratrædelsesgang · når en medarbejder stopper, lukkes adgangen hos alle kunder efter en liste.
Ændringerne kan mærkes i hverdagen, fordi teknikerne får flere trin. Forklar hvorfor, før I indfører dem, og afprøv dem hos en enkelt kunde først. Saml erfaringerne, før resten af kunderne følger efter.
Kunderne skal vide det
Hvis testen viser, at en fælles konto gav adgang til alle kunder, skal kunderne have det at vide. Ikke nødvendigvis med tekniske detaljer, men med en beskrivelse af, hvad der var tilfældet, og hvad I har gjort. Overvej også, om der er grund til at undersøge, om kontoen har været misbrugt. Jeres egne logfiler over logins hos kunderne kan give et første svar, hvis de er gemt længe nok. → Fund hos kunden
Det skal I lade være med
- At teste kontiene ved at logge ind hos kunderne · det kræver kundens tilladelse.
- At genbruge en adgangskode, fordi den er lang · længden ændrer ikke på rækkevidden.
- At give alle teknikere adgang til alle kunder · adgang følger opgaven.
- At glemme servicekontiene · de kan have bredere rettigheder end personerne.
- At lukke medarbejderens konto hos jer og ikke hos kunderne · adgangen lever videre.
- At tie om fundet · kunderne har ret til at kende risikoen.
Hvad kan og ikke kan konkluderes
Testen viser, hvordan adgangen til kunderne var bygget på testtidspunktet, og hvor langt de konti, testeren undersøgte, rakte. Den siger ikke noget om konti, I ikke har oplyst, eller om, hvorvidt kontiene har været misbrugt tidligere. Den vurderer heller ikke kundernes egne konti. Et resultat uden fund betyder, at adgangen ikke kunne udvides i testperioden, ikke at den er beskyttet for altid.
Tjekliste til MSP’ens administrationskonti
- ☐ Findes der en oversigt over alle konti hos alle kunder?
- ☐ Er der ingen konto eller adgangskode, der går igen på tværs af kunder?
- ☐ Har hver tekniker personlige konti?
- ☐ Er flere faktorer krævet på alle konti med adgang til kunderne?
- ☐ Er teknikernes adgang begrænset til de kunder, de arbejder for?
- ☐ Lukkes adgange hos alle kunder, når en medarbejder stopper?
Kilder
- NCSC (UK), CISA, NSA, FBI m.fl.: Protecting Against Cyber Threats to Managed Service Providers and their Customers (AA22-131A): anbefaling om ikke at genbruge administratorlogins på tværs af kunder, om mindst mulige rettigheder og om flere faktorer på konti med adgang til kundernes miljøer.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Én konto til alt · Test af MSP’ens egen sikkerhed
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
