Modul 7 · 7.1
Rättigheter och minimal administration
Modul 7: Åtkomst, leverantörer och moln · Lästid: 10 minuter
Lärandemål: Efter den här lektionen kan du sätta upp rättigheter enligt principen "så lite som möjligt": alla har ett eget konto, administratörsrättigheter hålls separat, externa parter får tillfällig och begränsad åtkomst, och du har en fast rutin för när någon börjar, byter roll eller slutar.
Nyckelbegrepp: least privilege, personligt konto, delat konto, administratörskonto, arbetsuppdelning (functiescheiding), in, om och utträde, åtkomstöversikt
Principen: så lite som möjligt
Least privilege (på svenska: minimala rättigheter) innebär att alla får exakt den åtkomst som behövs för sitt arbete, och inte mer. NIST beskriver det som en princip där användare bara har de rättigheter som minst krävs för deras uppgifter.
Varför är det viktigt? Därför att varje konto förr eller senare kan bli kapat: genom phishing (modul 3), ett läckt lösenord (lektion 1.4) eller en infekterad dator. Vad en angripare då kan göra beror helt på det kontots rättigheter. Kontot för en praktikant som bara sköter sociala medier ger lite. Kontot för någon som "för enkelhetens skull" är administratör överallt ger allt: e-post, betalningar, webbplatsen, säkerhetskopiorna.
Minimala rättigheter minskar alltså inte risken för ett intrång, men väl skadan. Det är samma tankesätt som med nycklar till en lokal: städaren har en nyckel till entrén, inte till kassaskåpet.
Alla ett eget konto
Ett delat konto är ett konto där flera personer loggar in med samma lösenord: "vi använder alla info@example.com för att logga in i bokföringsprogrammet". Det känns praktiskt, men har fyra stora nackdelar:
- Du vet inte vem som gjorde vad. I loggen står bara "info". Har en betalning ändrats kan du inte spåra vem som gjorde det.
- Du kan inte stänga av bara en person. Slutar någon måste du byta lösenord för alla, och det görs i praktiken ofta inte.
- Tvåfaktorsautentisering (2FA) fungerar dåligt. Koden kommer till en telefon, så 2FA stängs av eller koden skickas runt.
- Lösenordet sprids via WhatsApp, lappar och mejl, och är därmed inte längre hemligt.
Ett personligt konto löser allt detta: egen inloggning, egen 2FA, egen logg, kan stängas av separat. Nästan alla affärstjänster stöder flera användare med egna rättigheter. En delad e-postadress som info@ kan gärna finnas kvar som adress; låt då de som läser den få åtkomst via sitt eget konto, om ditt e-postsystem stöder det.
Administratörsrättigheter separat
Ett administratörskonto kan skapa användare, ändra rättigheter, ändra inställningar och ofta även radera data. Just därför använder du det så lite som möjligt.
- Arbeta dagligen med ett vanligt konto och logga bara in som administratör när du faktiskt behöver administrera något. Det gäller även din dator (lektion 5.2).
- Se till att minst två personer har administratörsrättigheter för de viktigaste tjänsterna, eller ett väl förvarat reservkonto. Är den enda administratören sjuk eller borta sitter du fast.
- Men inte heller fler än nödvändigt. Fem administratörer i ett företag med åtta personer är fyra för många.
- Aktivera tvåfaktorsautentisering på varje administratörskonto, helst phishingresistent (lektion 2.4).
Arbetsuppdelning går ett steg längre: en person ska inte ensam kunna utföra en känslig åtgärd från början till slut. Det mest kända exemplet såg du i lektion 1.2: den som registrerar ett nytt bankkontonummer från en leverantör godkänner inte också själv betalningen. I ett litet företag kan det vara enkelt: en person förbereder betalningen, en annan godkänner den i bankappen.
Externa parter: tillfälligt och begränsat
Webbutvecklare, revisorer, IT-företag och frilansare behöver ofta åtkomst. Det klassiska misstaget är att ge dem ditt eget lösenord. Då kan de göra allt du kan, och du vet efteråt inte längre vem som fortfarande kommer in.
Bättre:
- Ge ett eget konto med bara de rättigheter som behövs. En revisor klarar sig med fakturor; en webbutvecklare med filerna för en enda webbplats.
- Ge åtkomst med ett slutdatum om det gäller ett uppdrag. Många system kan låta ett konto eller en nyckel upphöra automatiskt.
- Begränsa där det går från vilket nätverk någon får logga in.
- Dokumentera vem som har vilken extern åtkomst, och varför.
In, om och utträde
Rättigheter växer av sig själva. Någon börjar inom försäljning, hjälper till några månader med administrationen och går sedan vidare till produktion. Om ingen håller koll har den personen efter två år rättigheterna från alla tre rollerna. Därför reglerar du rättigheter vid tre tillfällen:
| Tillfälle | Vad du gör |
|---|---|
| Inträde (ny medarbetare) | Skapa egna konton med rollens rättigheter, aktivera 2FA direkt, förklara var allt finns |
| Byte av roll | Nya rättigheter läggs till och gamla rättigheter tas bort |
| Utträde (avslut) | Inaktivera konton på sista arbetsdagen, återkalla sessioner på enheter, byt delade lösenord, överför filer |
Vid utträde är ordningen viktig. Först överföra, sedan inaktivera, radera först senare. Raderar du ett konto direkt försvinner hos många tjänster personens filer, kalendrar och e-post också. Hos vissa molntjänster är det definitivt efter en kort period: Microsoft 365 behåller enligt sin egen dokumentation en raderad användares OneDrive som standard i 30 dagar. Inaktivering behåller data och stänger åtkomsten.
Glöm vid avslut inte heller: vidarebefordringsregler som personen har ställt in (lektion 2.5), app-lösenord, åtkomst till bankappen, sociala medier och registraren för din domän, samt nycklar eller passerkort till lokalen.
Åtkomstöversikten
En åtkomstöversikt är en enkel tabell: per tjänst vem som har åtkomst, med vilka rättigheter, och om det är ett eget eller ett externt konto. Gå igenom den listan minst två gånger om året, och alltid efter ett avslut. Vid varje rad ställer du en fråga: behöver den här personen fortfarande det här idag?
I praktiken: så här ser det ut
I exempelmiljön Mitt WebOké bjuder du in en kollega, revisor eller webbutvecklare som användare. Den personen loggar in med egna uppgifter, och du kryssar per behörighet vad hen får göra, till exempel bara Fakturor för revisorn. Bara kontoägaren kan bjuda in användare och ändra rättigheter, och med en knapp drar du tillbaka åtkomsten igen. I DirectAdmin kan du ge en webbutvecklare ett eget FTP-konto för en enda mapp, eller en inloggningsnyckel med utgångsdatum, begränsade kommandon och endast från vissa IP-adresser.
I Nextcloud väljer du för en kollega som slutar först Inaktivera: hen kan inte längre logga in, men filerna bevaras. Manualen är tydlig: radera användaren först när allt har övertagits, för en raderad användare är med alla sina filer borta för gott. I andra system fungerar det liknande, men namnen och tidsfristerna skiljer sig; kolla upp det innan någon slutar.
Sammanfattning
- Minimala rättigheter begränsar skadan om ett konto kapas.
- Alla ett eget konto: då vet du vem som gjorde vad och kan stänga av någon separat.
- Administratörsrättigheter använder du bara när det behövs, för ett fåtal personer, med stark 2FA.
- Externa parter får ett eget, begränsat och där det går tillfälligt konto, aldrig ditt lösenord.
- Reglera rättigheter vid in, om och utträde; vid avslut: överför, inaktivera, radera senare.
Quiz
Uppgift
Uppgift A7.1: Vem får vilken åtkomst? Du får en rad situationer från ett litet företag (en ny revisor, en webbutvecklare för ett uppdrag, en kollega som slutar, en praktikant). Välj för varje situation det bästa sättet att ge eller stänga av åtkomst. Programmet kontrollerar ditt val och förklarar varför.
Uppgift D7.1: Din åtkomstöversikt. Skapa en åtkomstöversikt för dina fem viktigaste tjänster: vem har åtkomst, med vilka rättigheter, eget eller delat konto, internt eller externt. Ta bort minst en onödig rättighet eller ett delat konto och skriv din utträdeslista för nästa gång någon slutar.
Uppgift D7.1: Din åtkomstöversikt
Så gör du: (1) Välj dina fem viktigaste tjänster (till exempel mejl, bokföring, bank, webbhotellpanel, molnlagring, registraren för din domän). (2) Gör en översikt per tjänst: vem har åtkomst (roll, inga namn behövs), vilka rättigheter, eget eller delat konto, internt eller externt, tvåfaktorsautentisering på, datum för senaste inloggning om tjänsten visar det. (3) Slå upp listan med användare i varje tjänst och jämför den med din översikt. Skriv ner skillnader. (4) Ta bort minst en onödig rättighet, ett gammalt konto eller ett delat konto, eller ersätt ett delat konto med personliga konton. (5) Kontrollera för varje tjänst hur många administratörer det finns; sikta på två. (6) Skriv din utflyttningslista: vad gör du på någons sista arbetsdag (stänga av konton, återkalla sessioner, kontrollera vidarebefordringsregler och apputlösenord, byta delade lösenord, överföra filer, bank, sociala medier, registrar, nycklar och kort). (7) Sätt en återkommande påminnelse (två gånger om året) för att gå igenom översikten.
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i WebOké-artiklarna gäller för WebOkés egen miljö; hos andra leverantörer fungerar det på liknande sätt.
- WebOké manual 11.3: Bjuda in användare och ge behörigheter
- Nextcloud-guide 14.2: Skapa, redigera, inaktivera och ta bort användare
- Nextcloud-guide 14.7: Rättigheter: vem administrerar vad i din Nextcloud?
- Nextcloud-guide 16.7: Kollega slutar: ta över filer, kalender och delade mappar på ett säkert sätt
- DirectAdmin-guide 3.5: Inloggningsnycklar: logga in för skript och program
- DirectAdmin-guide 11.6: Skapa och hantera FTP-konton
- NIST, Glossary: least privilege (engelska): https://csrc.nist.gov/glossary/term/least_privilege
- Microsoft, OneDrive retention and deletion (engelska): https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion