Del 2 – ”Cybersäkerhet inom Mobil IT” – Förvalta behörigheter och använd starka autentiseringsfunktioner 

I denna del av vår artikelserie ”Cybersäkerhet inom Mobil IT” behandlar vi behörighet och autentisering. När en användare skall ansluta till företagets miljö behöver användaren autentisera sig på något sätt dvs. intyga att denna har rätt att ansluta till företagets data. Detta kan göras på flera sätt, säkert eller mindre säkert. En vanlig metod för autentisering är lösenord. Lösenord är ur dagens säkerhetsperspektiv en mindre bra lösning, då det i regel inte kräver några andra bevisande faktorer att det faktiskt är just användaren som försöker logga in. Lösenord tenderar dessutom att ha låg kvalitet för att användaren skall kunna komma ihåg dem och samma lösenord används ofta till flera olika system, vilket ökar sårbarheten om lösenordet hamnar i orätta händer. Jakten att få tillgång till lösenord är en vanligt förekommande angreppsmetod, och genom exempelvis nätfiske (där man lurar till sig användarens lösenord genom förfalskade websidor), sofistikerad lösenordsgissning eller intrång i lösenordsdatabaser når angripare allt för ofta sitt mål. Att se över sina autentiseringsmetoder är ett viktigt steg för att skydda företagets data. I tillägg till detta så är det också viktigt att säkerställa att endast nödvändiga behörigheter är tilldelade till användaren. Mer behörigheter än nödvändigt ökar risken för, både oavsiktligt och avsiktligt, att data läcker till obehöriga.  

Konkreta tips för säker åtkomst till företagets data 

• Förvalta konton systematiskt, helst automatiskt kopplat till HR-processer som säkerställer att konton inaktiveras när en användare slutar eller har varit inaktiv under en lång period. Följ upp löpande. 
• Radera inte konton utan inaktivera dem. Ett raderat konto försvårar framtida spårbarheter och riskerar dessutom att samma kontonamn återanvänds vid ett senare tillfälle. 
• Logga användning av konton och övervaka beteenden såsom inloggningstid, antal inloggningar inom en tidsperiod och längd på aktivitet, för eventuellt framtida uppföljningsbehov. 
• Ersätt lösenord med certifikat och korrekt implementerad flerfaktorsautentisering. 
• Tillämpa samma autentiseringsmetoder på alla enheter, ha inte lägre krav på en mobil enhet jämfört med en dator. 
• Förutsätt att inget är säkert och tillämpa nolltillit (zero trust). Inför teknik och processer som reglerar att användaren autentiserar sig säkert, har rättighet att nå den data som efterfrågas, att enheten som används för att nå data följer uppsatta regler och att denna procedur används vid varje försök att nå data oavsett vilket nät enheten befinner sig på. 
• Använd pin-kod med minst sex tecken för att låsa upp en enhet. Tillåt inte enkla kombinationer (ex. 123456). 
• Om lösenord ändå måste användas, använd långa och unika lösenord tillsammans med systemstöd för att motverka att lösenord skrivs ned i klartext. 

Vi på Promobility kan hjälpa ert företag att designa och implementera robusta autentiseringsmetoder samt förvalta konton och behörigheter över tid för att säkerställa att data inte kan nås av obehöriga.