It-afdelingen er i enhver virksomhed ganske vital for, at infrastrukturen hele tiden kører som den skal, så dagligdagen i virksomheden kan fungere og opgaverne blive løst.
Virksomhedens fokus på omkostninger gør i sagens natur, at virksomhedens it-administratorer er nødt til at prioritere og på en del områder springe over, hvor gærdet er lavest.
Det sker ofte i den almindelige sikkerhedshåndtering i virksomheden, hvor it-administrationen ofte vælger at skære et hjørne i visheden om, at det nok går.
Lad os kigge på nogle områder, hvor en hel del it-administratorer ofte vælger at tage lidt let på sikkerheden.
1: Sjælden udskiftning af passwords
Der findes massevis af anbefalinger, og vi kender dem alle sammen:
Dit password skal består af både bogstaver og tal, det skal udskiftes mindst to gange om året, og de gamle og 'slidte' passwords må ikke genbruges.
Er din virksomhed fremme i skoene, findes der sikkert allerede en nedskrevet policy om dette, som gælder alle konti på virksomhedens infrastruktur.
Alligevel er det de samme passwords, der igen og igen - måned efter måned og måske endda år efter år - giver adgang til de tunge skatkamre i virksomhedens databaser:
Kundeoplysninger, nøgletal, økonomi, bogholderi, databaser af enhver art, applikationer, service-konti og selv administrator-logins, hvor administratorerne ofte anvender samme password til at logge ind år efter år (måske endda 'q1e2r3', 'admin' eller [virksomhedens navn]).
Ganske vist er det jo administratorernes opgave at håndhæve en god og sikker login-politik i virksomheden, men det er en besværlig opgave, for der kan være tale om tusindvis af password, der skal skiftes.
Lidt ligegyldig opgave
Og opgaven regnes endda ofte for lidt ligegyldig i det store, omkostningspressede billede. Driften er jo det væsentligste.
Mest sandsynligt er det, at it-afdelingen helt mangler de nødvendige værktøjer til løbende at monitorere og håndtere password-arbejdet i virksomheden.
Og lægger man an på ad hoc-basis og hjemmelavede scripts ender man ofte dér, hvor det kun er ganske få konti eller kontityper på bestemte - ofte ret tilfældige - øer i virksomhedens infrastruktur, der får skiftet password jævnligt.
Er det så så slemt? Ja, for du kan være helt sikker på, at antallet af personer, der har adgang til en konto, stiger eksponentielt med den tid, der går mellem at passwords bliver skiftet.
En udskiftning rydder nemlig op i miljøet og luger gamle brugere væk.
For meget adgang til for mange - det er ikke godt
2: For mange har for meget adgang
Har din it-afdeling overblik over, hvem der har adgang til hvilke konti?
Det burde den selvfølgelig have, men det er langt fra altid tilfældet.
Det kan meget vel være, at der findes nedskrevne retningslinier og regler, men adgang til konti har det med at sprede sig på kryds og tværs:
En medarbejder har brug for midlertidig adgang, men bliver ikke slettet, da perioden ophører, en anden bliver flyttet til nye opgaver, uden at it-afdelingen sletter hans adgang, en tredje 'låner' sit password til praktikanten for nemheds skyld (opgaven skal jo løses).
Som tiden går, ender det med, at en meget stor og meget uoverskuelig vifte af mennesker i - og i værste tilfælde uden for - organisationen har adgang til vitale dele af virksomhedens data.
Som de jo kan læse, kopiere og ændre i.
Man bedømmes ikke på sikkerhed
Kan din virksomhed nikke genkendende til nogle af disse ting, bør den måske overveje at investere i et system til håndtering af password.
Sådan et system koster selvfølgelig en del penge, og det er jo her, at problemet ligger. Kun de færreste it-afdelinger bedømmes nemlig på niveauet af sikkerhed.
De bedømmes i stedet på, om tingene fungerer på den mest effektive og (ikke mindst) billigste måde. Det betyder, at it-afdelingen som hovedregel ikke er videre proaktiv, når det gælder om at sikre netværket.
Der er - forståeligt nok - andre og vigtigere opgaver at bruge tiden på.
For det meste går det. Hvor mange gange har din virksomhed for eksempel lige oplevet, at den lemfældige omgang med password har ført til problemer?
Mit bud er: Ikke ofte.
Til gengæld kan skaden blive alvorlig, hvis det sker, at et (måske) uautoriseret og gammelt password misbruges til at stjæle eller ødelægge vitale data, der både kan koste kassen i tabt produktivitet, i genskabelse samt skade tilliden til virksomheden.
Det er denne afvejning, som it-chefen bliver nødt til at gøre: Er det pengene værd?
