IAM och NIS2 - vilka krav ställs på identitets- och behörighetshantering?

Vem har tillgång till organisationens system och information och har de fortfarande rätt behörighet?

Identitets- och behörighetshantering, IAM (Identity and Access Management), är en viktig del av organisationens cybersäkerhet. I takt med att verksamheter använder fler molntjänster, system och externa leverantörer blir det samtidigt allt svårare att hålla kontroll över användare och åtkomster. För den som vill förstå grunderna bättre har vi tidigare gått igenom vad IAM är och hur identitets- och behörighetshantering fungerar.

Med NIS2 har frågan fått ytterligare betydelse. Direktivet ställer krav på att berörda organisationer vidtar lämpliga och proportionerliga tekniska, operativa och organisatoriska åtgärder för att hantera cybersäkerhetsrisker. I NIS2-direktivets artikel 21 lyfts bland annat åtkomstkontroll samt användning av multifaktorautentisering eller kontinuerliga autentiseringslösningar där det är lämpligt.

För organisationer som omfattas av NIS2 blir IAM därför en viktig del av det systematiska säkerhetsarbetet.

Varför är IAM viktigt för NIS2?

NIS2 handlar inte om en enskild säkerhetslösning, utan om hur organisationer identifierar och hanterar sina cybersäkerhetsrisker.

Här spelar identiteter och behörigheter en central roll. Om fel personer har tillgång till känslig information eller kritiska system kan det öka både sannolikheten för och konsekvenserna av en säkerhetsincident.

En viktig utgångspunkt är därför att organisationen har kontroll över vem som får åtkomst till vad och på vilka grunder.

Det kan låta självklart, men i praktiken blir behörigheter snabbt komplexa. En medarbetare börjar i en roll, får nya arbetsuppgifter, byter avdelning och får tillgång till ytterligare system. Konsulter och leverantörer behöver tillfällig åtkomst samtidigt som nya molntjänster och system tillkommer.

Utan tydliga processer kan resultatet bli användare som har betydligt större behörigheter än vad deras nuvarande arbetsuppgifter kräver. ENISA tekniska vägledning för NIS2 ger mer detaljerade exempel på hur säkerhetskrav kan implementeras och vilken typ av evidens som kan användas för att visa att de efterlevs, bland annat inom access control. Vägledningen riktar sig till de verksamheter vars krav specificeras genom EU genomförandeförordning 2024/2690.

Rätt person ska ha rätt åtkomst

En viktig princip inom IAM är least privilege, eller minsta möjliga behörighet. Det innebär att användare endast ska ha den åtkomst som krävs för att utföra sina arbetsuppgifter.

På så sätt begränsas också konsekvenserna om ett konto skulle komprometteras. Särskilt viktigt är det att ha kontroll över privilegierade konton, exempelvis administratörskonton som kan ge omfattande tillgång till kritiska system eller möjlighet att förändra säkerhetsinställningar.

Organisationen behöver därför ha tydliga processer för hur behörigheter tilldelas, godkänns, förändras och tas bort. Det handlar inte bara om tekniska lösningar. Roller, ansvar och processer behöver vara tydliga genom hela organisationen.

Principen om minsta möjliga behörighet är också nära kopplad till Zero Trust och hur IAM används för att kontrollera åtkomst. Utgångspunkten är att åtkomst inte ska ges automatiskt, utan baseras på bland annat identitet, behov och kontext.

Vad händer när någon börjar, byter roll eller slutar?

En fungerande IAM-process behöver hantera hela användarens livscykel. Det brukar beskrivas som Joiner, Mover, Leaver:

• Joiner: När en person börjar ska rätt behörigheter tilldelas utifrån personens roll.
• Mover: När personen byter roll eller arbetsuppgifter behöver behörigheterna ses över och justeras.
• Leaver: När personen lämnar organisationen ska åtkomsten tas bort.

Framför allt Mover-fasen kan innebära en risk. När en medarbetare får nya arbetsuppgifter läggs nya behörigheter ofta till, samtidigt som gamla behörigheter riskerar att bli kvar.

Över tid kan det leda till så kallad privilege creep, där användare samlar på sig fler behörigheter än vad de faktiskt behöver. Regelbundna granskningar av behörigheter, så kallade access reviews, kan hjälpa organisationen att upptäcka och åtgärda sådana problem.

Det är också ett område där IAM går från att vara en teknisk fråga till att bli en styrningsfråga. Vem ansvarar för att avgöra vilken åtkomst en viss roll faktiskt behöver? Och vem säkerställer att behörigheterna fortfarande är korrekta när organisationen förändras?

MFA är viktigt - men löser inte hela IAM-frågan

I NIS2-direktivets artikel 21 lyfts även användningen av multifaktorautentisering (MFA) eller kontinuerliga autentiseringslösningar där det är lämpligt.

MFA gör det svårare för en angripare att få åtkomst till ett konto enbart genom att komma över ett lösenord. Men stark autentisering löser inte problemet med felaktiga behörigheter.

Ett konto kan vara korrekt autentiserat och ändå ha tillgång till information och system som användaren egentligen inte behöver.

Därför behöver organisationer arbeta med både autentisering och auktorisering. Autentisering säkerställer vem användaren är, medan auktorisering avgör vad användaren får komma åt och göra.

En fungerande IAM-struktur behöver hantera båda. I vår tidigare artikel om varför multifaktorautentisering är viktigt för företag går vi djupare in på hur MFA fungerar och hur organisationer kan arbeta med det i praktiken.

Glöm inte konsulter och externa leverantörer

Identitets- och behörighetshantering omfattar inte bara organisationens egna medarbetare.

Konsulter, samarbetspartners och externa leverantörer kan behöva tillgång till interna system för att utföra sina uppdrag. Även dessa identiteter behöver omfattas av organisationens processer för åtkomstkontroll.

Organisationen bör därför kunna svara på frågor som:

• Vilka externa användare har tillgång till våra system?
• Vilka system och vilken information kan de komma åt?
• Varför behöver de åtkomsten?
• Hur länge ska åtkomsten finnas?
• Vem ansvarar för att åtkomsten granskas och tas bort?

Det blir särskilt viktigt när externa parter har privilegierad åtkomst eller tillgång till verksamhetskritiska system.

Även säkerhet i leverantörskedjan ingår bland de riskhanteringsåtgärder som anges i artikel 21 i NIS2-direktivet. Hanteringen av externa identiteter och deras åtkomst blir därför en relevant del av ett bredare arbete med tredjepartsrisker.

Kan ni visa att behörighetshanteringen fungerar?

Att ha en policy för åtkomstkontroll är en sak. Att kunna visa att den fungerar i praktiken är en annan.

Organisationen behöver därför inte bara definiera hur behörigheter ska hanteras, utan också följa upp att processerna faktiskt efterlevs.

Några frågor som kan vara värda att ställa är:

• Vet vi vilka användare som har tillgång till våra kritiska system?
• Vet vi vilka konton som har privilegierade behörigheter?
• Granskar vi behörigheter regelbundet?
• Tas gamla behörigheter bort när någon byter roll?
• Stängs åtkomsten när en person lämnar organisationen?
• Har vi kontroll över externa användare och leverantörer?
• Kan vi visa att våra processer för åtkomstkontroll faktiskt följs?

ENISA tekniska vägledning för NIS2 ger mer detaljerade exempel på hur kraven kan implementeras och vilken typ av evidens som kan användas för att visa att de efterlevs, bland annat inom access control. Vägledningen riktar sig till de verksamheter som omfattas av EU genomförandeförordning 2024/2690, men kan även ge användbara exempel på hur ett strukturerat arbete med åtkomstkontroll kan se ut.

IAM som en del av ett systematiskt säkerhetsarbete

IAM bör inte ses som ett projekt som blir färdigt när en teknisk lösning har implementerats. Identiteter, roller, system och behörigheter förändras kontinuerligt tillsammans med verksamheten.

Därför behöver även IAM-arbetet vara kontinuerligt.

För organisationer som omfattas av NIS2 innebär det att identitets- och behörighetshantering blir en naturlig del av det systematiska cybersäkerhetsarbetet. Tydliga roller, strukturerade processer och regelbundna granskningar gör det lättare att både minska säkerhetsriskerna och följa upp att organisationens säkerhetsåtgärder fungerar som avsett.

Vill ni få bättre kontroll över identiteter och behörigheter kan ni läsa mer om hur Securance arbetar med Identity and Access Management. Vi hjälper organisationer att kartlägga nuläget, identifiera risker och utveckla en strukturerad IAM-miljö utifrån verksamhetens behov.