Privilegert tilgang og risikostyring

Privilegert tilgang og risikostyring henger tett sammen, fordi administratorkontoer gir tilgang til hele systemer og er blant angripernes viktigste mål. Styring av privilegert tilgang, privileged access management (PAM), gjør tilgangen begrenset og sporbar. Virksomheter som omfattes av digitalsikkerhetsloven, eller som forbereder seg på NIS2, kan få støtte i NIS 2-løsningen.

Dette må du vite:

• Privilegert tilgang er tilgang som går utover det en vanlig bruker har, for eksempel å installere programvare, endre tilganger eller lese alle data i et system
• I mange alvorlige dataangrep tar angriperen før eller siden over en privilegert konto
• PAM bygger på 4 prinsipper: så få privilegerte kontoer som mulig, tilgang bare når den trengs, sterk autentisering og full sporbarhet
• Tjenestekontoer og leverandørers fjerntilgang blir ofte glemt, men er like risikofylte som administratorkontoer
• Innfør PAM trinnvis, og start med kontoene som gir tilgang til flest systemer og mest sensitiv informasjon

Hva er privilegert tilgang?

Privilegert tilgang er tilgang som gir større rettigheter enn en vanlig bruker har, for eksempel til å administrere systemer, endre konfigurasjoner, tildele tilganger eller lese all informasjon i en database.

Privilegerte kontoer finnes i alle virksomheter, også de små. De vanligste typene er:

• Domeneadministratorer: Kontoer som styrer hele nettverket og alle brukerkontoer.
• Lokale administratorer: Kontoer med fulle rettigheter på enkelte PC-er eller servere.
• Administratorer i skytjenester: Kontoer som styrer for eksempel Microsoft 365, Google Workspace eller skyplattformer.
• Systemadministratorer i fagsystemer: Kontoer i HR-systemer, økonomisystemer eller pasientjournalsystemer som kan se og endre alle data.
• Tjenestekontoer: Kontoer som brukes av programmer og integrasjoner, ofte med vide rettigheter og passord som aldri byttes.
• Leverandørers fjerntilgang: Kontoer som IT-leverandører og konsulenter bruker til support og drift.
• Nødkontoer (break glass): Kontoer som brukes når ordinær innlogging ikke fungerer.

Tjenestekontoer og leverandørkontoer er de som oftest mangler i kartleggingen. De er ikke knyttet til en ansatt og blir derfor ikke fanget opp når tilgangene gjennomgås.

Hvorfor er privilegert tilgang en så stor risiko?

Privilegert tilgang er en stor risiko fordi én kapret administratorkonto kan gi en angriper kontroll over hele miljøet, inkludert muligheten til å kryptere data, slette sikkerhetskopier og skjule sporene sine.

Et typisk angrep starter med en vanlig brukerkonto, for eksempel via phishing. Deretter prøver angriperen å skaffe seg høyere rettigheter for å bevege seg videre i nettverket. Når angriperen har fått tak i en privilegert konto, kan vedkommende slå av beskyttelsen, hente ut data og sette sikkerhetskopiene ut av spill. Derfor er beskyttelse av privilegerte kontoer også en forutsetning for å kunne gjenopprette driften etter et dataangrep.

Risikoen kommer ikke bare utenfra. En administrator med vid tilgang kan ved en feil slette eller endre data, og i verste fall misbruke tilgangen. Med full tilgang til et HR-system eller et pasientjournalsystem kan én person se opplysninger om alle ansatte eller pasienter. Skjer det uten tjenstlig behov, kan det være et brudd på personopplysningssikkerheten som skal vurderes og i mange tilfeller meldes til Datatilsynet innen 72 timer etter artikkel 33. Med et avvikssystem blir vurderingen sporbar.

Eksempler på situasjoner der privilegert tilgang blir en risiko

Risikoen ved privilegert tilgang blir ofte synlig først når noe har gått galt:

• "IT-leverandøren hadde én felles administratorkonto som 12 teknikere brukte, og vi kunne ikke se hvem som hadde gjort hva."
• "En tjenestekonto for en integrasjon hadde hatt samme passord siden 2019 og fulle rettigheter i hele domenet."
• "Systemansvarlig brukte administratorkontoen sin også til e-post og nettlesing, og kontoen ble kapret via en phishinglenke."

Hva er privileged access management (PAM)?

Privileged access management (PAM), på norsk styring av privilegert tilgang, er prosessene og verktøyene som brukes til å begrense, kontrollere og overvåke privilegerte kontoer.

PAM er en del av den bredere tilgangsstyringen, identity and access management (IAM). IAM styrer identitetene og tilgangene til alle brukere, mens PAM retter seg mot kontoene der konsekvensene av misbruk er størst.

PAM er ikke bare et verktøy. En mindre virksomhet kommer langt med klare rutiner: egne administratorkontoer, flerfaktorautentisering, ingen delte kontoer og jevnlig gjennomgang. Verktøyene gjør det lettere å holde rutinene ved like i større miljøer.

Hva krever lover og standarder?

Digitalsikkerhetsforskriften, DORA og GDPR krever alle at virksomheten styrer og beskytter tilgangen i forhold til risikoen, og privilegert tilgang er der risikoen er høyest.

Digitalsikkerhetsloven (LOV-2023-12-20-108) og digitalsikkerhetsforskriften trådte i kraft 1. oktober 2025 og gjennomfører det første NIS-direktivet. Forskriften gjelder tilbydere av samfunnsviktige tjenester og digitale tjenester. For tilbydere av samfunnsviktige tjenester krever den blant annet at personell ikke har flere tilganger enn nødvendig (§ 12), mens tilbydere av digitale tjenester følger egne regler etter § 15. NIS2-direktivet (direktiv (EU) 2022/2555) er ennå ikke innlemmet i EØS-avtalen. Når det skjer, ventes flere sektorer og virksomheter å bli omfattet, og kravene til tilgangskontroll og flerfaktorautentisering blir mer eksplisitte. NSMs grunnprinsipper for IKT-sikkerhet gir en god norsk referanse uansett, særlig prinsippet om å ha kontroll på identiteter og tilganger.

For finansforetak gjelder i tillegg DORA, som er gjort til norsk rett gjennom DORA-loven (LOV-2025-05-27-18) fra 1. juli 2025. Se hva er DORA-forordningen.

Ingen av regelverkene krever et PAM-verktøy. Det de krever, er at dere kan vise at privilegert tilgang er begrenset, beskyttet og sporbar, og at valget av tiltak bygger på en risikovurdering.

Slik innfører dere PAM steg for steg

Dere innfører PAM i 6 steg: kartlegg kontoene, vurder risikoen, reduser antallet, beskytt dem som er igjen, overvåk bruken og følg opp jevnlig.

1. Kartlegg alle privilegerte kontoer. Ta med tjenestekontoer, skyadministratorer, lokale administratorer og leverandørkontoer, ikke bare de kjente administratorene.
2. Vurder risikoen. Ranger kontoene etter hvilke systemer og hvilken informasjon de gir tilgang til. Kontoer med tilgang til sensitive personopplysninger eller sikkerhetskopier kommer øverst.
3. Reduser antallet og rettighetene. Fjern kontoer som ikke brukes, erstatt delte kontoer med personlige og gi hver konto bare de rettighetene den trenger.
4. Beskytt kontoene. Innfør egne administratorkontoer, flerfaktorautentisering, passordhvelv og tidsbegrenset tilgang for de mest kritiske kontoene.
5. Overvåk og logg. Logg all privilegert bruk og varsle ved avvik, for eksempel innlogging på uvanlige tidspunkter eller fra nye steder.
6. Følg opp jevnlig. Gå gjennom de privilegerte kontoene minst 2 ganger i året, fordi de endrer seg raskere enn vanlige tilganger.

Leverandørers fjerntilgang trenger ofte ekstra oppmerksomhet. Kravene til hvordan leverandøren håndterer kontoene sine bør stå i avtalen og følges opp, for eksempel med vår løsning for leverandørevaluering.

Trenger dere hjelp til å vurdere risikoen ved privilegert tilgang hos dere, kan dere kontakte Draftit eller annen fagekspertise for konkret rådgivning.

Vanlige spørsmål om privilegert tilgang og PAM

Trenger små virksomheter et PAM-verktøy?

Ikke nødvendigvis, fordi de viktigste tiltakene kan gjennomføres med rutiner og de innebygde funksjonene i eksisterende systemer.

Egne administratorkontoer, flerfaktorautentisering og ingen delte kontoer gir stor effekt til lav kostnad. Et PAM-verktøy blir mer aktuelt når antallet systemer, administratorer og leverandører vokser.

Hva er forskjellen på PAM og IAM?

IAM styrer identiteter og tilganger for alle brukere, mens PAM er den delen av IAM som retter seg mot kontoer med utvidede rettigheter.

Begge trengs. IAM sikrer at riktig person har riktig grunntilgang, og PAM legger på ekstra beskyttelse der konsekvensene av misbruk er størst.

Hvor mange administratorer bør en virksomhet ha?

Så få som mulig, men nok til at driften ikke blir avhengig av én enkelt person.

Det finnes ikke noe fast antall. Ta utgangspunkt i hvilke oppgaver som krever administratorrettigheter, og gi rettighetene tidsbegrenset i stedet for permanent der det er mulig.

Skal nødkontoer omfattes av PAM?

Ja, nødkontoer skal omfattes, men håndteres med egne rutiner slik at de fungerer også når de ordinære systemene er nede.

Passordet oppbevares sikkert og atskilt, hver bruk logges og følges opp, og passordet byttes etter hver gang kontoen er brukt. Nødkontoer som aldri testes, fungerer sjelden når de trengs.

Kan administratorer se personopplysninger de ikke trenger?

Teknisk kan de ofte det, men de har bare lov til å se opplysninger i den grad oppgavene deres krever det.

Derfor trengs logging og oppfølging, slik at uautorisert tilgang kan avdekkes. Har en administrator sett opplysninger uten tjenstlig behov, skal hendelsen vurderes som et mulig brudd på personopplysningssikkerheten.