Choose language

Tilgangsstyring

Tilgangsstyring er arbeidet med å bestemme hvem som skal ha tilgang til hvilken informasjon og hvilke systemer, og å sørge for at tilgangene stemmer over tid. GDPR krever at tilgangen til personopplysninger begrenses til dem som trenger den. Utgangspunktet er at dere vet hvilke systemer og behandlinger dere har, og det får dere oversikt over i verktøyet for behandlingsprotokoll.

Dette må du vite:

  • Tilgangsstyring bygger på prinsippet om minste nødvendige tilgang: ingen skal ha mer tilgang enn arbeidet krever
  • GDPR stiller ikke krav om en bestemt metode, men artikkel 5 nr. 1 bokstav f, artikkel 25 og artikkel 32 krever at tilgangen begrenses og beskyttes i forhold til risikoen
  • Tilganger skal tildeles ut fra roller, ikke enkeltpersoner, og bygge på en dokumentert vurdering
  • De fleste svakhetene oppstår når ansatte bytter rolle eller slutter, fordi tilganger legges til, men sjelden fjernes
  • Jevnlig gjennomgang av tilganger og kontroll av logger viser at styringen fungerer i praksis

Hva er tilgangsstyring?

Tilgangsstyring er de reglene, prosessene og tekniske løsningene som bestemmer hvem som får tilgang til hvilken informasjon, i hvilke systemer og med hvilke rettigheter.

Tilgangsstyring er den praktiske siden av konfidensialitet, en av de tre grunnpilarene i informasjonssikkerhet, konfidensialitet, integritet og tilgjengelighet. Den omfatter beslutninger om hvilke roller som finnes, hvilke tilgangsrettigheter hver rolle skal ha, hvordan tilganger bestilles og godkjennes, og hvordan de fjernes. Tilgangshåndtering og tilgangskontroll brukes ofte som synonymer. Tilgangskontroll viser likevel som regel til selve den tekniske sperren i systemet, mens tilgangsstyring også dekker beslutningene bak.

Hvorfor manglende kontroll med tilganger er en av de største sikkerhetsrisikoene, og hvordan risikoen vokser i det stille, kan du lese mer om i artikkelen om hvorfor tilgangsstyring er en av de største sikkerhetsrisikoene.

Identitets- og tilgangsstyring (IAM)

Identitets- og tilgangsstyring, på engelsk identity and access management (IAM), er fellesbetegnelsen på å håndtere både brukernes digitale identiteter og tilgangene deres.

Identitetsstyringen sikrer at hver bruker har en unik identitet, og at dere vet at personen er den vedkommende utgir seg for å være, for eksempel gjennom flerfaktorautentisering. Tilgangsstyringen bestemmer deretter hva identiteten får gjøre. Uten sikker identitetsstyring betyr tilgangsstyringen mindre, fordi en angriper som overtar en konto, får samme tilgang som eieren av kontoen.

Tilgangsstyring etter GDPR

GDPR krever at tilgangen til personopplysninger begrenses til de personene som trenger opplysningene i arbeidet sitt, og at beskyttelsen står i forhold til risikoen for de registrerte.

Kravet følger av flere artikler i personvernforordningen (forordning (EU) 2016/679), GDPR, som gjelder i Norge gjennom EØS-avtalen og personopplysningsloven:

  • Artikkel 5.1 f, integritet og konfidensialitet: Personopplysninger skal beskyttes mot uautorisert behandling.
  • Artikkel 25, innebygd personvern: Personopplysninger skal som standard ikke gjøres tilgjengelige for flere personer enn nødvendig.
  • Artikkel 32, sikkerhet ved behandlingen: Tekniske og organisatoriske tiltak skal stå i forhold til risikoen, noe som omfatter tilgangskontroll og tilgangsstyring.

Jo mer sensitive opplysningene er, desto strengere må styringen være. Helseopplysninger, opplysninger om barn og andre særlige kategorier, se hva er sensitive personopplysninger, krever som regel smalere tilganger og tettere oppfølging enn for eksempel kontaktopplysninger til kunder.

Tilgangskontroll for helseopplysninger

I helse- og omsorgssektoren stiller pasientjournalloven egne krav til tilgangsstyring: helseopplysninger skal bare være tilgjengelige for helsepersonell som trenger dem for å gi helsehjelp.

Pasientjournalloven (LOV-2014-06-20-42) § 16 forbyr å lese, søke etter eller på annen måte tilegne seg helseopplysninger uten at det er begrunnet i helsehjelp til den enkelte pasienten eller har særskilt hjemmel. § 22 pålegger den dataansvarlige og databehandleren å sørge for tilgangsstyring, logging og etterfølgende kontroll. Pasientjournalforskriften (FOR-2019-03-01-168) § 13 utfyller kravene med regler om autorisasjon, autentisering og oversikt over hvem som har tilgang, slik at bruken kan kontrolleres i ettertid.

I praksis bruker sektoren Normen, Norm for informasjonssikkerhet og personvern i helse- og omsorgssektoren, som beskriver hvordan tilganger skal tildeles, kontrolleres og fjernes etter tjenstlig behov. Det sentrale er at tilgangene bygger på en dokumentert vurdering av hvilket behov hver rolle har, veid opp mot risikoen for pasientens personvern.

Den samme logikken fungerer utenfor helsesektoren. En dokumentert vurdering av hvilke behov ulike roller har, er den beste måten å vise at tilgangene ikke er større enn nødvendig.

Roller og tilganger i IT-sikkerhet

Tilganger skal først og fremst tildeles ut fra roller, fordi rollebasert styring gjør det lettere å gi riktig tilgang fra start og å endre den når noen bytter arbeidsoppgaver.

Med rollebasert tilgangsstyring (role-based access control, RBAC) bestemmer dere én gang hvilke tilganger en bestemt rolle skal ha, for eksempel lønnsmedarbeider eller helsesykepleier. Den som får rollen, får deretter tilgangene automatisk. Prinsippene styringen bør hvile på, er:

  • Minste nødvendige tilgang (least privilege): Hver rolle får bare den tilgangen arbeidsoppgavene krever.
  • Tjenstlig behov (need to know): Tilgang til konkret informasjon gis bare når det finnes et faktisk behov.
  • Arbeidsdeling (segregation of duties): Ingen enkeltperson skal kunne både bestille, godkjenne og gjennomføre en kritisk handling.
  • Egne kontoer for administrasjon: Administratorrettigheter holdes atskilt fra de vanlige brukerkontoene.

Administratorkontoer og andre kontoer med utvidede rettigheter er den mest risikofylte delen av tilgangsstyringen. De krever egne rutiner for godkjenning, overvåking og tidsbegrensning, noe som gjerne kalles håndtering av privilegert tilgang.

Tilgangshåndtering steg for steg

God tilgangshåndtering følger brukerens hele livsløp: fra tilganger tildeles ved ansettelse, via endringer ved rollebytte, til de fjernes når personen slutter.

  1. Kartlegg systemer og informasjon. Ta utgangspunkt i behandlingene og informasjonsverdiene deres, og bestem hvor skjermingsverdig informasjonen i hvert system er.
  2. Gjør en behovs- og risikovurdering. Bestem hvilke roller som trenger hvilken tilgang, og vei behovet mot risikoen. Metoden ligner den du finner i guiden om informasjonssikkerhet, risikoer og informasjonsverdier.
  3. Definer roller og tilgangsprofiler. Dokumenter hvilke tilganger hver rolle skal ha, og hvem som godkjenner avvik fra profilen.
  4. Innfør en prosess for bestilling og godkjenning. Tilganger skal bestilles av leder og godkjennes av system- eller informasjonseier, slik at det finnes sporbarhet.
  5. Håndter rollebytter og avslutning. Fjern gamle tilganger når noen bytter rolle, og steng kontoen samme dag som arbeidsforholdet opphører.
  6. Gå jevnlig gjennom tilgangene. La ledere og systemeiere bekrefte at tilgangene stemmer, minst 1 gang i året og oftere for systemer med sensitive opplysninger.
  7. Logg og følg opp tilgangen. Kontroller loggene for å oppdage tilgang som avviker fra det normale.

Steg 5 er der de fleste svakhetene oppstår. Tilganger legges til for hver nye arbeidsoppgave, men fjernes sjelden, og etter noen år har en erfaren ansatt ofte tilgang til langt mer enn stillingen krever.

Eksempler på situasjoner der tilgangsstyringen svikter

Svakheter i tilgangsstyringen oppdages ofte i forbindelse med et avvik eller en revisjon:

  • "En konsulent som sluttet for 6 måneder siden, kunne fortsatt logge inn i CRM-systemet vårt."
  • "Alle i HR-avdelingen kunne lese samtlige personalmapper, også opplysninger om sykefravær og tilrettelegging."
  • "En ansatt som hadde gått fra økonomi til markedsavdelingen, hadde fortsatt rettighet til å godkjenne utbetalinger."

Hva krever digitalsikkerhetsloven og ISO 27001?

Digitalsikkerhetsforskriften krever at virksomheter som omfattes, styrer og kontrollerer tilganger ut fra roller og tjenstlig behov, og ISO 27001 har egne tiltak for identitetsstyring og tilganger.

Digitalsikkerhetsloven (LOV-2023-12-20-108) og digitalsikkerhetsforskriften (FOR-2025-06-20-1131) trådte i kraft 1. oktober 2025 og gjennomfører det første NIS-direktivet i norsk rett. For tilbydere av samfunnsviktige tjenester krever forskriften § 10 sterk autentisering og styring av og kontroll med tilganger til nettverk og informasjonssystemer, og segmentering etter minste privilegiums prinsipp. § 12 krever at tilganger tildeles ut fra roller, oppgaver, ansvar og tjenstlig behov, og at personer som slutter, ikke lenger har tilgang. Tilbydere av digitale tjenester følger egne regler etter forskriften § 15. NIS2-direktivet (direktiv (EU) 2022/2555) er ennå ikke innlemmet i EØS-avtalen, men vil etter alt å dømme skjerpe kravene og utvide kretsen av virksomheter som omfattes. Støtte til hele arbeidet finner dere i NIS 2-løsningen.

Nasjonal sikkerhetsmyndighet (NSM) gir en god praktisk ramme i Grunnprinsipper for IKT-sikkerhet, der ett av prinsippene er å ha kontroll på identiteter og tilganger.

I ISO 27001 behandles tilgangsstyring i vedlegg A, blant annet gjennom tiltakene for tilgangskontroll, identitetsstyring, autentiseringsinformasjon, tilgangsrettigheter og privilegert tilgang. Den som sertifiserer seg, må vise at tiltakene er innført og følges opp.

Trenger dere hjelp med hvordan tilgangsstyringen skal utformes i virksomheten, ta kontakt med Draftit eller annen ekspertise for konkret rådgivning.

Vanlige spørsmål om tilgangsstyring

Hvem har ansvaret for tilgangsstyringen?

Den behandlingsansvarlige har ansvaret for at tilgangsstyringen oppfyller GDPR, mens system- og informasjonseiere har ansvaret for at tilgangene i systemene deres er riktige.

IT-avdelingen gjennomfører ofte selve tildelingen, men beslutningen om hvem som skal ha tilgang, skal tas av den som eier informasjonen. Ellers havner beslutninger om personopplysninger hos personer som ikke kjenner behovet.

Hvor ofte skal tilgangene gjennomgås?

Tilgangene bør gjennomgås minst 1 gang i året, og oftere for systemer med sensitive personopplysninger.

I tillegg til den periodiske gjennomgangen skal tilganger endres straks ved rollebytte og avslutning. Dokumenter hver gjennomgang med dato og hvem som godkjente, slik at dere kan vise at den er gjort.

Er det et brudd på personopplysningssikkerheten om noen har for vide tilganger?

For vide tilganger er i seg selv ikke et brudd på personopplysningssikkerheten, men hvis noen uten tjenstlig behov faktisk ser opplysningene, kan det være et brudd.

Hvis en ansatt uten behov har åpnet opplysninger vedkommende ikke skulle sett, skal hendelsen vurderes etter reglene om melding av brudd i GDPR artikkel 33. Svakheten i tilgangsstyringen er uansett en sikkerhetssvakhet som skal rettes.

Hva er forskjellen på tilgang og autentisering?

Autentisering kontrollerer hvem brukeren er, mens tilgangen bestemmer hva brukeren får gjøre.

Flerfaktorautentisering gjør det vanskeligere å overta en konto, men beskytter ikke mot at kontoen har for mye tilgang. Begge deler trengs.

Skal eksterne leverandører omfattes av tilgangsstyringen?

Ja, konsulenter, leverandører og andre eksterne brukere skal omfattes av den samme styringen som deres egne ansatte.

Eksterne kontoer skal være tidsbegrensede og knyttet til en avtale, fordi de ellers lett blir stående etter at oppdraget er avsluttet. For leverandører som behandler personopplysninger på deres vegne, skal kravene i tillegg gå fram av databehandleravtalen.