Adgangskodepolitik: længde, password managers og hvad I skal droppe

Hvorfor de gamle regler ikke virker

De klassiske krav om store og små bogstaver, et tal, et specialtegn og tvunget skift hver 90. dag lød fornuftige, da de blev indført. I praksis har de lært medarbejderne at lave forudsigelige mønstre: »Sommer2026!« bliver til »Efterår2026!«, og kodeord skrives ned på sedler under tastaturet.

Angriberne ved det godt. De gætter ikke tilfældigt, men bruger lister med lækkede kodeord og kendte mønstre. Et kodeord, der opfylder alle kompleksitetskrav, kan derfor stadig knækkes på få sekunder, hvis det følger et mønster, som tusinder af andre også bruger.

Det amerikanske standardiseringsinstitut NIST har i sine retningslinjer for digital identitet (SP 800-63B) i flere år anbefalet at fokusere på længde, at tjekke kodeord mod lister over kompromitterede kodeord og at undlade tvungne periodiske skift uden konkret grund. Det er et godt udgangspunkt for jeres egen politik.

Adgangskodepolitik: de regler der giver sikkerhed

En moderne adgangskodepolitik til en mindre virksomhed kan koges ned til få, klare krav:

Totrinsbekræftelse er i dag en fast del af enhver adgangskodepolitik, men selve indførelsen er et projekt for sig. Her fokuserer vi på kodeordene.

Password manager: den vigtigste enkeltbeslutning

Kravet om et unikt kodeord til hver tjeneste er umuligt at leve op til uden hjælp. En medarbejder har let 50 til 100 logins til leverandørportaler, webshops, banker og fagsystemer. En password manager løser problemet ved at generere og gemme lange, tilfældige kodeord, så medarbejderen kun skal huske ét stærkt hovedkodeord.

Når I vælger løsning til virksomheden, bør I kigge efter:

• Central administration, så I kan oprette og lukke brugere og se, hvem der har adgang til hvad.
• Delte samlinger til fælles konti, fx adgangen til hjemmesidens administration eller en leverandørportal, så de ikke deles over mail eller Teams.
• Integration med Entra ID eller en anden fælles login-løsning, så adgangen lukker automatisk, når en medarbejder stopper.
• Totrinsbekræftelse på selve password manageren.
• Mulighed for nødadgang, så virksomheden ikke mister vigtige logins, hvis den eneste, der kender dem, er syg eller er stoppet.

Prisen for en virksomhedsløsning ligger typisk på et lavt antal kroner pr. bruger pr. måned, men den varierer mellem udbydere og funktioner. Sammenlignet med konsekvensen af et genbrugt kodeord er det en lille post.

Det skal I droppe

Nogle regler gør mere skade end gavn og kan fjernes fra jeres politik:

• Tvunget skift hver 30., 60. eller 90. dag. Skift kun, når der er grund til mistanke.
• Hemmelige spørgsmål som »hvad hed dit første kæledyr?«. Svarene kan ofte findes på sociale medier.
• Kodeordshints, der vises på loginsiden.
• Maksimal længde på fx 12 eller 16 tegn. Tillad lange adgangssætninger.
• Forbud mod at indsætte kodeord. Det straffer netop dem, der bruger en password manager.
• Deling af konti som »kontor@« med ét fælles kodeord kendt af alle. Giv hver person sit eget login, og brug delte postkasser i stedet.

Sådan håndhæver I politikken teknisk

En politik på papir hjælper kun, hvis systemerne understøtter den. I et Microsoft-miljø kan meget sættes op centralt:

1. Minimumslængde og udløb af kodeord styres i Entra ID og i en eventuel lokal Active Directory.
2. Entra ID Password Protection kan blokere almindelige kodeord og en egen liste med fx firmanavn, produktnavne og bynavn.
3. Totrinsbekræftelse og regler for, hvorfra der må logges ind, sættes op som politikker for betinget adgang.
4. Administratorkonti adskilles fra de daglige konti og får strengere krav.
5. Lokale administratorkodeord på pc'erne gøres unikke med Windows LAPS.

Hvis I vil have de tekniske indstillinger gennemgået og strammet op, er det en del af vores arbejde med adgangskontrol og beskyttelse af arbejdsstationer.

Eksempel: en kort politik på én side

Politikken behøver ikke være lang. En handelsvirksomhed i Kolding med 25 ansatte kunne have en politik, der i sin helhed lyder sådan her:

1. Alle arbejdskonti beskyttes af en adgangssætning på mindst 14 tegn og med totrinsbekræftelse.
2. Kodeord til arbejdsbrug gemmes kun i virksomhedens password manager.
3. Hvert login er personligt og må ikke deles. Fælles konti ligger i delte samlinger i password manageren.
4. Kodeord skiftes straks ved mistanke om læk, og IT-ansvarlig kontaktes.
5. Arbejdskodeord må ikke bruges til private tjenester.
6. Administratorer bruger en separat konto med en adgangssætning på mindst 20 tegn.

Læg mærke til, hvad politikken ikke nævner: specialtegn, udløbsdatoer og hemmelige spørgsmål. Den er kort nok til, at alle kan huske indholdet, og konkret nok til, at IT kan håndhæve den teknisk.

Til politikken hører en kort introduktion ved ansættelse og en påmindelse en gang om året. Det er vigtigere, at medarbejderne forstår hvorfor, end at teksten er juridisk perfekt.

Næste skridt

Tag jeres nuværende regler frem og sammenlign dem med tabellen ovenfor. Ofte er de største gevinster at fjerne de tvungne skift, indføre en password manager og slå blokering af almindelige kodeord til. Skal adgangskodepolitikken indgå i et samlet sæt af retningslinjer, fx som forberedelse til NIS2 eller krav fra en kunde, kan vi hjælpe med at skrive og vedligeholde jeres sikkerhedspolitikker og dokumentation.