En passordbehandler kan hjelpe en liten bedrift med å bruke et eget, langt passord for hver tjeneste. Men valget handler ikke bare om hvor enkelt det er å fylle inn et passord. Hvem får tilgang når en ansatt slutter? Kan bedriften hente ut dataene hvis leverandøren ikke lenger passer? Og hva skjer hvis den som administrerer hvelvet mister tilgangen?
Nasjonal sikkerhetsmyndighet anbefaler unike passord og passordhåndteringsprogrammer. NISTs retningslinjer sier at tjenester skal tillate passordbehandlere og autofyll. Rådene gjør det lettere å bruke sterke passord i praksis, men de velger ikke et bestemt produkt for virksomheten.
Hva gjør en passordbehandler?
En passordbehandler lagrer påloggingsopplysninger i et hvelv og kan generere nye, unike passord. Den kan ofte fylle dem inn på riktig nettsted eller i riktig app. Noen løsninger synkroniserer hvelvet mellom enheter, mens andre kan holdes lokalt. Hvordan hvelvet krypteres, hvem som kan gjenopprette tilgang, og hvilke data leverandøren selv kan se, varierer mellom produkter. Les derfor den aktuelle leverandørens dokumentasjon i stedet for å anta at alle hvelv fungerer likt.
Passordbehandleren løser særlig problemet med gjenbruk: Hvis ett passord avsløres, skal det ikke også åpne andre kontoer. Den fjerner ikke behovet for flerfaktorautentisering, oppdaterte enheter eller kontroll med kontogjenoppretting. Den erstatter heller ikke en plan for tap av passnøkkel eller enhet.
Fem spørsmål før bedriften velger
- Hvem eier jobbtilgangene? Hver ansatt bør ha egen konto. Undersøk om virksomheten kan opprette delte samlinger for nødvendige jobbpassord uten at alle deler samme hovedkonto. Test at en ansatt kan fjernes uten å miste hvelvet eller måtte kopiere private oppføringer.
- Hvordan er hvelvet beskyttet? Se etter tydelig dokumentasjon om kryptering, innloggingsbeskyttelse, flerfaktorautentisering og sikkerhetsoppdateringer. Et sterkt hovedpassord er viktig, men det er ikke alene en komplett sikkerhetsmodell.
- Hva er gjenopprettingsveien? Finn ut hvem som kan hjelpe når en bruker mister hovedpassord eller enhet, og hva administrator faktisk kan gjenopprette. Noen gjenopprettingsmåter innebærer egne risikoer. NCSC anbefaler å undersøke både hvem som kan gjenopprette tilgang, og hvordan eksport fungerer.
- Kan dataene flyttes? Prøv en eksport med ufarlige testoppføringer før dere låser dere til en løsning. Sjekk format, vedlegg, organisering og hvordan data kan importeres et annet sted. En eksportfil med passord i klartekst er sensitiv og må håndteres og slettes forsvarlig etter testen.
- Hvordan fungerer løsningen i hverdagen? Test på de faktiske nettleserne og enhetene bedriften bruker. Se om ansatte lett kan opprette unike passord, skille jobb fra privat og finne riktig pålogging uten snarveier som fører til deling i e-post eller chat.
En avgrenset prøve er mer nyttig enn en funksjonsliste
Velg to eller tre vanlige arbeidsflyter og bruk testkontoer uten ekte hemmeligheter. Opprett et passord, del det med riktig rolle, fjern en testbruker og kontroller at tilgangen faktisk opphører. Simuler at enheten blir borte, og gå gjennom dokumentert gjenoppretting. Eksporter deretter testdata og undersøk hva som mangler ved import i en annen løsning. Skriv ned resultatene før dere legger inn produksjonskontoer.
Lag også en enkel oversikt over hvem som forvalter løsningen, hvem som kan godkjenne ny tilgang, og hvordan virksomheten får tilgang til kritiske kontoer hvis hovedadministratoren er utilgjengelig. Et hvelv kan ellers bli et nytt enkelt feilpunkt. Den samme tankegangen ligger bak å teste gjenoppretting i stedet for bare å stole på en grønn status.
Hva med passnøkler?
Passnøkler kan redusere avhengigheten av tradisjonelle passord for tjenester som støtter dem. Enkelte passordbehandlere kan også lagre og synkronisere passnøkler, men støtte og flyttbarhet må undersøkes for den konkrete løsningen. Behovet for kontogjenoppretting og rollefordeling forsvinner ikke. En bedrift kan derfor vurdere passordbehandler og passnøkler sammen, uten å forveksle dem.
Kort sagt: Velg ikke bare ut fra hvor mange passord en løsning kan lagre. Test eierskap, tilgangsstyring, gjenoppretting, eksport og daglig bruk med bedriftens egne arbeidsflyter. Da vet dere mer om sikkerheten og om bedriften faktisk kan komme videre når noe går galt.
