Et internt læk fra it-leverandøren Aeven beskriver en uformel løsning, som gav 164 medarbejdere en genvej til adgangskontrol, efter at de havde mistet deres adgang. Det skriver Version2.
Sagen er følsom, fordi Aeven leverer it-infrastruktur til blandt andre store banker, domstolene, forsvaret og medicinalvirksomheder. Her er adgangskontrol et helt centralt sikkerhedslag – altså reglerne for, hvem der må komme ind i hvilke systemer.
Ifølge mediet viser lækket, hvordan en kvalitetsspecialist fandt på en nødløsning, da de 164 medarbejdere mistede deres adgang. Version2 beskriver løsningen som en “dirty solution”.
Ekspert kritiserer metoden
Kernen i kritikken er, at adgang til systemer normalt kun skal gives til personer, der har et dokumenteret arbejdsbetinget behov. Det er et grundlæggende princip i it-sikkerhed, fordi det skal begrænse, hvor mange der kan få adgang til følsomme systemer og data.
Version2 skriver, at en ekspert kalder metoden for en omgåelse af reel sikkerhedskontrol. Det peger på, at problemet ikke kun handler om en teknisk fejl, men også om, hvordan adgang bliver håndteret i praksis.
Det fremgår af den tilgængelige omtale ikke, hvilke konkrete systemer de 164 medarbejdere fik adgang til, eller hvor længe løsningen var i brug.
Derfor er sagen vigtig
Når en samfundskritisk leverandør håndterer drift for kunder som banker, domstole og forsvaret, er adgangskontrol mere end intern administration. Det er en del af den sikkerhed, kunderne forventer, når de lægger centrale systemer hos en ekstern leverandør.
Sagen rejser derfor spørgsmål om, hvordan sikkerhedsregler bliver håndhævet, når driften kommer under pres. En nødløsning kan være praktisk her og nu, men kritikken går på, om den samtidig svækker den kontrol, der netop skal beskytte systemerne.
Version2 har omtalt sagen på baggrund af et internt læk fra Aeven. De oplysninger, der er tilgængelige i den åbne omtale, giver ikke flere detaljer om forløbet eller Aevens eventuelle forklaring.