Adgangsrettigheder efter behov

Hvis en medarbejder har en adgang i et it-system, som er bredere end det arbejdsbetingede behov, kan det udgøre en unødvendig risiko for tab af datas fortrolighed og integritet gennem medarbejderens fejlhåndtering eller egentligt misbrug. En for bred adgang til at tilføje, ændre eller slette data udgør en unødvendig risiko for tab af datas integritet og tilgængelighed. Begrænsning af adgangsrettigheder (fx læseadgang uden skriveadgang), kan forhindre fejl og misbrug. Der er altså tale om en forebyggende foranstaltning, som kan mindske konsekvensen, hvis en brugeradgang anvendes forkert eller misbruges.

Det samme er normalt ikke tilfældet ved en borgers/kundes adgang til en selvbetjeningsløsning, idet mulighederne (læse, ændre, tilføje, slette data) normalt vælges ud fra, hvad brugeren af selvbetjeningsløsningen skal kunne udføre selv, og ansvaret for forkert anvendelse/misbrug ligger hos brugeren selv. Der kan dog være undtagelser til dette, hvor det er uhensigtsmæssigt at give kunden mulighed for at ændre/slette visse data, selv om det er kundens egne personoplysninger.

Adgangsrettigheder for medarbejdere tilpasses et arbejdsbetinget behov og begrænses i fx muligheder for at læse, tilføje, søge, ændre, udtrække eller slette data.

Hvis der anvendes RPA (Robotic Process Automation) eller lignende, og man i den forbindelse giver adgangsrettigheder til robot-brugere, begrænses deres adgang på samme måde mest muligt. Økonomisk besparelse på robot-brugerlicenser kan friste til at give en robot så mange adgangsrettigheder som muligt, men en robot-bruger, som har mange rettigheder, kan udgøre en højere risiko, hvis fx en hacker får mulighed for at opnå denne robots adgangsrettigheder. Ved at minimere robot-brugeres adgangsrettigheder begrænses også den potentielle skade, som robot-brugeren kan gøre i tilfælde af fejl i koden/automatikken.

Mulighederne for at begrænse adgangsrettigheder afhænger normalt af it-systemernes design, hvorfor disse aspekter tænkes ind på tidspunktet for design, indkøb af eller ændring i eksisterende it-systemer.

Visse adgangsrettigheder kan give mulighed for at gøre uoprettelig skade, fx sletning, og tildeles derfor færrest mulige personer og kun personer med de rette kompetencer. Denne foranstaltning skal derfor ses i sammenhæng med foranstaltningen Sammenhæng mellem brugerkompetencer, adgangsrettigheder og opgaver.

Se også: Forebyggelse af snageri

Databeskyttelsesforordningens artikel 5, stk. 1, litra f, handler om personoplysningers integritet og fortrolighed. Jo mindre den enkelte bruger kan gøre med de data, som brugeren har adgang til, desto mindre er den potentielle konsekvens, hvis nogle af disse brugere foretager utilsigtede eller ondsindede handlinger eller uberettigede anvendelser af data. Dette har også en beskyttende effekt ift. cybertrusler, idet en hacker ofte opererer igennem adgangsrettigheder i kompromitterede bruger-konti, og færre rettigheder begrænser dermed hackerens muligheder. Derfor skal adgangsrettigheder begrænses mest muligt.

Forordningens artikel 25: Ved udvikling eller erhvervelse af nyt it-system eller udvikling/ændring i eksisterende it-system skal databeskyttelse være tænkt ind i design og standardindstillinger. Muligheden for at begrænse/differentiere adgangsrettigheder til data forudsætter, at muligheden er indbygget i de it-systemer, som styrer adgangen.