Administrationsværktøjer: når værktøjet til drift af kunden er det kritiske

De værktøjer, I bruger til at overvåge, opdatere, konfigurere og sikkerhedskopiere kundens systemer, kan have flere rettigheder end nogen enkelt medarbejder hos kunden. Det gør dem til den mest følsomme del af en driftsleverance: et misbrug af værktøjet rammer ikke kun én server, men alt, hvad værktøjet kan nå. For en NIS2-kunde er spørgsmålet derfor, hvem der kan bruge værktøjet, hvad det kan, og om det er adskilt fra alt det andet, I laver.

En test af værktøjet skal belyse netop de tre ting. Teksten er ikke juridisk rådgivning, og den nævner ikke konkrete produkter.

Hvad reglerne siger om administrationssystemer

Gennemførelsesforordning (EU) 2024/2690 gælder direkte for bestemte digitale udbydere, herunder udbydere af administrerede tjenester og administrerede sikkerhedstjenester. Er I selv en sådan udbyder, gælder punkterne for jer. Er I ikke, kan kunden bruge dem til at formulere krav. Bilaget siger blandt andet:

Begrænsning · punkt 11.4.1 kræver, at brugen af systemadministrationssystemer begrænses og kontrolleres efter politikken for adgangskontrol.
Kun til administration · punkt 11.4.2, litra a, siger, at systemerne kun bruges til systemadministration og ikke til andre aktiviteter.
Adskillelse · punkt 11.4.2, litra b, kræver logisk adskillelse fra applikationssoftware, der ikke bruges til administration.
Beskyttet adgang · punkt 11.4.2, litra c, kræver autentificering og kryptering ved adgang.
Særlige konti · punkt 11.3.2 beder om særlige konti til administration, individualiserede og begrænsede beføjelser og stærke procedurer for login.

SAMSIK’s vejledning om foranstaltninger anbefaler i afsnittet om adgangskontrol (9.b), at enheden begrænser og kontrollerer brugen af it-administrationssystemer, og at politikken kan omfatte eksterne som leverandører. → Adgangskontrol og privilegerede konti

Hvad der tæller som et administrationsværktøj

ENISA’s tekniske vejledning, som ikke er bindende, forklarer i en note til punkt 11.4, at administrationssystemer er de værktøjer og processer, der bruges til at styre, overvåge og vedligeholde hardware, software og netværk. Den nævner som eksempler systemovervågning, konfigurationsstyring, sikkerhedsstyring, brugeradministration samt backup og gendannelse.

For en leverandør kan det omfatte mere end ét system:

Fjernstyring · værktøjet, I logger ind på kundens maskiner med.
Overvågning · systemet, der henter tilstand og logs fra kundens udstyr.
Opdatering og konfiguration · systemet, der sender opdateringer og ændringer ud.
Backup · løsningen, der kopierer og gendanner kundens data.
Brugeradministration · adgangen til kundens identitetsløsning.

Når flere af funktionerne er samlet i ét og samme værktøj, rækker et misbrug endnu længere. Lav derfor en liste over værktøjerne og over, hvilke kunder hvert af dem kan nå, før testen planlægges. Listen er også nyttig, når kunden spørger til leverandørregistret. → Opdateringer fra jer til kunden

Hvad testen skal belyse

En test af administrationsværktøjet skal svare på de spørgsmål, kunden vil stille:

Hvem kan logge ind · om kun navngivne administratorer har adgang, og om login kræver mere end en adgangskode.
Hvad rettighederne rækker til · om en tekniker, der kun arbejder for én kunde, også kan nå andre kunder.
Hvordan værktøjet kan nås · om det er tilgængeligt fra internettet eller kun fra et adskilt administrationsnet.
Hvad der registreres · om handlinger i værktøjet logges, så de kan knyttes til en person.
Hvad værktøjet stoler på · om de agenter, der er installeret hos kunden, kun tager imod ordrer fra jeres værktøj.

Testen bør foregå med de konti og rettigheder, en almindelig tekniker har, så resultatet viser, hvad en kompromitteret teknikerkonto kunne bruges til. Adskillelsen mellem kunder kan være det vigtigste for kunden. Hvis en svaghed i ét kundemiljø kan bruges til at nå værktøjet og derfra andre kunder, er det et fund, der angår alle. → Delte platforme hos MSP’en

Værktøjer, I ikke selv har lavet

Administrationsværktøjer kan være produkter fra en tredjepart, enten installeret hos jer eller leveret som en tjeneste. Jeres opsætning, jeres konti og jeres adskillelse kan I teste. Selve produktet eller tjenesten ejes af producenten, og test af den kan kræve producentens accept efter dennes egne regler.

Det betyder, at testen kan blive delt: I tester jeres brug af værktøjet, mens producentens egen sikkerhed dokumenteres på anden vis, fx gennem producentens oplysninger om sikkerhed og håndtering af sårbarheder. Fortæl kunden, hvordan de to dele hænger sammen.

Spørg også jer selv, hvad I ville gøre, hvis producenten melder en alvorlig sårbarhed i værktøjet. Kunden vil gerne vide, hvor hurtigt I opdaterer, og om I kan lukke for værktøjets adgang til kunden, indtil opdateringen er på plads. Den procedure er ikke en del af testen, men den hører med i svaret, fordi den viser, hvordan I håndterer en svaghed, I ikke selv kan rette. → Test af noget, I ikke ejer

Et tænkt eksempel

En driftsleverandør overvåger og opdaterer servere for tre vandforsyninger og en række mindre virksomheder fra ét samlet værktøj. En af vandforsyningerne beder om dokumentation for, at værktøjet er sikret.

Leverandøren lader opsætningen teste. Testen viser, at alle teknikere kan se alle kunder i værktøjet, og at værktøjets webadgang kan nås fra internettet med adgangskode alene. Leverandøren indfører multifaktorlogin, begrænser teknikernes adgang til de kunder, de arbejder for, og flytter adgangen bag et adskilt administrationsnet. En ny afprøvning bekræfter ændringerne, og vandforsyningen får et resumé, der også nævner, at producentens egen tjeneste ikke var en del af testen.

Det skal I lade være med

At udelade værktøjet fra testen, fordi det er besværligt · det kan være det vigtigste.
At give alle teknikere adgang til alle kunder · rettighederne bør følge opgaverne.
At bruge administrationssystemerne til andet · forordningens punkt 11.4.2 lægger op til, at de kun bruges til administration.
At teste producentens tjeneste uden accept · følg producentens regler.
At love kunden, at værktøjet er sikkert · testen dækker kun det afprøvede.

Hvad kan og ikke kan konkluderes

En test af administrationsværktøjet kan vise, hvem der kunne bruge det, hvor langt det rakte, og om det var adskilt fra andre aktiviteter på testtidspunktet. Den kan ikke vise, at producentens produkt er uden svagheder, og den siger intet om, hvordan værktøjet bruges i det daglige. Kunden vurderer ud fra aftalen og sin risikovurdering, om dokumentationen er tilstrækkelig. → Test af MSP’ens fjernadministration

Tjekliste til testen af administrationsværktøjer

☐ Er alle værktøjer, I administrerer kunden med, listet?
☐ Er det klart, hvilke rettigheder hver tekniker har hos hvilke kunder?
☐ Kræver login til værktøjet mere end en adgangskode?
☐ Er værktøjet adskilt fra almindelig brug og fra internettet, hvor det er muligt?
☐ Er det afklaret, hvad producenten tillader af test?
☐ Er det beskrevet over for kunden, hvad testen dækker, og hvad den ikke dækker?