Test af MSP’ens fjernadministration af mange kunder

Den adgang, en driftsleverandør bruger til at administrere sine kunder på afstand, er samtidig den adgang, der kan nå dem alle. For den enkelte NIS2-kunde er det en leverandøradgang ind i eget miljø. For jer er det summen af alle kunders leverandøradgange samlet ét sted. Spørgsmålet om test hviler derfor på to ting: kundens krav til kontrol med tjenesteudbyderes fjernadgang og jeres egen interesse i at vide, hvor langt en misbrugt adgang rækker.

Testen af fjernadministrationen er derfor ikke en test af én kundes sikkerhed, men af en fælles risiko. Teksten er ikke juridisk rådgivning.

Hvad kunden skal have styr på

Gennemførelsesforordning (EU) 2024/2690 gælder bestemte digitale udbydere, herunder udbydere af administrerede tjenester. Bilagets punkt 6.7.2, litra d, siger, at de relevante enheder fastlægger og anvender kontrolforanstaltninger for fjernadgang til net- og informationssystemer, herunder tjenesteudbyderes adgang. Litra h siger, at forbindelser mellem tjenesteudbydere og enhedens systemer kun tillades efter en anmodning om autorisering og i en bestemt periode, fx varigheden af en vedligeholdelsesaktivitet.

Andre NIS2-kunder er ikke bundet af forordningen, men kan bruge den til at formulere krav. Grundlaget for deres krav er NIS 2-lovens § 6, stk. 1, nr. 4, om forsyningskædesikkerhed. For jer betyder det, at kunden vil spørge, hvordan jeres adgang er begrænset, hvem der kan bruge den, og om den kan være lukket, når den ikke bruges. → Forsyningskædesikkerhed

Hvorfor den samlede adgang er noget for sig

Hver kunde ser kun sin egen ende af forbindelsen. Kunden kan teste, hvad jeres adgang kan inde hos kunden, men kunden kan ikke se, om den samme konto, det samme værktøj eller den samme server også rækker ind til andre. Det er kun jer, der kan få det billede, og kun en test af jeres side kan give det.

Den samlede risiko har tre kilder:

Fælles værktøj · én fjernadministrationsløsning med forbindelse til alle kunder. → Administrationsværktøjer
Fælles personer · teknikere, der arbejder for flere kunder fra samme konto eller samme arbejdsstation.
Fælles infrastruktur · servere, netværk og identitetsløsning hos jer, som forbindelserne går igennem.

Er I selv udbyder af administrerede tjenester efter lovens § 3, nr. 34, og omfattet af loven, gælder forordningens krav også for jeres egne systemer. Så er testen af fjernadministrationen en del af jeres egen pligt efter bilagets punkt 6.5 og ikke kun et svar til kunderne. Vurderingen af, om I er omfattet, ligger uden for testen. → MSP og NIS2

Hvad testen skal belyse

En test af fjernadministrationen bør formuleres som spørgsmål, kunderne kan forstå svaret på:

Rækkevidde · hvor mange kunder kan nås fra en enkelt teknikerkonto eller arbejdsstation, og er det nødvendigt?
Adskillelse · kan adgang til én kundes miljø bruges til at nå jeres administrationssystem eller en anden kunde?
Login · er adgangen til administrationsværktøjet beskyttet med flere faktorer, og gælder det alle veje ind? → Multifaktorlogin som NIS2-foranstaltning
Tidsbegrænsning · er forbindelser til kunderne kun åbne, når der arbejdes, som kunden kan have krav om?
Sporbarhed · kan det bagefter ses, hvilken person der gjorde hvad hos hvilken kunde?

Testen skal afprøve den del, I ejer: administrationsværktøjet, jeres konti og arbejdsstationer og vejen fra jer til kunderne. Forordningens punkt 11.4 om administrationssystemer, som skal begrænses, adskilles og beskyttes med autentificering og kryptering, giver kunden et sprog for det, kunden forventer at høre om. → Privilegerede konti hos MSP’en

Testen må ikke blive en hændelse

Fjernadministrationen er forbundet til produktionsmiljøer hos alle kunder. En test, der bruger værktøjet forkert, kan i værste fald udføre handlinger hos kunder, der intet ved om testen. Afgræns derfor testen, så den undersøger rækkevidden uden at udføre ændringer hos kunderne, og aftal med testeren, at testen stopper, hvis en kundes miljø kan nås uventet.

Overvej også, om testen kan foregå mod en eller to testkunder, som I selv opretter i værktøjet. Så kan adskillelsen afprøves uden at røre rigtige kunders miljøer, og resultatet kan alligevel sige noget om, hvordan værktøjet holder kunder adskilt.

Varsl kunderne, hvis testen kan påvirke deres drift, og vælg et tidspunkt, hvor I har folk klar. → Testvindue hos MSP’en

Hvad I viser kunden bagefter

Kunden har brug for et svar på sit eget spørgsmål, ikke for hele rapporten. Det kan være et kort resumé, der siger, hvad der blev testet, hvornår, hvad testen viste om adskillelsen mellem kunder og om tidsbegrænsning og sporbarhed, og hvad der er rettet. Fund om andre kunder hører ikke hjemme i resuméet. Har kunden krav om, at jeres adgang er tidsbegrænset, så svar præcist på det punkt, også hvis svaret er, at adgangen i dag er åben hele tiden, og at I har en plan for at ændre det.

Viser testen, at en enkelt konto kunne nå alle kunder, er det et fund, der angår dem alle. Så skal hver kunde have besked efter det, der er aftalt, og i samme form. → Fund, der rammer flere kunder

Et tænkt eksempel

En driftsleverandør bruger ét værktøj til fjernsupport og opdateringer hos 35 kunder. Testen viser, at teknikernes konti er beskyttet med flere faktorer, men at en servicekonto til opdateringer har adgang til alle kunder hele tiden og ikke kræver mere end en adgangskode. Leverandøren begrænser kontoens rettigheder, deler den op pr. kundegruppe og indfører godkendelse før brug. Kunderne får et resumé med fundet beskrevet i almindelige ord, rettelsen og datoen for en kontrol af rettelsen.

Det skal I lade være med

At lade hver kunde teste fjernadgangen alene · ingen af dem kan se den samlede rækkevidde.
At teste med en administratorkonto, ingen tekniker bruger · test med de rettigheder, der faktisk findes.
At glemme servicekonti og automatiske job · de kan række længere end personlige konti.
At lade testen udføre handlinger hos kunderne · rækkevidden kan vises uden indgreb.
At give kunderne hele rapporten · andre kunders forhold skal holdes ude.

Hvad kan og ikke kan konkluderes

En test af fjernadministrationen kan vise, hvor langt adgangen rakte, om kunderne var adskilt, og om login, tidsbegrænsning og sporbarhed virkede på testtidspunktet. Den kan ikke vise, at teknikerne bruger adgangen korrekt hver dag, eller at kundernes egne kontroller på deres side er i orden. Kunden vurderer ud fra sin aftale og risikovurdering, om dokumentationen er tilstrækkelig.