Jeres supportadgang til kunden: sådan lader I den teste

Når I kan logge ind hos kunden for at hjælpe, opdatere eller fejlsøge, har I en vej ind i kundens net, som kunden ikke selv betjener. For en NIS2-kunde kan den adgang være det første, der bliver spurgt til, fordi et misbrug af den rammer kunden direkte. En test af supportadgangen skal derfor vise, at kun de rette personer kan bruge den, at den er åben, når den skal, og at den ikke rækker længere end aftalt.

Testen kræver, at I og kunden er enige om, hvem der ejer hvilken del af adgangen, og hvem der giver tilladelse til hvad. Teksten er ikke juridisk rådgivning.

Hvad reglerne siger om leverandørers adgang

Gennemførelsesforordning (EU) 2024/2690 gælder direkte for bestemte digitale udbydere, fx cloud, datacentre og administrerede tjenester, og kan bruges af andre NIS2-kunder som skabelon. Flere punkter i bilaget rammer netop leverandørens adgang:

Fjernadgang · punkt 6.7.2, litra d, kræver kontrolforanstaltninger for fjernadgang, herunder tjenesteudbyderes adgang.
Tidsbegrænsning · punkt 6.7.2, litra h, siger, at forbindelser mellem tjenesteudbydere og enhedens systemer kun tillades efter en anmodning om autorisering og i en bestemt periode, fx under en vedligeholdelsesaktivitet.
Omfang og varighed · punkt 11.2.2, litra d, beder enheden begrænse tredjeparters adgangsrettigheder i omfang og varighed.
Stærkt login · punkt 11.7 handler om flere autentificeringsfaktorer i forhold til aktivets klassifikation.

SAMSIK’s vejledning om foranstaltninger, afsnit 10.a, anbefaler med udgangspunkt i risikovurderingen multifaktorlogin ved fjernadgang og til administrative systemer. ENISA’s tekniske vejledning, som ikke er bindende, anbefaler at godkende, logge og udføre fjernvedligeholdelse på en måde, der forhindrer uautoriseret adgang. → Multifaktorlogin som NIS2-foranstaltning

Adgangen har tre dele

En supportadgang kan bestå af tre dele, og det er nyttigt at teste dem hver for sig:

Jeres ende · de konti, maskiner og eventuelle værktøjer, jeres medarbejdere bruger til at komme ind.
Forbindelsen · den vej, adgangen går, og hvordan den åbnes og lukkes.
Kundens ende · det punkt i kundens net, adgangen lander, og det, den giver adgang til derfra.

Jeres ende er jeres ansvar og kan testes på jeres eget initiativ. Kundens ende er kundens system, og den kræver kundens tilladelse. Forbindelsen ligger imellem og ejes måske af en tredjepart, fx producenten af det værktøj, I bruger.

Nogle kunder stiller selv adgangsløsningen til rådighed, så I logger ind gennem kundens eget system. Så ejer kunden både forbindelsen og landingspunktet, og jeres del af testen handler mest om jeres konti og de maskiner, I logger ind fra. Andre kunder lader jer installere jeres eget værktøj hos dem. Så er I medansvarlige for en del af kundens miljø, og testen bør dække den del grundigere. → Afgrænsning mod kundens eget miljø

Hvad testen kan belyse

En test af supportadgangen kan blandt andet belyse:

Hvem kan logge ind · om kun navngivne medarbejdere kan bruge adgangen, og om multifaktorlogin er krævet.
Hvornår adgangen er åben · om den kun åbnes efter anmodning og lukkes igen, som aftalt.
Hvor langt den rækker · hvilke systemer hos kunden der kan nås, når man først er inde.
Hvad der bliver registreret · om brug af adgangen logges, og om loggen kan knyttes til en person.
Hvad der sker ved fratrædelse · om en tidligere medarbejders adgang faktisk er lukket.

Rækkevidden kan være det vigtigste spørgsmål for kunden. En adgang, der kun skulle give adgang til jeres system, men som i praksis giver frit udsyn over kundens net, er et fund, der angår både jer og kunden.

Glem heller ikke de maskiner, jeres teknikere arbejder fra. Hvis en tekniker kan nå flere kunder fra samme bærbare, er den maskine en del af adgangen til dem alle, og kunden vil gerne vide, hvordan den er beskyttet. → Adgangskontrol og privilegerede konti

Sådan aftaler I testen med kunden

Før testen skal kunden godkende den del, der berører kundens net. Det er en god idé at sende en kort beskrivelse af:

Formålet · at afprøve, om supportadgangen lever op til det aftalte.
Omfanget · hvilke af de tre dele der indgår, og hvor testen stopper.
Tidspunktet · hvornår testen finder sted, og hvem hos kunden der er kontaktperson.
Kundens overvågning · om kundens egen overvågning skal kende til testen eller ej.
Resultatet · hvordan fund, der vedrører kundens ende, deles med kunden.

Kunden kan vælge at teste kundens ende selv eller med sin egen tester. Så er det vigtigt, at testene passer sammen, så ingen del falder mellem to stole. Hubbens artikler om leverandøradgang beskriver emnet fra kundens side på penetrationtest.dk.

Et tænkt eksempel

En leverandør af et adgangskontrolsystem til en havns bygninger har en fjernadgang til havnens server for at hjælpe med opdateringer. Havnen beder om dokumentation for, at adgangen er sikker.

Leverandøren tester sin egen ende: konti, multifaktorlogin og den maskine, teknikerne bruger. Sammen med havnens IT aftaler leverandøren, at testeren må afprøve, hvad adgangen rækker til, når den er åben, i et aftalt tidsrum. Testen viser, at adgangen står åben hele tiden, selv om aftalen siger, at den kun åbnes efter anmodning. Den viser også, at den når flere servere end adgangskontrollens. Havnen og leverandøren aftaler en ny procedure for åbning og en snævrere adgang, og en ny afprøvning bekræfter ændringen. Resultatet sendes til havnen sammen med den nye procedure, så havnen kan vise, at leverandørens adgang er gennemgået.

Det skal I lade være med

At teste kundens ende uden skriftlig tilladelse · det er kundens system.
At bruge fælles konti til support · så kan loggen ikke vise, hvem der var inde.
At lade adgangen stå åben hele tiden · hvis aftalen siger noget andet, er det et fund.
At glemme værktøjets egen leverandør · testen af en tredjeparts tjeneste kan kræve dennes accept.
At holde fund fra kunden · fund i kundens ende skal kunden kende.

Hvad kan og ikke kan konkluderes

En test af supportadgangen kan vise, hvem der kunne bruge den, hvornår den var åben, og hvor langt den rakte på testtidspunktet. Den viser ikke, at adgangen bruges korrekt hver dag, og den siger intet om andre leverandørers adgange til kunden. Om adgangen lever op til kundens krav, vurderer kunden ud fra aftalen og egen risikovurdering. → Delte konti og fælles adgange