Tilgangsrevisjon

Tilgangsrevisjon er en systematisk gjennomgang av hvem som har hvilke rettigheter til en organisasjons informasjonssystemer og data, med mål om å sikre at tilgangene er nødvendige, riktige og i samsvar med policyer og regelverk. Revisjonen kartlegger brukerkontoer, gruppeoppføringer, privilegerte kontoer, tjenestekontoer og ekstern tilgang, samt tilganger til sensitive data og kritiske systemer. Hovedmålene er å opprettholde prinsippene om minst privilegium, behovsbasert tilgang og segregering av oppgaver, og å minimere risiko for misbruk, feil og datalekkasjer.

Tilgjengelighet og sikkerhet står i sentrum for en tilgangsrevisjon. Omfanget kan omfatte alle IT-systemer og data som behandler personopplysninger eller forretningskritisk informasjon. Revisjonen vurderer autentisering, autorisering og kontohåndtering, identifiserer overflødige eller utdaterte rettigheter, og kartlegger tilgangsmønstre som avviker fra policyer. Midlertidig tilgang, delte kontoer og leverandør- eller konsulenttilganger kan også inngå i vurderingen.

Prosessen inkluderer planlegging, innsamling av data fra identitets- og tilgangsstyringssystemer (IAM), analyse av rettighetsnivåer mot behov og roller, identifisering av avvik, og oppfølging som inkluderer fjerning eller justering av unødvendige rettigheter. Dokumentasjon og rapportering til ledelsen og relevante eiere er viktig, sammen med oppfølging og remediersoner for å lukke avvikene.

Tilgangsrevisjon er et verktøy for overholdelse og forbedring av sikkerhetsstyring, ofte knyttet til rammer som GDPR, ISO 27001, NIST og SOC 2. Rollen ligger vanligvis hos IT-sikkerhet, med samarbeid fra eier av data og forretningsområder.