tilgangsrevurdering

Tilgangsrevurdering er en systematisk gjennomgang av hvem som har tilgang til hvilke systemer og data, og om disse tilgangene fortsatt er i samsvar med brukerens behov og rolle. Begrepet brukes ofte i IT-sikkerhet og personvernarbeid, og er vanlig i både offentlige og private virksomheter.

Omfanget kan omfatte brukerkontoer, grupper, applikasjoner og privilegerte kontoer. Dataeiere og linjeledere har ansvar for å vurdere behovet for tilganger og godkjenne endringer som følger av rollen eller organisasjonsendringer.

Prosessen innebærer planlegging og kartlegging av dagens tilgang, identifisering av unødvendige eller overdrevne rettigheter, vurdering av behov basert på jobbfunksjon og signering av nødvendige endringer av dataeiere. Deretter oppdateres tilgangsrettigheter og beslutninger dokumenteres, med rapportering og arkivering for revisjon. Revisjonen bør gjennomføres regelmessig og ved relevante hendelser som ansettelse, avgang eller rolleendring.

Betydning for styring og samsvar: tilgangen bør begrenses til minste nødvendige privilegier, og etterlevelse av personopplysningsloven og GDPR må dokumenteres, spesielt der tilganger involverer personopplysninger.

Verktøy og metoder: bruk av identitets- og tilgangsstyringssystemer (IAM), rollebasert tilgangsstyring (RBAC) og attribusjonsbasert tilgangsstyring (ABAC), samt privilegert tilgangsstyring (PAM) for enkelte kontoer.

Utfordringer og gevinster: prosessen kan være ressurskrevende og risikofylt ved utydelte roller, men korrekt gjennomført gir bedre sikkerhet, oversikt og samsvar.