Driftsleverandøren, ERP-leverandøren og firmaet bag adgangskontrollen har ofte en vej ind i virksomhedens systemer, som de selv har oprettet og selv bruger. En test af leverandøradgang skal først finde alle disse veje og derefter besvare fire spørgsmål: hvem der bruger dem, hvornår de er åbne, hvor langt de rækker, og om de bliver lukket, når samarbejdet ophører.
Adgangene er nødvendige. Uden dem kan leverandørerne ikke hjælpe, når noget går galt. Men de er også veje ind, som virksomheden ikke selv kontrollerer i det daglige, og som kan blive glemt, når en leverandør skiftes ud. Testens formål er at gøre dem synlige og sammenholde dem med de aftaler, virksomheden har.
Adgange, andre har oprettet
Medarbejdernes fjernadgang er som regel kendt, fordi IT-afdelingen har sat den op og bruger den hver dag. Leverandørernes adgange er anderledes. De er ofte installeret af leverandøren selv, i forbindelse med et projekt eller en supportsag, og dokumentationen ligger hos leverandøren.
Det gør dem til et selvstændigt testområde. En test af fjernadgang, der kun ser på medarbejdernes løsning, kan overse dem helt. Fjernadgang i bredere forstand behandles i → Fjernadgang og VPN i penetrationstesten. Her er vinklen de adgange, som tredjeparter står for.
NIS2-direktivet nævner sikkerhed i forsyningskæden, herunder forholdet til direkte leverandører, blandt de foranstaltninger, omfattede enheder skal tage stilling til. Det er ikke et krav om en bestemt test, men det viser, at leverandørernes adgang er en del af det samlede billede. Om og hvordan direktivet gælder for den enkelte virksomhed, skal vurderes særskilt.
Find alle leverandøradgange
Det første skridt er en oversigt. Den laves bedst sammen med driften og de ansvarlige for de enkelte systemer.
- Driftsleverandøren · adgang til servere, net og brugeradministration.
- Systemleverandører · adgang til ERP-systemet, lønsystemet eller kundeportalen for support og opdateringer.
- Udstyrsleverandører · adgang til printere, telefoni, adgangskontrol eller produktionsanlæg.
- Konsulenter · adgang givet til et projekt, som måske er afsluttet.
For hver adgang bør oversigten vise, hvilken leverandør der bruger den, hvilke systemer den giver adgang til, hvordan den er etableret, og hvem hos virksomheden der er ansvarlig for den. Hvis ingen er ansvarlig, er det et fund i sig selv.
Oversigten er nyttig, uanset om testen gennemføres. Mange virksomheder opdager, at der findes adgange, som ingen længere kan forklare.
Fast åben eller åbnet efter behov
Nogle leverandøradgange står åbne hele tiden, så leverandøren kan logge ind, når det passer. Andre åbnes kun, når virksomheden har godkendt en konkret opgave, og lukkes igen bagefter.
Forskellen har stor betydning for risikoen. Bestillingen kan spørge, om adgangene faktisk fungerer, som virksomheden tror. Hvis en adgang efter aftalen kun skal være åben efter godkendelse, kan testen undersøge, om den også er lukket resten af tiden. Spørgsmålet handler om virksomhedens egen kontrol, ikke om leverandørens arbejde.
Hvis login til leverandøradgangene skal kræve tofaktor, hører det også med. Leverandøradgange er et klassisk sted for undtagelser. → Tofaktorlogin i testen
Hvem hos leverandøren er brugeren?
En leverandøradgang bruges af mennesker hos leverandøren. Nogle gange har hver medarbejder sin egen konto, andre gange deler flere medarbejdere en fælles konto. Med en fælles konto kan virksomheden ikke se, hvem der har været logget ind, og en medarbejder, der forlader leverandøren, kan stadig kende adgangsoplysningerne.
Bestillingen kan spørge, om leverandøradgangene er personlige, og om de bliver registreret, så virksomheden kan se, hvornår de er brugt. Testen kan påvise, hvordan adgangen er sat op, men den kan ikke se, hvordan leverandøren håndterer sine egne medarbejdere. Det er et spørgsmål til leverandøren, og svaret kan med fordel kræves skriftligt og knyttes til kontrakten. Aftalen bør også sige, hvordan virksomheden får besked, når en medarbejder med adgang forlader leverandøren. → Leverandøren siger, at alt er sikkert
Rækkevidden efter login
Når en leverandør er logget ind, skal adgangen passe til opgaven. En leverandør, der vedligeholder ERP-systemet, har sjældent brug for at nå medarbejdernes computere eller lønsystemet. Spørgsmålet til testen er, om adgangen er begrænset til det nødvendige.
For at undersøge det skal testeren have adgang til at bruge leverandørforbindelsen med de rettigheder, en leverandør har. Det kræver leverandørens accept, fordi forbindelsen ofte involverer leverandørens udstyr eller løsning. Testen bør foregå fra virksomhedens side af forbindelsen, og leverandørens egne systemer er ikke en del af den, medmindre leverandøren selv har givet lov. Om nettene er adskilt, hører under → Netværkssegmentering.
Driftsleverandøren skal i alle tilfælde kende til testen og have en kontakt klar. → Driftsleverandøren og testen
Når samarbejdet ophører
En leverandøradgang skal lukkes, når leverandøren ikke længere har en opgave. Det sker ikke altid. Adgangen er måske oprettet af leverandøren selv, og ingen hos virksomheden har haft den på en liste.
Testen kan spørge, om adgange fra tidligere leverandører stadig virker, og om lukningen er en fast del af virksomhedens rutine. Spørgsmålet er særlig relevant ved skift af driftsleverandør, hvor den gamle og den nye leverandør kan have adgang samtidig i en periode. → Pentest ved leverandørskifte
Hvis testen skal undersøge, om leverandøren selv opdager og reagerer på aktivitet, er det et andet formål, der kræver sin egen aftale med en ansvarlig hos leverandøren, som kan sikre, at kun få kender til den. → Skjult test for leverandøren
Det skal I lade være med
- At teste medarbejdernes fjernadgang alene · leverandøradgangene er ofte oprettet uden om den.
- At bestille uden en oversigt · find adgangene sammen med driften, før scope skrives.
- At antage, at en adgang er lukket · kontroller, at adgange efter behov faktisk er lukket resten af tiden.
- At acceptere fælles konti uden spørgsmål · de gør det umuligt at se, hvem der har været logget ind.
- At teste leverandørens systemer uden lov · testen hører til på virksomhedens side.
- At glemme tidligere leverandører · adgange fra afsluttede samarbejder skal lukkes og kontrolleres.
Hvad kan og ikke kan konkluderes
En test kan vise, hvilke leverandøradgange der fandtes, hvordan de fremstod udefra, og hvad de rakte til med de rettigheder, der indgik. Den kan pege på adgange, der står åbne, er bredere end nødvendigt eller burde være lukket.
Den kan ikke vise, hvordan leverandøren beskytter sine egne systemer og medarbejdere, og den kan ikke finde adgange, som hverken virksomheden eller testen kender til. En adgang, der oprettes efter testen, er ikke omfattet.
Tjekliste til leverandøradgang
- ☐ Findes der en oversigt over alle leverandøradgange og deres ansvarlige?
- ☐ Er det beskrevet, hvilke adgange der står åbne, og hvilke der åbnes efter behov?
- ☐ Er det afklaret, om adgangene er personlige?
- ☐ Har de berørte leverandører accepteret testen?
- ☐ Er rækkevidden efter login med som spørgsmål?
- ☐ Er adgange fra tidligere leverandører kontrolleret?
Kilder
- NIS2-direktivet (EU) 2022/2555, artikel 21: foranstaltninger til styring af cybersikkerhedsrisici, herunder sikkerhed i forsyningskæden.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Pentest ved leverandørskifte · Netværkssegmentering
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
