Hvis en medarbejder i kommunen kan tilgå “lidt for meget” i et fagsystem, er det sjældent et enkeltstående problem — det er en systemisk risiko, der kan blive dyr i både drift, omdømme og borgernes tillid.
I denne artikel får du en praktisk, kommunal vinkel på, hvordan du reducerer risiko gennem adgangsstyring, procedurer, awareness og bedre kontrol med data og systemer. Du får konkrete greb, typiske faldgruber og realistiske pejlemærker for indsats, prioritering og omkostninger, baseret på det, der typisk fungerer i en kommunal hverdag med mange systemer, mange roller og høj udskiftning i opgaver.
Tidligt: Adgangsstyring er den disciplin, hvor man sikrer, at brugere kun får de rettigheder, de har brug for, når de har brug for dem, og at rettigheder fjernes igen. Det betyder noget, fordi langt de fleste alvorlige hændelser enten starter med misbrug af legitim adgang (stjålne credentials, for brede rettigheder) eller eskalerer, fordi adgangen ikke er afgrænset.
Hvorfor kommuner er særligt udsatte: kompleksitet, drift og mange “små” undtagelser
Kommuner har en risikoprofil, der adskiller sig fra mange private virksomheder: I har mange fagsystemer (ofte leverandørdrevne), mange brugergrupper (forvaltninger, institutioner, vikarer, eksterne samarbejdspartnere), og I håndterer store mængder persondata og følsomme oplysninger. Samtidig er driften afhængig af, at medarbejdere kan komme til data hurtigt, og at systemer fungerer på tværs.
Det skaber en hverdag, hvor undtagelser bliver normalen: “Giv lige adgang, så vi kan få løst sagen”, “hun skal også kunne se de sager”, “vi fjerner det senere”. Risikoen opstår, når undtagelser ikke bliver tidsbegrænsede, dokumenterede og kontrollerede. Over tid ender I med rettighedsophobning, uklare ejerskaber og manglende overblik over, hvem der kan hvad.
Adgangsstyring i praksis: fra “alle kan alt” til mindst mulige rettigheder
Den mest effektive risikoreduktion i kommunale it-miljøer kommer ofte fra noget så jordnært som at stramme op på adgangene. Ikke fordi det er “sexy”, men fordi det reducerer både sandsynlighed og konsekvens, hvis et login kompromitteres.
Principper der virker: RBAC, least privilege og “need-to-know”
Start med at gøre adgange til et styringsområde, ikke en helpdesk-opgave. Det betyder, at I arbejder med roller og standardpakker af rettigheder (RBAC), og at I konsekvent bruger least privilege: brugeren skal kunne løse sin opgave — ikke alt det, der “kunne være rart”. Kombinér med need-to-know for følsomme data, så adgang til fx børnesager, sociale sager eller personaleoplysninger kræver en klar begrundelse.
Et konkret eksempel: Hvis en sagsbehandler i et ydelsessystem har mulighed for både at oprette, godkende og udbetale uden kontrolspor og adskillelse, har I et klassisk “to-person rule”-problem. En rolleopdeling, hvor godkendelse og udbetaling kræver adskilte rettigheder, reducerer risikoen markant — også ved interne fejl.
Privilegeret adgang: gør admin-rettigheder sjældne og kortvarige
Kommunale miljøer har ofte flere “uformelle administratorer” end man tror: superbrugere i institutioner, lokale it-kontakter, eksterne konsulenter og leverandører. Her bør I indføre privileged access-disciplin: admin-konti skal være adskilt fra normale brugerkonti, beskyttet med stærk multifaktor, og helst tildeles tidsbegrænset (just-in-time) i stedet for permanent.
Hvis I ikke har teknisk mulighed for fuld just-in-time, kan I stadig komme langt med en enkel praksis: særskilte admin-konti, ingen daglig mail/Teams på admin-kontoen, og kvartalsvis gennemgang af alle med administrative rettigheder.
Procedurer der reducerer risiko: onboarding, offboarding og ændringer uden kaos
Mange kommuner har fine politikker, men risikoen lever i overgangen: når folk starter, skifter rolle, går på barsel, eller stopper. Her opstår “huller”, hvor adgange ikke følger virkeligheden.
Onboarding/offboarding som kontrolpunkt, ikke formalitet
Onboarding bør være standardiseret og rollebaseret: Hvilke systemer, hvilke datakategorier, hvilke godkendelser? Offboarding bør være hurtigere end mange tror nødvendigt: Når en medarbejder stopper, er “vi fjerner adgangen i næste uge” en invitation til misbrug eller fejl. En praktisk tommelfingerregel i kommunal drift er, at de fleste adgange bør lukkes samme dag som sidste arbejdsdag, og at delte postkasser og fællesfunktioner håndteres særskilt.
Et hyppigt overset punkt er interne rokader: medarbejdere skifter funktion, men beholder gamle rettigheder. Det er en af de største kilder til rettighedsophobning, fordi ingen “mærker” det i dagligdagen.
Ændringsstyring: når en lille systemændring bliver en sikkerhedshændelse
Ændringer i fagsystemer, integrationer og brugeropsætninger kan skabe uforudsete adgangsveje. Derfor bør I have en letvægts-ændringsproces, hvor ændringer der påvirker rettigheder, logning eller datadeling altid vurderes. Det behøver ikke være tungt, men det skal være konsekvent: Hvem godkender? Hvad testes? Hvordan rulles tilbage?
Awareness der flytter adfærd: fra e-læring til konkrete mikrovaner
Awareness er ofte undervurderet, fordi det kan føles som “plakatkampagner”. Men i kommuner, hvor mange hændelser starter med phishing, svage adgangskoder eller deling af data i forkerte kanaler, er adfærd en stor del af risikobilledet.
Den bedste awareness er tæt på hverdagen: korte budskaber, gentagelse og tydelige “hvad gør jeg nu?”-anvisninger. Sigt efter mikrovaner som: tjek af afsender, stop ved usædvanlige betalingsanmodninger, og korrekt håndtering af persondata i mail og dokumentdeling.
- Gør det nemt at gøre det rigtige: én synlig kanal til at rapportere mistænkelige mails og hændelser.
- Brug korte cases fra jeres egen drift (anonymiseret): “Sådan så den ud, sådan reagerede vi.”
- Træn ledere og nøglepersoner: de er ofte mål for kompromittering og “CEO fraud”-lignende mønstre.
- Indfør faste rutiner: 2 minutters sikkerhedspunkt på teammøder hver måned.
- Skab klare regler for deling: hvornår må man bruge mail, hvornår skal det være sikker kanal?
- Test med phishing-simuleringer med læring, ikke udskamning.
En typisk fejl er at tro, at awareness “løser det”, hvis teknikken halter. Awareness virker bedst, når den understøttes af tekniske kontroller: multifaktor, begrænsede rettigheder og gode standardindstillinger.
Kontrol med data: klassificering, dataminimering og styr på deling
Kommunale data er værdifulde og ofte følsomme. Derfor skal I kunne svare på: Hvilke data har vi? Hvor ligger de? Hvem må tilgå dem? Og hvordan opdager vi, hvis de flytter sig forkert?
Start pragmatisk med 3–4 dataklasser (fx offentlig, intern, fortrolig, følsom) og bind dem til konkrete regler: hvor må data lagres, hvordan må de deles, og hvilke sikkerhedskrav gælder. Kombinér med dataminimering: Hvis et regneark med CPR-numre ikke er nødvendigt, så skal det ikke eksistere. Det lyder banalt, men i praksis er “skyggekopier” på fællesdrev, i mailtråde og på lokale enheder en hyppig årsag til brud.
Et konkret greb er at identificere 10–20 “kritiske datasæt” på tværs af forvaltninger (fx udsatte borgeres sager, børnesager, personaleoplysninger, økonomi/udbetaling) og sætte målrettede kontroller på dem først: begrænsede grupper, skærpet logning, og tydelig ejer (dataansvarlig i praksis, ikke kun på papiret).
Kontrol med systemer: logning, overvågning og hurtig reaktion når noget afviger
Du kan ikke styre det, du ikke kan se. Mange kommuner logger, men bruger ikke loggene aktivt, eller har for mange systemer uden fælles overblik. En realistisk tilgang er at prioritere de systemer, hvor konsekvensen er størst: identitetsplatformen, mail/office-miljøet, fjernadgang, centrale fagsystemer og økonomisystemer.
- Definér hvad der er “mistænkeligt”: fx login fra nye lande, mange fejlede loginforsøg, masse-download, ændring af udbetalingsoplysninger.
- Sørg for at hændelser lander et sted, hvor nogen reagerer: vagtordning eller tydelig ansvarskæde.
- Test reaktionen: Kan I faktisk spærre en konto hurtigt? Kan I nulstille sessions? Kan I stoppe en integration?
- Hold styr på leverandøradgang: hvem har adgang, hvornår, og hvordan kontrolleres det?
- Brug “minimum viable monitoring”: hellere 10 gode alarmer end 200, der ignoreres.
Her bliver risikostyring konkret: Hvis I kan opdage og stoppe et kompromitteret login inden for minutter eller få timer, falder konsekvensen ofte drastisk sammenlignet med dage eller uger. Det er forskellen på et afværget forsøg og en større hændelse med driftspåvirkning og anmeldelsespligt.
Prioritering og økonomi: hvad koster det, og hvor starter man?
Spørgsmålet “hvad koster det?” er legitimt, fordi kommuner balancerer sikkerhed med kernevelfærd. Omkostningerne afhænger af modenhed og systemlandskab, men der er et mønster: De første 60–80% risikoreduktion kan ofte opnås med proces- og konfigurationsarbejde, mens de sidste procenter kræver tungere investeringer.
Hvis du skal prioritere, så start med identitet og adgang: multifaktor på alle relevante konti, oprydning i rettigheder, og en robust offboarding-proces. Dernæst datakontrol på kritiske datasæt og minimumsovervågning på de vigtigste systemer. Det er også her, du typisk får bedst forhold mellem effekt og indsats.
For at sætte det ind i en risikosammenhæng, kan det hjælpe at arbejde med scenarier: Hvad koster en uges nedetid i et centralt fagsystem i tabt produktivitet og ekstraarbejde? Hvad koster en større datalæk i tidsforbrug, juridisk håndtering og genopretning af tillid? Den type regnestykker gør det lettere at argumentere for investeringer, uden at det bliver til skræmmekampagner.
Hvis du vil dykke mere ned i risikobilledet og de typiske årsager til hændelser, kan du læse mere om cyberrisiko i kommuner og bruge det som inspiration til at strukturere jeres egen risikovurdering.
Typiske faldgruber i kommunal adgangsstyring og hvordan du undgår dem
Selv gode intentioner kan give dårlige resultater, hvis implementeringen ikke passer til virkeligheden. Her er faldgruber, jeg ofte ser i kommunale miljøer, og hvad der typisk virker i stedet.
- “Vi laver en stor rettighedsoprydning én gang”: uden løbende governance vokser problemet tilbage. Løsning: kvartalsvise reviews af kritiske roller og årlig recertificering.
- For mange specialroller: RBAC bliver uoverskueligt, og ingen ved, hvad rollerne betyder. Løsning: hold jer til få standardroller og håndtér undtagelser tidsbegrænset.
- Offboarding der afhænger af manuelle mails: der opstår forsinkelser og fejl. Løsning: bind offboarding til HR-processen og automatisér hvor muligt.
- Leverandøradgange uden kontrol: “de skal jo kunne fejlrette”. Løsning: tidsbegrænset adgang, logning og klare aftaler om fjernadgang.
- Awareness uden rammer: medarbejdere vil gerne gøre det rigtige, men ved ikke hvordan. Løsning: konkrete instrukser, standardskabeloner og en tydelig eskalationsvej.
- Logning uden handling: alarmer drukner. Løsning: få, vigtige use cases og regelmæssig tuning.
En særlig kommunal udfordring er, at mange systemer ikke er designet med moderne adgangsstyring som standard. Her er det vigtigt at være ærlig om begrænsningerne og kompensere: stærkere proceskontrol, tættere leverandørstyring og ekstra overvågning på de systemer, der ikke kan “låses ned” på samme måde som resten.
En handlingsplan på 30–90 dage: sådan kommer du i gang uden at gå i stå
Det, der ofte stopper kommunale sikkerhedsinitiativer, er omfanget: “Vi skal også lige have alle systemer med.” I stedet: vælg en afgrænset indsats, mål effekten, og udvid.
På 30 dage kan I typisk nå at skabe overblik over de vigtigste systemer og konti, få styr på de mest kritiske rettigheder og etablere en enkel governance. På 60–90 dage kan I implementere faste reviews, forbedre offboarding og få de første monitoreringsalarmer i drift.
- Udpeg 5–10 kritiske systemer og 3–5 kritiske roller (fx økonomi, sagsbehandling, it-admin).
- Indfør eller stram multifaktor for alle konti med høj risiko og fjernadgang.
- Gennemfør en rettighedsreview på de kritiske roller og fjern ubegrundede rettigheder.
- Standardisér onboarding/offboarding med klare ejere og deadlines.
- Definér 10 konkrete alarmer/use cases til logning og aftal, hvem der reagerer.
- Lav en kort awareness-indsats målrettet de mest sandsynlige angrebsveje (phishing, deling, udbetalingsændringer).
Best practice er at måle på få, tydelige indikatorer: hvor mange konti uden multifaktor, hvor mange med admin-rettigheder, hvor mange “gamle” brugere uden aktiv ansættelse, og hvor hurtigt I kan spærre en konto ved mistanke. Det er lavpraktisk, men det giver styring og gør fremskridt synlige for ledelsen.
