Integrering av riskbedömning

Antagandet

Ett årligt penetrationstest utan anmärkningar och kvartalsvisa sårbarhetsskanningar betyder att identitetssäkerheten är under kontroll. När rapporten väl är inlämnad finns inget i den vanliga metodiken som kontrollerar vad som ändras efteråt.

Verkligheten

Identitetsrisk är kontinuerlig, och de flesta incidenter börjar i glappet mellan två bedömningar. Behörigheter byggs på när roller ändras, konsulter förblir aktiva efter att de slutat och autentiseringsinställningar ändras efter uppdateringar. Inget av detta utlöser ett larm, eftersom varje enskild förändring ser legitim ut.

Målarkitekturen

Ersätt statiska bedömningar med kontinuerlig övervakning och automatiserade kontroller av identiteternas livscykel. Periodiska bedömningar behövs fortfarande för oberoende granskning och regelefterlevnad. Målet är att övervaka kontinuerligt mellan dem och rätta avvikelser innan de blir en angreppsyta.

Införande i fem steg

1. Inventera åtkomsten: Exportera en fullständig karta över vilka användare som har åtkomst till vad från identitetsleverantören (IdP).

2. Koppla ihop med HR: Koppla HR-systemets livscykelhändelser till identitetsleverantören och börja med avslutade anställningar.

3. Sätt en baslinje för högriskgrupper: Definiera baslinjer för administratörer och för användare med åtkomst till ekonomisk eller känslig information.

4. Granska behörigheterna en gång: Kör en samlad behörighetsgranskning för att ta bort överflödiga behörigheter som samlats på hög.

5. Utöka säkerhetsnycklarna: Utöka nyckelbaserad inloggning från privilegierade användare till resten av personalen.

Källor

• HYPR / S&P Global, State of Passwordless Identity Assurance 2026

• Syndis, 2025