Passordhåndtering for bedrifter: slik bruker du en passordmanager

Gjenbruk av passord er en av de vanligste årsakene til at bedriftskontoer blir kompromittert. Én ansatt bruker samme passord på jobbadressen og en gammel nettbutikk – nettbutikken lekker, og plutselig har angripere tilgang til bedriftens systemer. En passordmanager løser dette problemet systematisk, og er et av de billigste og mest effektive sikkerhetstiltakene en norsk virksomhet kan innføre.

Hva er en passordmanager?

En passordmanager er en kryptert hvelv der alle passord lagres sentralt. Brukerne trenger bare å huske ett sterkt masterpassord. Verktøyet genererer, lagrer og fyller inn unike, komplekse passord for hvert enkelt system.

For bedrifter finnes det egne «business»- eller «teams»-versjoner som gir administratorer mulighet til å:

• Opprette og slette brukere sentralt, for eksempel når en ansatt slutter
• Dele tilganger til delte kontoer (sosiale medier, fakturasystemer) uten å eksponere selve passordet
• Håndheve passordpolicyer – minimumslengde, kompleksitet og rotasjonskrav
• Se aktivitetslogger for å oppdage uvanlig påloggingsatferd

Hvorfor er dette spesielt viktig for .no-domener og nettsted?

Et .no-domene registrert gjennom Vymo er knyttet til en kontoinnlogging. Dersom kontoen kapres – enten via gjenbrukte passord eller phishing – kan en angriper endre DNS-innstillinger, overføre domenet eller manipulere e-postflyten til hele bedriften. Du kan lese mer om denne risikoen i artikkelen vår om domenekaping og hvordan du forhindrer det .

Et sterkt, unikt passord kombinert med to-faktor-autentisering er det mest effektive forsvaret mot kontoovertakelse.

Velge riktig løsning

De mest brukte bedriftsløsningene i Norden inkluderer 1Password Teams/Business, Bitwarden for Business og Keeper Business. Bitwarden skiller seg ut som et åpen kildekode-alternativ som kan driftes on-premise for virksomheter med strenge datakrav.

Viktige kriterier ved valg:

Innføring i praksis

1. Start med IT og ledelse. Avtal en passordpolicy: minimum 16 tegn, ingen gjenbruk, og ingen deling av passord via e-post eller chat.

2. Migrer eksisterende passord. De fleste passordmanagere tilbyr importfunksjon fra nettlesere og regneark. Ta høyde for at mange ansatte har lagret passord i Chrome eller Edge.

3. Tren de ansatte. En god passordmanager er ubrukelig hvis de ansatte ikke bruker den. En kort intern opplæringsøkt og en enkel rutinebeskrivelse øker etterlevelsen betydelig.

4. Håndter avgang. Når en ansatt slutter, skal kontoen deaktiveres umiddelbart og delte passord som vedkommende hadde tilgang til, roteres. Dette er en prosess mange bedrifter undervurderer.

5. Gjennomgå jevnlig. Kjør kvartalsvise revisjoner av hvem som har tilgang til hva. Fjern tilganger som ikke lenger er nødvendige (prinsippet om minste privilegium).

Passordpolicyen bør også dekke domenekontoen

Mange norske bedrifter glemmer at tilgangen til domeneregistraren er like kritisk som tilgangen til bedriftens e-post eller regnskapssystem. Sørg for at kontoen hos Vymo:

• Har et unikt passord lagret i bedriftens passordmanager
• Er beskyttet med to-faktor-autentisering
• Kun er tilgjengelig for de ansatte som faktisk trenger å administrere DNS, domenefornyelse og SSL-sertifikater

Et .no-domene er bedriftens digitale identitet. Å sikre tilgangen til det bør behandles med samme alvor som tilgangen til bedriftens bankkonto.

Vanlige feil å unngå

• Deling av masterpassordet via e-post eller Slack – bruk verktøyets interne delingsfunksjon
• Ingen MFA på passordmanageren selv – en passordmanager uten to-faktor er bare ett hakk bedre enn ingenting
• Manglende ofboardingrutine – avsluttede arbeidsforhold er en klassisk sikkerhetsrisiko
• Lagring av passord i nettleseren parallelt med passordmanageren – velg én kilde til sannhet

Kom i gang

Å innføre en passordmanager krever ikke store investeringer. For en bedrift med ti ansatte koster de fleste løsninger mellom 30 og 60 kroner per bruker per måned. Gevinstene – redusert risiko for datainnbrudd, enklere onboarding og bedre kontroll – overstiger kostnaden mange ganger.

Se også vår guide om domenesikkerhet for en helhetlig oversikt over hva du bør ha på plass for å beskytte din norske nettvirksomhet.