Evigvarende fagguide
Tilgangsstyring i hjemmetjenesten: Sikkerhet, roller og logging
Slik etablerer hjemmetjenesten rollebasert tilgang, sikker onboarding og logging rundt digitale nøkler.
Etabler en rollemodell
Skill mellom organisasjonseier, lokal administrator, tjenesteleder, installatør, support og sluttbruker. Hver rolle skal kunne utføre nødvendige oppgaver, men ikke mer.
Bruk grupper
Tilgangsgrupper kan organiseres etter sone, team, vakt, tjeneste eller geografi. Gruppene må ha tydelig eier og formål. Gamle grupper bør arkiveres.
Tidsavgrens midlertidige behov
Vikarer, studenter og leverandører trenger ofte tilgang i en bestemt periode. Automatisk utløp reduserer gamle rettigheter.
Onboarding og offboarding
Kontroller identitet, rolle, enhet og opplæring før aktivering. Ved rollebytte fjernes gamle rettigheter. Ved avslutning sperres konto, enhet og medium raskt.
Hva bør logges?
Vurder logging av brukerendringer, roller, gruppemedlemskap, tildeling og fjerning av tilgang, gyldighetsperioder, låsendringer, administratorhandlinger og relevante låshendelser.
Loggen bør vise tidspunkt, aktør, objekt og handling på en forståelig måte.
Logging krever oppfølging
Definer hvem som kontrollerer loggene, hvilke avvik som undersøkes, hvordan hendelser eskaleres, hvor lenge data lagres og hvordan de beskyttes.
Sikre administratorene
Bruk sterk autentisering, personlige kontoer, minste privilegium, regelmessig gjennomgang og tidsavgrenset utvidet tilgang.
Kontrolliste
- Roller er dokumentert
- Alle brukere har personlig identitet
- Midlertidig tilgang utløper
- Offboarding er testet
- Administratorer gjennomgås
- Hendelser logges og kontrolleres
- Personvern og lagringstid er vurdert
Konklusjon
Sikker tilgangsstyring er en kontinuerlig prosess. Teknologien støtter rutinene, men kommunen må definere ansvar, legitime behov og oppfølging.
Ofte stilte spørsmål
Må alle hendelser lagres?
Det må vurderes ut fra formål, risiko, teknologi og regelverk.
Kan support ha full tilgang?
Tilgang bør begrenses til behovet. Lesetilgang eller tidsavgrenset tilgang er ofte bedre.
Hvor ofte bør rettigheter kontrolleres?
Risikobasert. Kritiske roller og eksterne brukere bør vurderes oftere.