IAM för företag: rätt person, rätt behörighet, hela vägen

IAM, identitets- och åtkomsthantering, avgör vem som får logga in i företagets IT och vad varje person kommer åt när den väl är inne. Hos Nod är det punkt ett av allt vi gör, av en enkel anledning: går det inte att lita på inloggningen spelar resten av säkerheten mindre roll.

Det är sällan dramatiskt. Det handlar om MFA på alla konton, om att den som slutade i våras inte fortfarande kan läsa mejlen och om att ingen är administratör "för säkerhets skull".

Vad är IAM?

IAM är styrningen av identiteter och åtkomst: att varje person har ett eget konto, bevisar vem den är när den loggar in och bara kommer åt det rollen kräver. I de flesta företag som använder Microsoft 365 sitter det i Microsoft Entra ID, Microsofts molntjänst för identitet och åtkomst. Varje Microsoft 365-miljö är också en Entra-miljö, så verktyget har du redan. Frågan är hur det är inställt. Begreppen förklaras närmare i guiden IAM: identitets- och åtkomsthantering förklarat.

Microsoft ansvarar för att Entra fungerar. Kontona och behörigheterna är ditt ansvar, det skriver Microsoft själva i sin modell för delat ansvar. Det är den delen vi tar över.

Vad ingår i IAM från Nod?

Det som gäller för ditt företag skrivs in i avtalet. Grunden ser ut så här:

• Genomgång av kontona: vilka som finns, vilka som används och vilka som borde ha stängts för länge sedan.
• MFA för alla, med metoder som går att leva med i vardagen. Mer i guiden om MFA och tvåfaktorsautentisering.
• Single sign-on mot de system som stöder det, så att färre lösenord behöver finnas. Se single sign-on.
• Villkorad åtkomst (Conditional Access) där licensen tillåter det. Funktionen kräver Microsoft Entra ID P1, som bland annat ingår i Microsoft 365 Business Premium. Hur regler sätts upp går vi igenom i artikeln om villkorad åtkomst.
• Behörigheter som följer rollen, styrda via grupper i stället för handpåläggning konto för konto.
• Rutiner för ny anställd och avslut, så att åtkomsten följer personalen.
• Administratörskonton som hålls få, separerade från vardagskontona.

Riktningen för hur vi själva får åtkomst till din miljö är CSP och GDAP. GDAP betyder att partnern får avgränsade roller under en bestämd tid, som du uttryckligen godkänner, i stället för full administratörsbehörighet. Det är den väg vi arbetar efter i dag, men valet är inte formellt låst.

Varför kommer identitet före allt annat?

För att nästan allt annat hänger på den. Skydd på datorerna, backup, självbetjäning och varje framtida integration förutsätter att det går att veta vem som gör vad.

Säg att en säljare slutade i våras och att kontot aldrig stängdes. Lösenordet läcker i en helt annan tjänst, och någon loggar in utan MFA. Brandväggen släpper igenom det, för det ser ut som en vanlig inloggning. Det exemplet är påhittat, men mönstret är det vanligaste sättet in, och det stoppas av två saker som inte kostar särskilt mycket: MFA och en rutin för avslut.

Hur går det till?

Från första samtal till löpande förvaltning är det fyra steg.

1. Ett första samtal

   Du berättar hur företaget loggar in i dag, vilka system som används och vad som skaver. Vi säger ärligt om vi är rätt för dig.

2. Kartläggning av konton och behörigheter

   Vi går igenom konton, administratörer, MFA-status och licenser i Entra. Du får en lista över vad som bör åtgärdas först.

3. Förslag och avtal

   Du får skriftligt vad vi tar ansvar för, i vilken ordning det införs och vad det kostar, innan du bestämmer dig.

4. Införande och förvaltning

   Vi inför MFA, regler och gruppstyrning i en takt som kollegorna hinner med, och håller sedan ordning när personal kommer och går.

Hur når du oss?

Du väljer hur du hör av dig. En lösenordsåterställning är samma ärende oavsett var den startar.

Vad får du ut av det?

Färre intrång via konton, och mindre tid på lösenordsstrul. Det är de två effekterna som märks först.

Nya kollegor kommer åt det de behöver från första dagen i stället för efter en vecka av mejl fram och tillbaka. Den som slutar tar inte med sig åtkomsten. Och den dag en kund, ett försäkringsbolag eller ledningen frågar vem som har tillgång till vad, finns svaret i en lista i stället för i någons minne.

Referenser

Nod är ett nytt bolag. Kundcase publicerar vi när kunderna har godkänt det, inte förr.

[FYLL I: kundcase eller referens]

Vad kostar IAM?

Priset beror på hur många användare du har och hur mycket vi tar ansvar för. Du får det skriftligt innan du bestämmer dig. Tänk också på att vissa funktioner, som villkorad åtkomst, kräver en viss licensnivå. Vilka licenser du faktiskt behöver går vi igenom på sidan om Microsoft-licenser.

[FYLL I: prismodell när affärsmodellen är klar]

IAM är inte det mest spännande i IT, men det är grunden. Vet du inte i dag vilka konton som kan logga in i företagets miljö, är det där du ska börja.