Adgangskontrol

De foranstaltninger en organisation indfører for at beskytte edb-udstyr, herunder dokumentation, programmel og data, mod hærværk, tyveri og anden form for planlagt misbrug.

Risikoområder er: 1) fysisk adgang til udstyr, 2) datatransport og 3) adgang til at læse, oprette, ændre og slette data. Niveau og principper for kontrolsystemer fastlægges i organisationens sikkerhedspolitik.

De mest udbredte systemer for fysisk adgangskontrol er baseret på områdeinddeling af bygninger, automatiske døråbnere og en autorisationskontrol med plastkort og talkode. Ved indgang til et beskyttet område skal personen føre plastkortet (med den personlige identifikation) gennem en læseenhed ved døren samt eventuelt indtaste en talkode. En central computer kontrollerer identifikationen og åbner automatisk døren til området. Der vil normalt samtidig ske en central registrering af, at den pågældende person har passeret kontrolpunktet, ligesom forsøg på uautoriseret adgang vil blive registreret. Adgangskontrollen kan være differentieret på personalegrupper og bygningsområder, eventuelt også på tidspunkt af døgnet.

Ved siden af kontrollen med legal adgang til edb-området kan det være nødvendigt gennem bevidst bygningsplanlægning (f.eks. afdelingens placering og panservinduer) at beskytte området mod eksterne trusler.

Det er især ved datatransmission over offentlige net (men interne lokalnet udgør også en risiko), at data under forsendelse kan udsættes for uønsket tapning eller forsøg på ændring. Der er forskel på, hvor vanskeligt det er at tappe et offentligt net, men generelt vil kun kryptering effektivt kunne sikre data mod eksterne trusler.

Beskyttelse mod, at en person foretager behandling af data ud over dét, vedkommende er autoriseret til, sikres gennem en log-on procedure, herunder angivelse af password. Denne procedure tildeler brugeren ret til at bearbejde, dvs. læse, oprette, ændre og slette bestemte data i et nærmere angivet omfang. Adgangskontrolsystemer til dette formål bygger på autentifikation af brugeren og er normalt en del af computerens styresystem, eventuelt suppleret med særlige foranstaltninger i opgaveprogrammellet.

Sikring mod hackere og crackere sker bl.a. gennem log-on proceduren. Disse personer vil imidlertid ofte være i stand til at omgå standardsikkerhedssystemerne, og det kan derfor være nødvendigt at indføre særlige foranstaltninger, f.eks. ved at det altid er computeren, der etablerer forbindelsen til den opkaldende terminal.

Adgangskontrol til data er tillige et lovmæssigt krav. Ifølge lov om behandling af personoplysninger skal oplysninger således sikres mod misbrug, eller mod at uvedkommende får adgang til registrene. Omfanget af sikkerhedsforanstaltningerne, som den tilsynsførende myndighed, Datatilsynet, kan kræve oprettet, afhænger af oplysningernes karakter.