Identity is the new perimeter
I denna blogg ska vi göra ett utlägg kring uttrycket ”Identitiy is the new perimeter”. Uttrycket myntades för några år sedan och har sedan dess blivit en vedertagen term inom cybersäkerhet. Det vi ska undersöka i denna blogg är varför uttrycket har blivit en vedertagen term och hur identitetsäkerhet kan implementeras i organisationer.
Introduktion
Tidigare byggde IT-säkerhet på antagandet att alla system innanför organisationens nätverk var betrodda. Användare loggade in via interna system, och så länge kommunikationen höll sig inom företagets infrastruktur ansågs den säker.
IT-landskapet idag kännetecknas av molntjänster och hybridarbete, vilket har medfört att vikten av perimeterskydd har minskat. Anställda arbetar i affärskritiska system från kaféer, flygplatser och hemmet samtidigt som leverantörer ansluter till och administrerar system från leverantörernas kontor. Detta förfarande har självklart inte undgått angripare, som istället för att angripa perimeterskyddet numer stjäl eller manipulerar identiteter. Därmed behöver organisationer anpassa sig och se identitetshantering som en del av perimeterskyddet.
Vad är identitetssäkerhet?
Vi börjar med att lägga grunden genom att övergripande beskriva vad identitetssäkerhet är. Identitetssäkerhet handlar om att säkerställa att en behörig användare har åtkomst till de resurser användaren ska ha åtkomst till under rätt förutsättningar. Det kan sammanfattande beskrivas genom ramverket AAA (Authentication, Authorization, Accounting) [5]:
- Autentisering (vem du är): Begreppet innebär att verifiera identiteten av användaren som försöker ansluta. Vanligtvis utförs detta genom lösenord, MFA, autentiseringsnycklar, m.fl.
- Auktorisering (vad du får göra): Begreppet innebär att avgöra vilka behörigheter användaren ska ha. Vanligtvis används en katalogtjänst eller specifikt behörighetshanteringssystem för detta.
- Accounting (loggning och övervakning) (Vad du gör): Begreppet innebär att genom att samla in och övervaka loggar skapas en spårbarhet för hur konton används samt för att upptäcka avvikande beteenden.
Det som inte är beskrivet ovan men som är en ytterligare komponent i identitetssäkerhet är livscykelhantering av användarkonton. Alltså att användarkonto ska hanteras genom hela kontots livscykel, dvs vid skapande, förändring och avslut av ett konto.
Hotbild
De flesta cyberattacker under de senaste åren har inletts genom en komprometterad identitet [1,2,3]. De refererade källorna rapporterar att de flesta attacker använder komprometterade identiteter. De vanligaste attackmetoderna for att angripa identiteter är följande:
- Phishing: Det traditionella phishingmailet är fortfarande den mest framgångsrika attackvektorn trots en ökad medvetenhet kring ämnet. Mailen som skickas ut kan vara riktade (spearphishing) eller massutskick och genom dessa phishingmail försöker angripare lura användare att lämna ifrån sig inloggningsuppgifter.
- Lösenordsattacker: En lösenordsattack består av att kontrollera ifall användare återanvänder lösenord som har förekommit i en lösenordsläcka (det finns massor av lösenordsläckor, för mer information se [6]) eller att gissa lösenord genom brute-force eller testa svaga och vanligt förekommande lösenord (exempelvis Sommar2026).
- MFA-uttröttningsattacker: En attack där användare får massutskick av autentiseringsförfrågningar gnom push-notiser till sin mobiltelefon på obekväma tider tills användarna av misstag godkänner en inloggning.
- Session hijacking: En attack där en angripare stjäl en användares sessionstokens, vilket gör att de kan agera som en redan inloggade användare.
Zero Trust
För att bemöta hotbilden för identiteter använder organisationer i allt större utsträckning en Zero Trust-modell. Modellen bygger på principen ”Lita aldrig på någon, verifiera alltid” (engelska: never trust, always verify). I praktiken innebär det att varje åtkomstförfrågan måste valideras, oavsett var den kommer ifrån. Inget implicit förtroende ges baserat på nätverksposition och verifiering sker i flera steg. Microsoft utför följande verifieringssteg för att bevilja åtkomst [4]:
- Vem begär åtkomst?
- Vilken enhet används?
- Vad är användarens plats och beteenden?
- Vad är användarens risknivå?
Baserat på detta kan systemet begära extra verifiering, blockera ett inloggningsförsök eller flagga aktiviteten för vidare granskning.
Dessa punkter är en bra start för att implementera en Zero Trust modell men åtgärderna behöver kompletteras med bland annat stark autentisering, principen om minsta möjliga behörighet och kontinuerlig övervakning. Vilket tar oss till nästa avsnitt.
Åtgärder
Nu när vi känner till hotbilden och känner till vad Zero Trust innebär, hur kan vi implementera åtgärder för att minska hotbilden och röra oss mot en Zero Trust modell? Det beror helt och hållet på hur organisationen värderar riskerna kring identiteter. Med det sagt bör organisationer prioritera att:
- Implementera phishing-resistent MFA: Frångå SMS-koder och push-notiser och använd istället engångslösenord från en autentiseringsapplikationer (Microsoft Authenticator, Google Authenticator eller liknande) som andra faktor. För särskilt känsliga system eller användare med höga behörigheter överväg att använda FIDO2-nycklar (exempelvis Yubikey).
- Använd riskbaserad autentisering: Alla inloggningar är inte lika riskfyllda. Moderna lösningar analyserar faktorer som listas i avsnittet Zero Trust:
- Vem begär åtkomst?
- Vilken enhet används?
- Vad är användarens plats och beteenden?
- Vad är användarens risknivå?
- Tillämpa principen om minsta möjliga behörighet: Användare ska endast ha de behörigheter som är nödvändiga för användarens roll. Det innebär att vanliga användare inte har administratörsrättigheter och att utökade behörigheter endast ska delas ut vid behov och att behörigheter granskas regelbundet.
- Säkerställ ett tillbörligt skydd för privilegierade konton: Privilegierade konton behöver skyddas extra mycket. Använd PIM (Privileged Identity Management) och JIT-åtkomst (just-in-time) för att tilldela tidsbunden åtkomst till särskilda resurser och kräv godkännande innan aktivering av rollen ges.
- Loggning och övervakning: Samla in och övervaka loggar för att kunna upptäcka avvikande beteenden.
- Hantera identiteters hela livscykel: Identitetssäkerhet börjar vid skapandet av ett konto. Säkerställ att det finns rutiner för säker onboarding av nya användare, snabb avaktivering vid förändring och avslut av roll och regelbunden behörighetsgranskning.
Avslutande ord och diskussion
Attacker som försöker att kompromettera användares konton sker dagligen i alla organisationer, oavsett om det är riktade attacker eller om attacken utgörs av ett massutskick. Vad bloggen försöker framföra är att en identitet i DIN organisation kommer att bli komprometterad, frågan är bara när det sker. Åtgärderna som listas i denna blogg syftar till att försvåra intrånget, minska skadan och att ha förmågan att upptäcka avvikelserna snabbt.
Det låter ofta trivialt när denna blogg staplar upp åtgärder som ska införas för att minska risker, men det finns ofta flera utmaningar som behöver hanteras innan en implementation kan genomföras. För åtgärderna i denna blogg krävs det att man, innan genomförande av en implementation, funderar på och hanterar användarupplevelsen, de legacy-system som finns och komplexiteten i det man försöker åstadkomma. Detta i syfte att inte få ytterligare en lösning som inte medför några mätbara säkerhetshöjande åtgärder alls.
Som avslutande ord skulle jag vilja lyfta en framtida möjlighet som vi inte diskuterat, nämligen en övergång mot lösenordsfri autentisering. Alltså att frångå lösenord och att använda hårdvarunycklar, passkeys och biometri för autentisering. Flera av metoderna för lösenordsfri autentisering uppfyller fortfarande kravet på MFA genom en innehavsfaktor (din telefon eller hårdvarunyckel) och något du är (biometri). Men det tar vi i nästa blogg.
Trevlig sommar!
Referenser
1 – Check Point, Cyber Security Report 2026, https://www.checkpoint.com/security-report/
3 – IBM X-Force Threat Intelligence Index 2026, https://www.ibm.com/reports/threat-intelligence
4 – Microsoft Zero Trust, https://learn.microsoft.com/sv-se/security/zero-trust/zero-trust-overview
5 – AAA, https://en.wikipedia.org/wiki/Authentication,_authorization,_and_accounting
6 – HaveIBeenPwned, https://haveibeenpwned.com/passwords