Fem år utan passord i kommuna– erfaringar frå Kvam, Eidfjord og Ulvik

Starta med kortløysing allereie i 2014

Arbeidet med kortbaserte løysingar starta tidleg. Allereie i 2014 tok kommunane i bruk smartkort for tilgang til printerar og bygg. Endå tidlegare, i 2005, var Kvam i dialog med BankID for å vurdera sterkare autentisering for tilsette i tryggingssoner, men kostnadsnivået gjorde at dette ikkje var aktuelt på det tidspunktet.

Då kommunane etter kvart fekk på plass ei felles kortløysing for ID, print og adgangskontroll, vart det naturleg å vurdera same kort som innloggingsmekanisme på PC. Målet var todelt: betre informasjonstryggleik og ei meir brukarvennleg kvardag for dei tilsette.

Etter gjennomført anbod vart Buypass vald som leverandør, og rundt 2018 vart det innført krav om at alle tilsette skulle ha smartkort. I dag får alle tilsette kort med sertifikat. Nokre få unntak gjeld for vikarar eller roller utan behov for kvalifisert sertifikat.

Det vert nytta to typar sertifikat:

• lokalt generert sertifikat for innlogging til PC og nettverk (Entra ID)
• kvalifisert sertifikat frå Buypass, brukt til ID-porten, HelseID og tilsvarande tenester

Totalt er om lag 1300 tilsette i dei tre kommunane omfatta av løysinga. Det kvalifiserte sertifikatet utgjer hovuddelen av kostnadene.

Phishing-undersøkinga blei sparket i rumpa dei trong

Eit viktig vendepunkt kom då kommunane gjennomførte ei phishing-undersøking. Resultata synte tydeleg risikoen ved tradisjonell passordbruk og vart ein utløy­sande faktor for å prioritera sterkare autentisering.

På dette tidspunktet hadde kommunane allereie delt ut kort til alle tilsette. Det gjorde det mogleg å raskt innføra kort som einaste innloggingsmetode for rundt 90 prosent av brukarane. Samstundes avdekte arbeidet fleire utfordringar, særleg knytt til mobilinnlogging og enkelte fagsystem, mellom anna legejournalløysingar (EPJ).

Innføringa vart derfor gjort stegvis, med testing og justering undervegs. For å få løysinga til å fungera i praksis, var det nødvendig med omfattande avklaringar mot Microsoft-tenester, mobil e-post, Teams og ulike fagsystem. Kommunane fekk tett oppfølging frå Buypass og andre aktørar, noko som var avgjerande for å lukkast.

Erfaringa frå oppstarten var tydeleg: god forankring i leiinga og tett dialog med brukarane var heilt avgjerande.

98 prosent kopla på – og klare for vegen vidare

I dag er over 98 prosent av brukarane kopla på kortbasert innlogging. Løysinga er ein etablert del av arbeidskvardagen, og interne undersøkingar viser at fleirtalet av dei tilsette ikkje ønskjer å gå tilbake til passord.

Dei siste fem åra har gitt gjennomgåande gode erfaringar. Kommunane opplever færre brukarhenvendingar knytt til autentisering, raskare innlogging og redusert risiko for phishing og passordgjenbruk. Samstundes har løysinga stilt nokre klare krav, mellom anna til utstyr, mobilbruk og fysisk oppmøte ved utferding og fornying av kvalifiserte sertifikat.

Utfordringar knytt til mobilbruk og perifert utstyr, som funksjonstelefonar, vert i dag i stor grad handtert gjennom innrullering i Intune, mellom anna med kiosk-modus. Alt utstyr med tilgang til AD og Azure er innrullert i Intune.

Kommunane vurderer no framtidige vegval. Smartkort med sertifikat er ei moden og stabil løysing, men fleire leverandørar peikar på FIDO2 som framtidig standard. Kvam, Eidfjord og Ulvik vurderer bruk av FIDO2 i kombinasjon med eksisterande kortløysing. Per i dag er smartkort vurdert som den løysinga som gir best samla tryggleik i kombinasjonen av lokalt AD og Entra ID.

Erfaringane frå dei tre kommunane viser at det er fullt mogleg å gå bort frå passord, også i mindre kommunar. Samstundes krev det langsiktig arbeid, tydeleg forankring og god oppfølging – og ei erkjenning av at sterk autentisering må vere ein del av ein heilskapleg strategi for informasjonstryggleik.

Har du spørsmål knytt til korleis du kan gjere di kommune passordfri, send ein e-post til Hans Christian Berstad i Kvam herad, så deler han av sine erfaringar.