Stop med at rotere adgangskoder: Hvorfor vi droppede reglen "hver 90. dag" fra vores Pentest-rapporter

I årevis har sikkerhedstjeklister behandlet tvungen udløb af adgangskode som evangeliet. Hver 30., 60. eller 90. dag skulle brugerne udtænke en ny række symboler og cifre – ellers skulle de blive låst ud. I dag er de førende standardiseringsorganer enige: den regel er kontraproduktiv, og vi har fjernet den fra alle webapplikationsresultater i vores penetrationstestrapporter.

Hvad ændrede sig?

Nøglestandarder

• NIST 800‑63B siger eksplicit verifikatorer "BØR IKKE kræve, at memorerede hemmeligheder ændres vilkårligt." (NIST-sider)
• Den britiske Nationalt Center for Cybersikkerhed (NCSC) advarer om, at tvungen udløb "skader snarere end forbedrer sikkerheden."NCSS)
• microsoft fjernede politikker for udløb af adgangskoder fra sin Windows-sikkerhedsgrundlinje og kaldte dem af lav værdi sammenlignet med MFA og overvågning af brud. (Teknologifællesskab)

Hvorfor vi droppede resultaterne af adgangskoderotation

Under pentests af webapps plejede vi at markere "Adgangskoden skal udløbe hver X dage", når indstillingen manglede. Den anbefaling er nu væk. Her er hvorfor:

1. Adfærd i den virkelige verden slår teori. Brugere reagerer på konstante nulstillinger ved at genbruge justeringer ("Adgangskode1!" → "Adgangskode2!") eller skrive adgangskoder ned.
2. Moderne styringer overgår det. Multifaktorgodkendelse, API'er til alarmering af brud og adgangsnøgler reducere risikoen langt mere effektivt.
3. Standardjustering. Vores kunder sammenligner sig med NIST, ISO 27001, SOC 2 og CIS; ingen af ​​dem kræver længere periodiske nulstillinger, medmindre der er mistanke om en kompromitteret situation.

Hvad vi anbefaler i stedet

1. Én lang, unik adgangskode pr. konto – fire eller fem tilfældige ord er rigeligt.
2. Slå MFA til, eller endnu bedre, flyt til adgangsnøgler/FIDO2 hvor adgangskoden forsvinder helt.
3. Hold øje med kompromis: integrere “have været nedsat" eller lignende brudsfeeds og kun tvinge en nulstilling, hvis en legitimationsoplysning lækker, eller der er en stigning i mistænkelig aktivitet.
4. Brug en adgangskodeadministrator, vores valg er Bitwarden så personalet aldrig genbruger hemmeligheder på tværs af systemer.
5. Gennemgå delte/tjenestekonti årligt; hvis de ikke kan bruge MFA, planlæg en manuel ændring.

Konklusionen for CISO'er

Obligatorisk udløb gav mening, da adgangskoder var den eneste forsvarslinje. I 2025 er det en relikvie, der dræner produktivitet og svækker sikkerhedstilstand. Ved at tilpasse dine politikker til NIST, NCSC og Microsoft – og ved at anvende MFA og adgangsnøgler – får du stærkere beskyttelse og gladere brugere.

Vi fortsætter med at finde reelle sårbarheder under din næste penetrationstest – men du vil ikke se "30-dages adgangskoderotation" på handlingslisten igen.