VPN för distansarbete och adminpaneler

Distansarbete och fjärrinloggning till webbverktyg är i dag vardag för många småföretag: någon rättar en text på café-wifi, laddar upp filer via FTP från ett hotellnät, eller loggar in på adminpanelen till hemsidan från ett delat kontorshotell. Det gemensamma i alla dessa situationer är att nätet mellan enheten och internet inte ägs eller kontrolleras av er själva, vilket gör det svårare att veta om trafiken går att avlyssna eller manipuleras på vägen. En VPN (virtuellt privat nätverk) minskar exponeringen för okrypterad eller felkonfigurerad trafik på öppna nät genom att lägga en krypterad tunnel mellan enheten och VPN-tjänsten. Det är en konkret, avgränsad riskreduktion, inte ett generellt säkerhetspaket, och den här sidan håller sig medvetet till den avgränsningen. Sidan jämför alltså inte vilken konsument-VPN som är bäst för strömning eller allmän integritet på fritiden, och den handlar inte om ett universitets eller en skolas VPN för studenter – fokus här är företagets egen åtkomst till adminpaneler, e-post och FTP. Letar ni efter en bredare genomgång av VPN för företag finns en guide till VPN för småföretag på cronaweb.com.

Vad en VPN faktiskt skyddar

När en anställd ansluter till en adminpanel, ett FTP-konto eller e-post över ett öppet eller delat nät, är risken att någon annan på samma nät kan se okrypterad trafik, metadata eller försök att styra om anslutningen innan den når fram till webbplatsens eller e-postleverantörens server. En VPN-tjänst som NordVPN gör det svårare att avlyssna okrypterad trafik eller metadata på samma nät, men ersätter inte HTTPS, SFTP eller tvåfaktorsinloggning. Nyttan är som störst i just de situationer där nätet inte går att lita på: flygplatser, kaféer, hotell och andra delade nät som teamet inte själva administrerar. Sitter alla i stället alltid på kontorets eller hemmets egna nät, med ett eget lösenord och en router ni kontrollerar, är den akuta risken mindre, men den kan snabbt bli aktuell igen så fort någon reser eller jobbar från ett nytt ställe.

Vad en VPN inte löser

Det är lika viktigt att vara tydlig med vad en VPN inte gör. Den skyddar själva anslutningen, inte det som skrivs in i slutet av den. Ett återanvänt eller läckt lösenord fungerar lika bra genom en krypterad VPN-tunnel som utan den, och en angripare som redan har kommit över inloggningsuppgifter behöver inte bry sig om att trafiken är krypterad på vägen dit. En VPN säger heller ingenting om huruvida webbplatsens eget skydd, till exempel uppdaterad programvara, en sårbar plugin eller loggning, faktiskt fungerar som det ska. CISA pekar på samma avgränsning: en VPN skyddar transporten, men behöver kombineras med tvåfaktor och kontrollerad behörighet för att inloggningen som sådan ska vara skyddad. Det är därför NCSC lyfter stark autentisering och kontrollerade behörigheter som en av de mest centrala säkerhetsåtgärderna för verksamheter, oavsett om anslutningen dessutom går via en VPN eller inte.

Risk, åtgärd och källa

Tabellen kopplar varje risk kring fjärrinloggning till en konkret åtgärd, vad ni kan visa att ni faktiskt gjort, och källan åtgärden vilar på.

Praktisk rutin för små team

För ett litet team räcker det oftast med en enkel, skriven regel: VPN ska vara påslagen innan någon loggar in på adminpanelen, e-posten eller FTP-kontot från ett nät som inte är kontorets eller hemmets eget. Det är enklare att få rutinen att hålla om alla i teamet använder samma VPN-tjänst med samma grundinställningar, snarare än att var och en väljer sin egen lösning. Komplettera rutinen med att aktivera tvåfaktorsinloggning på samma konton, och samla lösenorden i en lösenordshanterare i stället för att de mejlas eller återanvänds mellan tjänster. Ingen av delarna är beroende av avancerad teknisk kompetens: det handlar om att bestämma en ordning, skriva ner den, och se till att den faktiskt följs när någon jobbar utanför kontoret.

Hur mycket som behövs utöver VPN beror på hur många personer och adminpaneler det handlar om. Ett litet team med en handfull konton klarar sig ofta med VPN plus tvåfaktor på varje konto, eventuellt kompletterat med en IP-begränsning i adminpanelen som bara släpper in kända nät. Växer teamet eller antalet paneler, eller om flera personer behöver olika behörighetsnivåer, kan det vara mer motiverat att gå vidare till enkel inloggning (SSO) och mer finkornig åtkomststyrning i stället för att alla delar samma VPN-anslutning. Det finns ingen exakt gräns för när steget är värt besväret, men resonemanget bör följa samma princip som IMY lyfter för autentisering: ju känsligare system och ju fler som har åtkomst, desto starkare skäl att lägga till fler kontrollerade lager i stället för att luta sig på en enda VPN-anslutning.

Om verksamheten redan hanterar personuppgifter i systemen som nås på distans, till exempel kunduppgifter i en adminpanel, är det värt att koppla ihop rutinen med det bredare dataskyddsarbetet snarare än att se den som en fristående teknisk fråga. Autentiseringen och åtkomstskyddet ska enligt IMY anpassas efter risken i behandlingen, vilket i praktiken betyder att ju känsligare uppgifter som går att nå via en fjärrinloggning, desto viktigare är det att flera skyddslager finns på plats samtidigt, inte bara ett.

När ni behöver extern hjälp

Många av rutinerna ovan går att sätta upp själv utan konsultstöd. Två lägen är dock värda att lyfta vidare: om ni misstänker att ett konto redan är komprometterat trots att VPN användes, eller om en pågående it-säkerhetsincident påverkar flera system samtidigt. CERT-SE ger stöd och kontaktvägar vid inträffade eller pågående it-relaterade störningar och säkerhetsincidenter, och är rätt instans att vända sig till när ni är osäkra på omfattningen av något som redan hänt, snarare än att försöka bedöma det på egen hand.

Vanliga frågor