Vikaren som fortsatt har tilgang

Det er et funn som går igjen i praktisk talt hver eneste tilsvarende revisjon i norsk kommunal sektor. Og i nesten alle tilfeller gjelder det ikke de fast ansatte.

De fast ansatte blir håndtert. Det er en sluttdato i personalsystemet, det er en sluttsamtale, det er noen som leverer inn en PC. Kjeden er ikke perfekt, men den finnes.

Vikarene, sesongarbeiderne, lærlingene, studentene i praksis, de innleide konsulentene og de folkevalgte har ingen tilsvarende kjede. Her er hvorfor, teknisk.

Grunnproblemet: det finnes ingen sluttdato

En kommune har flere kategorier mennesker med kontotilgang der arbeidsforholdet ikke har et definert opphør:

Tilkallingsvikarer har en rammeavtale, ikke et arbeidsforhold med sluttdato. En vikar i hjemmetjenesten kan jobbe fjorten vakter i mars, ingen i april, og tre i november. Personalsystemet har ingen dato å eksportere, fordi det ikke finnes noen.

Sesongarbeidere — park og idrett, badevakter, brøyting, sommervikarer i helse — har ofte en formell sluttdato, men den overholdes ikke i praksis fordi ansettelsen forlenges muntlig når behovet oppstår.

Lærlinger og studenter i praksis følger en periode som eies av en fagavdeling eller en skole, ikke av HR.

Innleide konsulenter kommer inn på en bestilling fra en fagavdeling, ofte som gjestebrukere, og oppdraget avsluttes stille når fakturaen slutter å komme.

Folkevalgte får tilgang etter et valg og skal miste den etter neste. Ingen i IT får beskjed om at et kommunestyremedlem ikke ble gjenvalgt.

Fellesnevneren er ikke at noen er slurvete. Fellesnevneren er at avslutningsmekanismen forutsetter et signal som aldri sendes.

Hva Microsoft faktisk tilbyr

Entra ID har to attributter som er ment for dette: employeeHireDate og employeeLeaveDateTime. De er utgangspunktet for automatisk livssyklushåndtering.

Lifecycle Workflows er Microsofts mekanisme for å utløse handlinger på grunnlag av dem — deaktivere kontoen X dager etter sluttdato, fjerne gruppemedlemskap, sende varsler.

Fire begrensninger er avgjørende å kjenne før man planlegger rundt dette:

1. Lifecycle Workflows krever Microsoft Entra ID Governance. Ikke Free, ikke P1, ikke P2. Governance-tillegget koster 7 USD per bruker per måned i listepris og forutsetter en eksisterende P1- eller P2-lisens (priser hentet fra Microsoft 19. august 2026). For en kommune med 3 000 ansatte er det en betydelig linje i budsjettet, og lisensen må dekke alle brukere som omfattes.

2. Triggerne er attributtbaserte eller manuelle. Du kan utløse på tid i forhold til employeeHireDate eller employeeLeaveDateTime, på et egendefinert attributt, eller på forespørsel. Det finnes ingen sanntidstrigger på en hendelse i et fagsystem.

3. Det er en grense på antall arbeidsflyter per tenant. Microsofts lisensdokumentasjon oppgir maksimalt 50 arbeidsflyter og 100 egendefinerte oppgaveutvidelser per tenant. For et interkommunalt selskap som skal dekke femten kommuner med hver sine varianter, er 50 ikke mange.

4. Ingen av delene hjelper hvis attributtet er tomt. Og her ligger hele poenget: for tilkallingsvikaren finnes det ingen employeeLeaveDateTime, fordi det ikke finnes noen sluttdato å skrive inn.

Automatikken virker perfekt for den gruppen som allerede blir håndtert, og ikke i det hele tatt for den gruppen som ikke blir det.

Gjestekontoer er en egen sak

Innleide konsulenter og eksterne samarbeidspartnere legges ofte inn som gjestebrukere gjennom B2B-samarbeid. Det er som regel riktig valg — det unngår at kommunen forvalter passord for eksterne.

Men gjestekontoer har ikke ansattattributter. De har ingen employeeLeaveDateTime, de kommer ikke fra personalsystemet, og de utløser derfor ingen livssyklushendelse overhodet.

De blir liggende til noen ser etter dem. I praksis er det først når en revisor spør, eller når noen kjører en spørring på gjestekontoer uten pålogging de siste tolv månedene og oppdager at tallet er tresifret.

Modellen som virker: utløp som standard

Løsningen på et manglende sluttsignal er ikke å prøve å lage et bedre sluttsignal. Det er å snu regelen.

I dag er standarden: tilgangen varer til noen fjerner den.

Den bør være: tilgangen varer til en dato, og forlenges dersom noen bekrefter behovet.

For de faste ansatte er dette unødvendig byråkrati. For alle de fem kategoriene over er det den eneste mekanismen som fungerer, fordi den flytter arbeidet fra å huske noe til å bekrefte noe.

Forskjellen i praksis:

Den siste raden er den viktigste innvendingen mot modellen, og den er reell. En vikar som møter på vakt og ikke kommer inn i journalsystemet er et driftsproblem samme kveld.

Derfor må modellen ha tre ting på plass før den slås på: et varsel til leder i god tid før utløp, en forlengelse som tar sekunder og ikke krever en sak til servicedesk, og en type tilgang som ikke omfattes — den grunnleggende påloggingen — slik at en vikar alltid kan komme inn og be om resten.

Hva som bør avgrenses, og hva som ikke bør det

Ikke sett utløpsdato på alt. Da får du hundrevis av forlengelser i måneden og en organisasjon som lærer seg å klikke ja uten å lese.

Sett utløp på: medlemskap i grupper som gir tilgang til fagsystemer med personopplysninger, tilgang til fellesområder utenfor egen avdeling, gjestekontoer, og enhver form for hevet rettighet.

Ikke sett utløp på: grunnleggende pålogging, e-post, og den generelle samhandlingsflaten.

Skillet går ved om tilgangen gir innsyn i opplysninger om innbyggere. For alt som gjør det, er tjenstlig behov et krav som må kunne dokumenteres løpende — ikke bare på tildelingstidspunktet.

Fire spørringer å kjøre denne uken

Disse kan kjøres mot Entra ID uten å endre noe, og de gir et tall du kan legge fram i et ledermøte.

1. Aktive kontoer uten pålogging siste 90 dager. Del dem i to: de som har en registrert sluttdato som er passert, og de som ikke har noen sluttdato i det hele tatt. Den andre bunken er den interessante.

2. Gjestekontoer uten pålogging siste 12 måneder. Tell dem, og tell hvor mange av dem som har en registrert invitasjonsavsender som fortsatt jobber i kommunen.

3. Kontoer med medlemskap i grupper som gir tilgang til fagsystemer med personopplysninger, der brukeren ikke har en aktiv stilling i personalsystemet. Dette er den spørringen en revisor kommer til å be om.

4. Kontoer opprettet av en administrator som ikke lenger er ansatt. Sjelden mange, men de som finnes er nesten alltid interessante.

Tallene fra disse fire spørringene er en bedre statusrapport på tilgangsstyring enn de fleste styringsdokumenter, og de tar en formiddag å produsere.

Det som gjenstår

Selv med utløp som standard og perfekte spørringer sitter du igjen med ett problem: du vet hvem som har tilgang, men ikke hvorfor.

En liste over 340 kontoer med tilgang til barnevernsystemet forteller ikke hvem som ba om hver enkelt, hvem som godkjente den, og hva begrunnelsen var. Det er den opplysningen tjenstlig behov faktisk krever at du har, og den finnes sjelden noe sted.

Vi går gjennom hva det betyr for logg og innsyn i artikkelen om hvem som har sett opplysningene om innbyggeren.

Entra Logic er norsk programvare for styrt administrasjon av Microsoft Entra ID. En leder, en HR-medarbeider eller den ansatte selv sender en forespørsel — uten å ha rettigheter i Entra ID — riktig person godkjenner, og systemet utfører nøyaktig det som ble godkjent. Begrunnelse, godkjenning og utførelse ligger i samme post. Vi tilbyr en gratis tilgangsgjennomgang av Entra ID-miljøet, der vi blant annet ser på kontoer som lever etter avgang og gjestekontoer uten pålogging. Skriftlig rapport, ingen endringer underveis.

Start gratis → · Les mer om Entra Logic for kommune og interkommunalt IT →

Kilder

• Forvaltningsrevisjon «Beredskap og informasjonssikkerhet», Vefsn kommune, Revisjon Midt-Norge SA, 14.03.2025
• Microsoft: What are lifecycle workflows? (learn.microsoft.com/entra/id-governance/what-are-lifecycle-workflows), hentet 19.08.2026
• Microsoft: Microsoft Entra ID Governance licensing fundamentals (learn.microsoft.com/entra/id-governance/licensing-fundamentals), hentet 19.08.2026
• Microsoft Entra-prisside (microsoft.com/security/business/microsoft-entra-pricing), hentet 19.08.2026
• Helsedirektoratet: Normen v7.0, generelle prinsipper for tilgangsstyring (tjenstlig behov)