De fleste databrud starter ikke med avancerede hackere, men med en enkelt kompromitteret konto, en overset adgangspolitik eller en bruger, der klikker på et troværdigt udseende link. Derfor giver det mening at arbejde med flere lag af sikkerhed: MFA, conditional access, spamfilter, klare delingsregler og et “device management light”-setup, der passer til jeres hverdag.
I denne artikel får du et praktisk overblik over, hvad de forskellige begreber dækker, hvorfor de betyder noget, og hvordan du kan implementere dem i en rækkefølge, der minimerer friktion. Du får også typiske fejl, prisovervejelser og konkrete takeaways, så du kan omsætte det til politikker og handling.
Fra kontosikkerhed til adgangskontrol: kort definition og hvorfor det betyder noget
MFA (Multi-Factor Authentication) er en loginmetode, hvor en bruger skal bevise sin identitet med mindst to faktorer, typisk kodeord plus en app-godkendelse. Conditional access er et overordnet sæt regler, der afgør, hvornår og hvordan en bruger må logge ind, baseret på fx risiko, enhed, placering og app. Tilsammen reducerer de sandsynligheden for konto-overtagelse dramatisk, fordi et lækket kodeord ikke længere er nok.
Et effektivt spamfilter og skarpe adgangspolitikker begrænser desuden phishing, data-læk og uønsket deling. Device management light ligger mellem “ingen styring” og fuld MDM: det giver basale krav til enheder uden at gøre IT tungt.
Mini-konklusion: Hvis du vil stoppe de mest almindelige angreb, skal du både beskytte login, filtrere indbakken og styre adgang og deling med enkle, tydelige regler.
MFA: det stærkeste enkelt-tiltag, når det rulles ud rigtigt
MFA er ofte det første sikkerhedstiltag, der giver mærkbar effekt. Men det kan også skabe support-støj, hvis det indføres uden plan. Start med at forstå, hvem der skal omfattes, hvilke metoder der er acceptable, og hvordan I håndterer brugere uden smartphone.
Hvilke MFA-metoder giver mening i praksis?
App-baseret godkendelse er typisk den bedste balance mellem sikkerhed og brugervenlighed. SMS kan være bedre end ingenting, men er mere sårbar. Sikkerhedsnøgler er stærke, men kræver indkøb og proces.
- Authenticator-app med push og nummermatching
- TOTP-koder i app (offline-koder)
- Sikkerhedsnøgle (FIDO2) til admin og højrisiko
- SMS som midlertidig fallback, hvis nødvendigt
- Backupkoder til nødsituationer
Typiske fejl ved MFA-udrulning og hvordan du undgår dem
En klassiker er at slå MFA til for alle på én gang uden onboarding. En anden er at glemme “break glass”-konti til nødadgang, eller at mangle en proces for enhedsskift. Lav i stedet en trinvis plan, og skriv en kort brugervejledning i jeres eget sprog.
Mini-konklusion: MFA virker bedst, når du kombinerer stærke metoder, god kommunikation og en gennemtænkt nødprocedure.
Conditional access (overordnet): regler der tilpasser sig risiko og kontekst
Conditional access handler om at gøre adgang dynamisk. I stedet for én statisk regel (kodeord + MFA for alle) kan du kræve ekstra kontrol, når risikoen er høj: ukendt enhed, usædvanlig placering, ældre klienter eller forsøg på at logge ind i følsomme apps.
De mest brugbare byggesten i adgangspolitikker
Hold det simpelt i starten. Vælg få, stærke signaler, og byg videre efter feedback og logs. Overvej især kombinationen af “hvilken app”, “hvilken enhed” og “hvilken brugergruppe”.
- Kræv MFA for alle brugere ved login
- Blokér legacy authentication og gamle mailprotokoller
- Kræv compliant/enrolled enhed for adgang til filer og mail
- Stram krav for administratorer og privilegerede roller
- Definér betroede lokationer, hvis I har klare kontor-IP’er
- Indfør risikobaserede regler, hvis jeres platform understøtter det
Test, undtagelser og “ikke-lås-dig-selv-ude”-princip
Den farligste faldgrube er at lave en politik, der låser hele organisationen ude. Brug derfor testgrupper, “report-only”/simulering hvor muligt, og dokumentér alle undtagelser med begrundelse og udløbsdato. Opret mindst én nødkonto med stærk beskyttelse og separat overvågning.
Mini-konklusion: Conditional access giver størst værdi, når reglerne er få, målbare og testet i små trin, før de rammer alle.
Spamfilter: stop phishing før det rammer brugeren
Selv med MFA kan phishing koste tid, penge og data. Et godt spamfilter og anti-phishing-politikker fjerner en stor del af angrebsfladen, før brugerne skal tage stilling. Fokusér på både indhold (links og vedhæftninger) og afsenderautenticitet.
Hvad bør et moderne filter typisk indeholde?
Se efter funktioner, der kombinerer signaturer, adfærdsanalyse og beskyttelse mod “Business Email Compromise”. Mange overser også behovet for at styre, hvad der sker efter et klik, fx sandboxing.
- Detektion af spoofing og lookalike-domæner
- Scanning og isolering af vedhæftninger
- Link-beskyttelse og omskrivning/afvikling i sikker browser
- Quarantine-politikker med tydelig brugeroplevelse
- Rapportér-knap og feedback-loop til IT
En almindelig fejl er at gøre karantænen så aggressiv, at vigtige mails aldrig når frem. Justér med whitelist med omtanke, og mål på falske positiver, ikke kun “blokeringer”.
Mini-konklusion: Et spamfilter skal både stoppe trusler og bevare flowet i forretningen; styrk det med rapportering og løbende tuning.
Adgangspolitikker: mindst mulige rettigheder uden at bremse arbejdet
Adgangspolitikker handler om, hvem der kan hvad, hvor og hvornår. Det gælder ikke kun IT-admins, men også delte postkasser, teams, sites og følsomme mapper. Målet er at undgå “alle har adgang til alt”, som ofte opstår stille over tid.
Sådan finder du et realistisk niveau
Start med at kortlægge de vigtigste dataområder: kundedata, økonomi, HR og ledelsesmateriale. Indfør derefter rollebaseret adgang og brug grupper, så rettigheder kan styres centralt. Husk, at midlertidige projekter har en tendens til at blive permanente, hvis ingen rydder op.
En praktisk tommelfingerregel er at skelne mellem læseadgang, redigeringsadgang og ejerskab. Ejerskab bør være sjældent og tidsbegrænset, fordi ejere kan ændre delingsindstillinger.
Mini-konklusion: God adgangskontrol er ikke flere klik, men mere forudsigelighed: klare roller, grupper og periodisk oprydning.
Deling: styr på gæsteadgang, links og hvad der må sendes ud
Deling er ofte nødvendigt, men det er også en af de hurtigste veje til datalæk. Lav derfor en simpel delingsmodel: hvem må dele eksternt, hvilke typer links er tilladt, og hvordan logger I deling, så I kan reagere.
Midt i arbejdet med disse emner giver det mening at samle retningslinjer og tekniske valg ét sted, fx i en intern sikkerhedsguide eller ved at tage inspiration fra ressourcer om Microsoft 365 IT-sikkerhed
og omsætte det til jeres egne politikker og workflows.
Undgå “anyone with the link” som standard, medmindre du har en meget klar use case. Prioritér i stedet navngivne modtagere, udløb på links og begrænsning af download, hvor det er relevant.
- Standard: del kun med specifikke personer
- Kræv login for eksterne modtagere
- Sæt udløbsdato på delingslinks
- Log og gennemgå ekstern deling månedligt
- Brug labels/klassifikation til følsomme dokumenter
Mini-konklusion: Deling er sikkert, når det er sporbar, tidsbegrænset og knyttet til identiteter, ikke anonyme links.
Device management light: basale krav til enheder uden fuld MDM
Device management light dækker en pragmatisk tilgang, hvor du stiller minimumskrav til enheder, der tilgår mail og filer. Det kan være krav om skærmlås, kryptering, opdateret OS og mulighed for at slette firmadata ved tab. For mange mindre og mellemstore virksomheder er dette nok til at reducere risiko markant.
Hvad bør minimumskravene typisk være?
Hold listen kort og målbar, så den kan håndhæves. Prioritér de kontroller, der stopper de mest almindelige hændelser: stjålne enheder, svage adgangskoder og forældede systemer.
- PIN/biometri og automatisk skærmlås
- Kryptering slået til
- Opdateret operativsystem med minimumsversion
- Ingen jailbreak/root
- Mulighed for fjernsletning af firmadata
Hvordan kombineres det med conditional access?
Nøglen er at gøre enhedskrav til en adgangsbetingelse for de mest følsomme apps, fx mail, dokumentbiblioteker og admin-porte. På den måde kan en privat enhed stadig bruges til lavrisiko, mens adgang til data kræver, at enheden lever op til jeres krav.
Mini-konklusion: Device management light virker, når du kobler enhedskrav direkte til adgang og starter med de mest datatunge apps.
Hvad koster det, og hvordan prioriterer du indsatsen?
Omkostninger består typisk af licenser, tid til opsætning, intern kommunikation og løbende drift. For nogle løsninger er MFA inkluderet, mens mere avanceret conditional access, risikobaserede policies og bedre mailbeskyttelse kan kræve højere planer. Derudover kommer “skjulte” omkostninger som support ved udrulning og tid til at justere politikker.
Prioritér efter risiko og effekt: Start med MFA og blokering af legacy login. Fortsæt med spamfilter-tuning og basale delingsregler. Til sidst kan du udbygge med enhedskrav, mere granulære adgangspolitikker og automatiseret governance. Det vigtigste er, at hvert trin kan forklares til brugerne på to linjer.
Takeaway: Den billigste sikkerhed er ofte den, der reducerer support og hændelser; mål derfor på færre phishing-klik, færre kompromitterede konti og mindre “adgangsrod”.
Bedste praksis og faldgruber: sådan lykkes du uden at skabe kaos
De mest effektive sikkerhedstiltag kan fejle, hvis de implementeres uden ejerskab. Sørg for klare roller: hvem ejer adgangspolitikker, hvem godkender undtagelser, og hvem følger op på logs. Lav korte politikker, ikke lange dokumenter, og gennemfør små øvelser, fx “hvad gør vi, hvis en konto kompromitteres?”.
Hyppige faldgruber inkluderer for mange undtagelser, uklare delingsregler, manglende træning og at man glemmer at overvåge effekten. Modgiften er løbende review, faste standarder og en enkel change-proces.
- Hold politikker få og navngiv dem tydeligt
- Brug testgrupper og gradvis udrulning
- Dokumentér undtagelser med udløb
- Overvåg login-hændelser og mailtrusler månedligt
- Træn brugere i rapportering, ikke i at “være forsigtige”
Mini-konklusion: Sikkerhed bliver bæredygtig, når den kan driftes: få politikker, tydelige ejere, og rutiner for review og forbedring.
