Hvorfor dette er minimum i 2026
Phishing og konto-overtagelser rammer ofte SMB'er hårdt. Et enkelt kompromitteret login kan give adgang til mail, filer og kundedata.
Et minimumssetup med Entra ID, MFA og Conditional Access reducerer risikoen markant.
Minimumsbaseline (kort version)
- MFA aktiveret for alle brugere
- MFA med stærke metoder, ikke kun SMS
- Blokering af legacy-authentication
- Conditional Access for risikologin og ukendte lokationer
- Særlige regler for admin-konti
Trin 1: Rollestyring og admin-konti
Start med at adskille admin-brugere fra daglig brugerprofil.
- Ingen daglig mail/surfing på admin-konti
- Få dedikerede admin-konti
- Review af privilegier hver måned
Trin 2: MFA for alle
MFA skal gælde alle ansatte, også ledelse.
Gode principper:
- Primær metode: authenticator/app-baseret godkendelse
- Backup-metode dokumenteret
- Undgå undtagelser uden godkendt risikovurdering
Trin 3: Stop legacy login-protokoller
Legacy-protokoller omgår ofte moderne sikkerhedskontrol. Hvis de ikke er absolut nødvendige, bør de blokeres.
Trin 4: Conditional Access-politikker
Et praktisk minimum for SMB:
- Kræv MFA for alle cloud-apps
- Bloker login fra høj-risiko signaler
- Kræv compliant device eller stærkere kontrol til kritiske apps
- Særpolitik for admins med strammere krav
Trin 5: Overvågning og alarm
Sikkerhed uden opfølgning giver falsk tryghed.
- Gennemgå sign-in logs fast
- Alarm på atypiske loginmønstre
- Kør månedlig gennemgang af adgang og politikker
Typiske fejl vi ser
- MFA kun for "nogle" brugere
- Admin-konti uden ekstra beskyttelse
- Conditional Access lavet, men ikke testet
- Manglende dokumentation af undtagelser
Hvad koster minimumssikkerhed?
Omkostningen er ofte primært tid til implementering og drift. Den største udgift kommer normalt efter et sikkerhedsbrud, ikke før.
FAQ
Er MFA alene nok?
Nej. MFA uden adgangspolitikker og log-overvågning efterlader stadig huller.
Kan vi starte simpelt?
Ja. Start med baseline ovenfor og udbyg gradvist efter risikobillede.
Hvor ofte bør politikker gennemgås?
Minimum kvartalsvist, og altid efter større ændringer i organisationen.
Relaterede artikler
- Microsoft 365 backup: Hvorfor retention ikke er det samme som backup
- Hvad indeholder Microsoft 365? Komplet guide til apps og licenser
- Microsoft 365 vs. Google Workspace: Hvad skal din virksomhed vælge?
Klar til at få baseline på plads?
Vi kan lave en hurtig sikkerhedsgennemgang af jeres tenant og implementere en pragmatisk minimumsmodel.
Bo Diechmann
CEO