Ligger jeres mail, filer og samarbejde i Microsoft 365 eller Google Workspace, mangler der ofte en offentlig målestok for lejerens indstillinger, som kan bruges punkt for punkt. Den amerikanske myndighed CISA har lavet sådanne baselines i projektet SCuBA, og både baselinerne og måleværktøjerne er stillet til rådighed for private organisationer, også uden for USA.
For en dansk virksomhed er de en frivillig målestok. De binder kun amerikanske føderale civile myndigheder.
Hvad SCuBA er
SCuBA står for Secure Cloud Business Applications. Projektet blev startet i 2022 af Cybersecurity and Infrastructure Security Agency, CISA, og giver baselines for sikker konfiguration af programmerne i Microsoft 365 og Google Workspace. Ifølge projektsiden er hovedformålet at sikre information hos de føderale civile myndigheder.
Til baselinerne hører to måleværktøjer, som CISA selv har navngivet: ScubaGear til Microsoft 365 og ScubaGoggles til Google Workspace. Værktøjerne og baselinerne er ifølge CISA til rådighed for alle myndigheder og private organisationer, der vil forbedre deres sikkerhed. Projektsiden har ingen dato for seneste opdatering, så den udgave, I bruger, skal noteres.
Hvem baselinerne binder
For de amerikanske føderale civile myndigheder er baselinerne blevet bindende. CISA udstedte 17. december 2024 et bindende direktiv, BOD 25-01. Det krævede, at de obligatoriske SCuBA-politikker var gennemført senest 20. juni 2025. Afvigelser kan accepteres af den ansvarlige i myndigheden, men skal identificeres og forklares over for CISA.
Den model er værd at bemærke, selv om den ikke gælder jer. Den siger ikke, at alle punkter skal følges. Den siger, at afvigelser skal være kendte og forklarede. Det er samme tanke som en undtagelsesliste.
Hvorfor en dansk virksomhed kan bruge dem
Kontorplatformen i skyen er et sted, hvor mange indstillinger har betydning for sikkerheden, og hvor standardværdierne ikke altid passer til en virksomhed. Der findes producentens egne anbefalinger, og der findes andre benchmarks. SCuBA skiller sig ud ved tre forhold:
- Baselinerne er offentlige og kan læses af alle.
- De er punktvise, så hvert punkt kan måles og markeres som opfyldt eller ikke opfyldt.
- Der er et måleværktøj fra samme afsender, så målingen kan gentages.
Brugt som sammenligning giver de en liste, driften kan arbejde sig igennem. De ændrer ikke på, at jeres egne forhold afgør, hvad der er rimeligt.
Sådan bruges baselinerne i en gennemgang
Det følgende er praksis og ikke noget, CISA foreskriver for private:
- Vælg, hvilke programmer i platformen der skal med. Baselinerne er delt op pr. program i platformen.
- Notér udgaven af baselinerne og af værktøjet. Begge ændres over tid.
- Kør målingen med en konto, der har læseadgang til de indstillinger, der skal måles. Kontrollér i værktøjets egen dokumentation, hvilke rettigheder det kræver, og fjern dem igen bagefter.
- Gå resultatet igennem punkt for punkt. Et punkt markeret som ikke opfyldt er ikke nødvendigvis et fund. Det kan være et bevidst valg, eller risikoen kan være håndteret på anden måde.
- Skriv de bevidste afvigelser på undtagelseslisten med begrundelse, ligesom de føderale myndigheder skal forklare deres.
Baselinerne er skrevet til amerikanske myndigheder. Nogle punkter forudsætter licenser eller funktioner, I ikke har, og nogle punkter afspejler myndighedernes egne regler. Det er ikke et fund, at et sådant punkt ikke er opfyldt. Det er en afgrænsning, der skal stå i rapporten.
Hvad målingen ikke viser
En automatisk måling viser, hvordan indstillingerne står på målingstidspunktet. NIST beskriver en vurdering som et øjebliksbillede (NIST, 2008, afsnit 6.2). Målingen viser ikke, hvem der har ændret en indstilling, eller om den har stået sådan længe. Det kræver lejerens auditlog.
Den viser heller ikke, om de konti, politikkerne gælder for, er de rigtige. En politik for betinget adgang kan være sat korrekt op og alligevel undtage en gruppe, ingen længere kan forklare. Den slags kræver, at nogen læser opsætningen i sammenhæng. Det samme gælder konti, der bruges til nødadgang eller til integrationer. De kan være undtaget fra en politik med god grund, men det kan målingen ikke vurdere.
Endelig dækker baselinerne kontorplatformen. Klienter, servere, netværk og andre cloudmiljøer kræver andre målestokke.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen med kendskab til lejeren kører målingen, læser resultatet og sorterer punkterne i fund, bevidste valg og punkter uden betydning for jer. Første gang tager sorteringen længst tid.
Uden en punktvis målestok bliver gennemgangen af lejeren afhængig af, hvad den enkelte husker at se efter. Indstillinger, der er sat ved oprettelsen og aldrig set på siden, bliver stående.
Det skal I lade være med
- At læse hvert ikke opfyldt punkt som en fejl · baselinerne er skrevet til amerikanske myndigheder.
- At lade målekontoen beholde sine rettigheder · fjern dem, når målingen er færdig.
- At glemme udgaven · baselinerne og værktøjerne opdateres.
Det skal gennemgangen kunne vise
- ☐ Udgaven af baselinerne og værktøjet, og dato for målingen.
- ☐ Resultatet pr. program med fund, bevidste afvigelser og punkter uden for omfang.
- ☐ Begrundelse for hver bevidst afvigelse.
- ☐ Bevis for, at målekontoens rettigheder er fjernet igen.
Kilder
- CISA, Secure Cloud Business Applications (SCuBA) Project, læst 13. november 2026.
- CISA, BOD 25-01: Implementing Secure Practices for Cloud Services, læst 13. november 2026.
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 6.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Hent baselinerne for de to eller tre programmer i platformen, I bruger mest, og læs dem igennem med lejerens nuværende indstillinger ved siden af.
Læs også: Gennemgang af Google Workspace · Politikker for betinget adgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
