Cloud-lejere: jeres side af grænsen hos udbyderen

Flytter post, filer og servere ud til en udbyder, flytter ansvaret for platformen med, men opsætningen i lejeren bliver hos jer. Konti, roller, deling, lager, nøgler og log er jeres egne indstillinger, og det er dem, en teknisk gennemgang læser. Artiklerne her tager kontorplatformene først, derefter de store cloudmiljøer, og til sidst de spørgsmål, der går igen på tværs: hvad udbyderens erklæring dækker, hvordan skabeloner gennemgås før udrulning, og hvilke indstillinger der findes i forretningssystemer købt som tjeneste.

Kontorplatformen

• Gennemgang af Microsoft 365: de områder, der bliver set på Område for område med en læserolle.
• Postsystemet i skyen: videresendelse, postkasserettigheder og postkasseaudit Fire indstillinger, der ofte giver fund.
• Ekstern deling af filer og teams: links, gæster og standardindstillinger Indstillingerne og det, der allerede er delt.
• Gennemgang af Google Workspace De fælles kontroller på tværs af tjenesterne.

Cloudmiljøerne

• Gennemgang af et Azure-miljø: rettigheder, netværk og lager Producentens benchmark som disposition.
• Gennemgang af et AWS-miljø: rodkonto, roller, logning og åbne tjenester En nummereret tjekliste.
• Lager i skyen, der kan læses udefra Fundet indefra på konto- og beholderniveau.
• Nøgler og hemmeligheder i skyen: opbevaring, udløb og hvem der kan hente dem Langlivede nøgler med dato og seneste brug.
• Infrastruktur som kode: gennemgang af skabelonerne før udrulning Skabelonen og det, der faktisk kører.

Ansvar og tjenester

• Delt ansvar: det, udbyderens erklæring dækker, og den opsætning, I selv skal have gennemgået Grænsen mellem platform og lejer.
• Sikkerhedsindstillinger i forretningssystemer i skyen Login, roller, deling og log i købte systemer.

Sådan kommer I i gang

Opret en læserolle i hver lejer og hver cloudkonto, og giv den til den person i driften, der skal trække udtrækkene, så det ikke sker med en administratorkonto. Lav derefter en liste over alle lejere og konti, også testkonti og dem, et projekt oprettede og glemte. Vælg en målestok pr. platform: CISA’s SCuBA-baselines for Microsoft 365 og Google Workspace, producentens benchmark for Azure og CIS-benchmarken for AWS i den udgave, AWS selv viser. Skriv versionen ned, for baselinerne ændres.

Begynd med de tre punkter, der oftest giver fund: hvem der har de højeste roller, hvad brugerne kan dele med folk udefra, og om auditloggen er slået til og gemmes længe nok. De tre kan læses på en dag.

Spørg også udbyderen om dens erklæring, og læs, hvad den dækker. Den handler om platformen og ikke om jeres indstillinger, og det er netop forskellen, gennemgangen skal fylde ud.

Hvad det kræver, og hvad det koster at lade være

Kontrollen kræver læseroller i lejerne og en, der kender de enkelte tjenester godt nok til at forklare standardindstillingerne. Meget kan måles med offentlige værktøjer, men resultatet skal stadig læses i hånden. Uden gennemgang kan en standardindstilling for deling, en gammel nøgle eller en lagerbeholder åben for alle stå i årevis, fordi ingen har spurgt, og udbyderens erklæring hjælper ikke, når fejlen ligger i lejerens opsætning.

Det skal I lade være med

• At lade udbyderens erklæring tælle for jeres egne indstillinger · den dækker platformen.
• At trække udtræk med en global administrator · brug en læserolle.
• At glemme testkonti og gamle abonnementer · de har også rettigheder.
• At lade nøgler leve uden udløb · alder og seneste brug skal kunne vises.

Det skal gennemgangen kunne vise

• ☐ En liste over lejere og cloudkonti med ejer og målestok.
• ☐ Rolletildelinger og delingsindstillinger med udtræk.
• ☐ Auditloggens status og opbevaringstid i hver lejer.
• ☐ Nøgler og hemmeligheder med alder, seneste brug og opbevaring.

Senest gennemgået: november 2026.

Næste skridt

• Gennemgang af Microsoft 365
• Delt ansvar

Læs også: Identitet og adgang · Logning og overvågning

→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT