Ekstern deling kontrolleres i to trin: først de indstillinger, der afgør, hvad brugerne kan dele, derefter det, der allerede er delt. CISA’s baseline for SharePoint og OneDrive giver målestokken for indstillingerne, mens opgørelsen af delte filer og gæster er driftens eget arbejde.
Deling er lavet til at være let. En medarbejder kan på få sekunder give en ekstern rådgiver adgang til en mappe, og adgangen bliver ofte stående, når opgaven er slut. Over nogle år giver det mange links og gæster, som ingen længere kender formålet med.
Skyderen og de tre spørgsmål
Delingsindstillingen for SharePoint og OneDrive er en skyder med trin fra kun organisationen til alle med linket. Gennemgangen stiller tre spørgsmål til den. Hvor står skyderen for SharePoint? Hvor står den for OneDrive? Og er der enkelte websteder, der er sat mere åbent end lejeren som helhed?
Det sidste spørgsmål overses let. Et enkelt projektwebsted kan være åbnet for alle med linket, selv om lejeren ellers er stram. Beviset er et udtræk af lejerens indstilling og af delingsindstillingen pr. websted.
Hvad CISA’s baseline siger
Baselinen for SharePoint og OneDrive i ScubaGear version 2.0.0 har disse punkter:
- MS.SHAREPOINT.1.1v1 og 1.2v1 · Ekstern deling begrænset til eksisterende gæster eller kun organisationen, for SharePoint og OneDrive hver for sig
- MS.SHAREPOINT.1.3v1 · Ekstern deling begrænset til godkendte domæner eller brugere i godkendte sikkerhedsgrupper
- MS.SHAREPOINT.2.1v1 · Standardomfanget for deling af filer og mapper er bestemte personer
- MS.SHAREPOINT.2.2v1 · Standardrettigheden er visning
- MS.SHAREPOINT.3.1v1 · Links af typen “Anyone” udløber efter højst 30 dage
- MS.SHAREPOINT.3.2v1 · Links af typen “Anyone” giver kun visning
- MS.SHAREPOINT.3.3v2 · Personer, der logger ind med en bekræftelseskode, skal godkendes igen efter højst 30 dage
Nogle punkter gælder kun i bestemte stillinger. Punkt 1.3 gælder, når skyderen står mere åbent end kun organisationen eller eksisterende gæster. Punkt 3.1 og 3.2 gælder kun, når skyderen står på “Anyone”. Står jeres skyder strammere, er de to punkter opfyldt, fordi linktypen slet ikke findes.
Baselinen binder amerikanske føderale civile myndigheder. For en dansk virksomhed er den en målestok, man vælger, og I kan godt have gode grunde til at afvige. Afvigelsen bør stå i rapporten med en begrundelse.
Standardvalget betyder mest
Brugerne vælger sjældent selv omfang og rettighed. De tager det, der står forvalgt i delingsdialogen. Derfor er standardomfang og standardrettighed de to indstillinger, der påvirker flest delinger. Står standarden på alle i organisationen med redigering, deles der bredt, også når det ikke var meningen.
Baselinens valg, bestemte personer og visning, betyder, at brugeren aktivt skal vælge noget bredere. Det giver en lille ekstra handling for brugeren og et meget mindre omfang af delte filer over tid.
Opgørelsen af det, der allerede er delt
Indstillingerne styrer fremtiden. Det, der er delt i går, ligger der endnu. Baselinen siger intet om, hvordan omfanget opgøres, så her er gennemgangen praksis.
Det er almindeligt at trække tre lister fra platformens egne rapporter og kommandoer. En liste over gæstebrugere med dato for seneste login. En liste over websteder og teams med eksterne medlemmer. Og en liste over filer og mapper, der er delt med links udadtil, med linktype og oprettelsesdato. Listerne sorteres efter alder og linktype, så de ældste og bredeste delinger står øverst.
Gæster uden login i lang tid og links uden udløb er de typiske fund. Hvert team eller websted bør have en ejer, der kan svare på, om de eksterne stadig skal have adgang. Gæsternes egen livscyklus er beskrevet i gæstebrugere og leverandørkonti i kataloget.
Teams og gæster
Gæster i Teams følger samme spor som gæster i dokumentbibliotekerne. Gennemgangen spørger, hvem der er gæster, hvilke teams de er med i, og hvem der ejer hvert team. Opgørelsen laves af driften ud fra lejerens egne lister. CISA’s baseline for Teams er ikke gengivet i denne artikel, så her er der ingen punkter at henvise til.
Gæster med bekræftelseskode
Ikke alle eksterne har en konto, der kan bruges til login. Nogle logger ind med en engangskode, der sendes til deres mailadresse. Baselinens punkt 3.3 siger, at de skal godkendes igen efter højst 30 dage. Uden den grænse kan en person, der engang fik en kode, fortsætte med at åbne filerne, så længe delingen findes. Kontrolpunktet er indstillingen for genautentificering og antallet af dage, den står på.
Hvem trækker hvad
Indstillingerne for deling kan læses af en person med læseadgang til administrationscenteret for SharePoint. Listerne over gæster kommer fra katalogets brugerudtræk. Listen over delte links kræver ofte en kommando eller rapport, der går websted for websted, og den tager længst tid at køre i en stor lejer. Gem udtrækkene med dato, så en opfølgende gennemgang kan vise, om antallet af gamle links og inaktive gæster er faldet.
Hvad det kræver, og hvad det koster at lade være
Indstillingerne kan driften læse og rette på kort tid. Opgørelsen af det, der allerede er delt, tager længere, fordi den kræver svar fra ejerne af websteder og teams. Planlæg den, så ejerne får listen og en frist for at svare.
Uden kontrollen vokser mængden af delte filer år for år. Ingen ved, hvem der har adgang til hvad, og når en ekstern partner ikke længere er partner, har de stadig adgang til mappen fra sidste projekt.
Det skal I lade være med
- At stramme skyderen uden at se på de enkelte websteder · et websted kan være sat mere åbent end lejeren.
- At slette alle gæster på én gang · send listen til ejerne, så aktive samarbejder ikke stopper.
- At tolke et tomt fund for “Anyone”-links som et problem · punktet gælder kun, når linktypen er tilladt.
Det skal gennemgangen kunne vise
- ☐ Skyderens stilling for SharePoint og for OneDrive.
- ☐ Websteder med en mere åben delingsindstilling end lejeren.
- ☐ Standardomfang og standardrettighed i delingsdialogen.
- ☐ Udløb og rettighed for links, hvis “Anyone” er tilladt.
- ☐ En liste over gæster med seneste login og ejerens svar.
- ☐ En liste over delte links sorteret efter alder og type.
Kilder
- CISA, ScubaGear-baseline for SharePoint og OneDrive (sharepoint.md), v2.0.0, MS.SHAREPOINT.1.1v1 til 3.3v2, læst 13. november 2026.
- CISA, Secure Cloud Business Applications (SCuBA), læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Se, hvad der står forvalgt, når en bruger deler en fil, og træk listen over gæster med seneste login.
Læs også: Gennemgang af Microsoft 365 · Postsystemet i skyen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
