Hver gang en medarbejder deler et dokument med en samarbejdspartner eller inviterer en leverandør ind i et team, kan der komme en gæst i kataloget. Over tid bliver det til mange eksterne konti, som ingen samlet har overblik over. Kontrollen handler om tre ting: hvem gæsterne er, hvem der har lov at invitere dem, og hvad de kan se, når de først er inde.
Sammenligningen sker mod to ting: de tre gæstepunkter i SCuBA fra CISA og de indstillinger, Microsoft leverer lejeren med. Om selve aftalen med leverandøren er overholdt, hører til kontrollen af IT-leverandøren. Her handler det om kontiene i jeres eget katalog.
Hvad producenten har slået til som standard
Microsoft oplyser, at alle brugere i organisationen som standard kan invitere eksterne brugere. Det gælder også gæster, som altså selv kan invitere andre gæster ind. Der er tre niveauer for, hvad gæster kan se i kataloget, fra samme adgang som medlemmer til kun deres egen profil.
En lejer, hvor ingen har rørt indstillingerne, giver derfor bred adgang til at invitere. Det er det første, gennemgangen ser efter.
Hvad baselinen anbefaler
SCuBA har tre punkter om gæster. Alle tre er anbefalinger (SHOULD) og ikke krav (SHALL) i baselinens sprog:
- Begrænset adgang til katalogobjekter · MS.AAD.8.1v1. Gæster bør se færre oplysninger om brugere og grupper end medlemmer.
- Kun brugere med rollen Guest Inviter inviterer · MS.AAD.8.2v1. Retten til at invitere bør ligge hos dem, der har fået den.
- Invitationer kun til godkendte domæner · MS.AAD.8.3v1. Eksterne brugere bør kun kunne inviteres fra domæner, virksomheden har godkendt.
SCuBA er udgivet af den amerikanske cybersikkerhedsmyndighed CISA og bindende for amerikanske civile føderale myndigheder. For en dansk virksomhed er den et offentligt sammenligningsgrundlag.
Forordning 2024/2690 tager tredjeparter op i bilagets punkt 11.2.2, litra d): deres adgang skal holdes nede, både i omfang og i tid. Bilaget binder de typer af digitale tjenesteudbydere, forordningen er rettet mod. De to led, omfang og tid, er en god ramme for kontrollen af gæster, uanset om forordningen gælder for jer.
Udtrækkene
En gennemgang kan typisk bygge på tre udtræk. Valget er praksis:
- Lejerens indstillinger for eksternt samarbejde · hvem der må invitere, hvilket niveau af katalogadgang gæster har, og om der er en liste over tilladte eller blokerede domæner.
- Alle gæstekonti · med oprettelsesdato, hvem der inviterede, om invitationen blev accepteret, og sidste login.
- Gæsternes medlemskaber · hvilke grupper, teams og websteder hver gæst er medlem af, og hvilke roller de eventuelt har.
Det tredje udtræk er det, der viser omfanget. En gæst i et enkelt projektteam er noget andet end en gæst med en administratorrolle eller adgang til mange teams.
Det, gennemgangen typisk spørger til
Udtrækkene giver fire spørgsmål, som er praksis:
- Gæster uden nyligt login · en invitation, der aldrig blev accepteret, eller en gæst uden login i mange måneder, kan fjernes. Samme tankegang som ved inaktive og forældreløse konti.
- Gæster med roller · eksterne konti med administrative roller skal med i opgørelsen over administratorer og forklares.
- Gæster fra uventede domæner · fx private mailadresser, hvor man ville forvente en leverandørs domæne.
- Gæster uden en intern ejer · ingen kan sige, hvorfor de er der.
Microsoft anbefaler at bede gruppeejere bekræfte, om de stadig har brug for gæsterne i deres grupper. Det kan gøres med adgangsgennemgange i Entra ID, som kræver en udvidet licens, eller manuelt ud fra udtrækket. Microsoft nævner også, at gæster og partnere, der er inviteret til en administrativ opgave, bør fjernes igen bagefter.
Varighed
Bilagets ord om tid peger på, at en gæst ikke bør have adgang uden slutdato. Det er praksis at give eksterne en udløbsdato eller at gennemgå dem i en fast rytme. Hvilken rytme der passer, afhænger af, hvor mange gæster der er, og hvad de har adgang til. En gennemgang, der viser, at ingen gæst nogensinde er blevet fjernet, er et fund, uanset rytmen. Når et samarbejde med en leverandør slutter, er det også naturligt at fjerne alle gæster fra leverandørens domæne på én gang. Udtrækket sorteret efter domæne gør det let at se, hvem der hører til hvem.
Hvad det kræver, og hvad det koster at lade være
Det kræver læseadgang til indstillingerne og en liste over gæster med medlemskaber. Rettelsen er at begrænse retten til at invitere, at begrænse gæsters katalogadgang og at give gruppeejerne ansvaret for deres gæster. Første oprydning tager tid, fordi ejerne skal findes.
Uden kontrollen kan leverandørens tidligere medarbejdere stadig have adgang til jeres teams og filer længe efter, at samarbejdet er slut. Gæster, der kan invitere andre gæster, gør det sværere at se, hvem der egentlig har adgang.
Det skal I lade være med
- At lade alle, også gæster, invitere eksterne · det er producentens standard.
- At give gæster samme katalogadgang som medlemmer · SCuBA anbefaler begrænset adgang.
- At lade gæster stå uden intern ejer · så kan ingen tage stilling til dem.
Det skal gennemgangen kunne vise
- ☐ Lejerens indstillinger for invitationer og gæsters katalogadgang med dato.
- ☐ En liste over gæster med inviterende bruger, sidste login og medlemskaber.
- ☐ Gæster med roller markeret og forklaret.
- ☐ Ejere, der har bekræftet behovet for deres gæster.
- ☐ Den fastsatte rytme for gennemgang af eksterne.
Kilder
- CISA, M365 Secure Configuration Baseline for Microsoft Entra ID, MS.AAD.8.1v1 til 8.3v1, læst 13. november 2026.
- Microsoft Learn, External collaboration settings, opdateret 24. april 2026, læst 13. november 2026.
- Microsoft Learn, Access reviews, opdateret 12. marts 2026, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 11.2.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over gæster, og sorter den efter sidste login. De ældste er de første, der skal have en ejer eller fjernes.
Læs også: Fjernsupportværktøjer og leverandørers adgang · Den periodiske adgangsgennemgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
