En gennemgang af et Azure-miljø kan disponeres efter Microsofts egen benchmark, Microsoft cloud security benchmark. Dens domæner giver kapitlerne: netværk, identitet, privilegeret adgang, databeskyttelse, logning, backup og resten. Version 2 er i preview pr. november 2026, og det skal stå i rapporten.
Mange Azure-miljøer er vokset frem projekt for projekt. Et abonnement til udvikling, et til et fagsystem, et til en dataplatform. Hvert har sine egne rettigheder og netværksregler, og ingen har set dem samlet. En fælles disposition gør det muligt at gå dem igennem på samme måde.
Benchmarken som disposition
Microsoft cloud security benchmark version 2 er ifølge Microsofts oversigt “currently in preview” og afløser version 1. Oversigten er dateret 15. januar 2026. Den deler kontrollerne i tolv domæner:
- NS · Network Security
- IM · Identity Management
- PA · Privileged Access
- DP · Data Protection
- AM · Asset Management
- LT · Logging and Threat Detection
- IR · Incident Response
- PV · Posture and Vulnerability Management
- ES · Endpoint Security
- BR · Backup and Recovery
- DS · DevOps Security
- AI · Artificial Intelligence Security
Domænerne er brugbare som kapitler i en rapport, også hvis I ikke bruger hver enkelt kontrol. De sikrer, at gennemgangen kommer rundt om de samme emner hver gang, og at to abonnementer kan sammenlignes.
Hvad hver kontrol indeholder
Ifølge oversigten har hver kontrol blandt andet et ID, en henvisning til Azure Policy, et princip, en beskrivelse af risikoen, vejledning, et eksempel og en kritikalitet. Kritikaliteten har tre trin: “Must have”, “Should have” og “Nice to have”. Kontrollerne er også mappet til andre rammer, blandt andet NIST SP 800-53 revision 5, CIS Controls v8.1 og ISO 27001:2022. Over 420 indbyggede Azure Policy-definitioner er mappet til benchmarken.
Kritikaliteten er nyttig, når fundene skal sorteres. En afvigelse fra en kontrol mærket “Must have” bør stå før en afvigelse fra “Nice to have”. Indholdet af de enkelte kontroller, fx NS-1, er ikke gengivet i denne artikel. Den, der gennemgår, læser kontrolsiden den dag, den bruges, fordi versionen er i preview og kan ændre sig.
Version 1 og version 2 side om side
En tidligere gennemgang kan være bygget på version 1. Skal I sammenligne resultaterne med en ny gennemgang, bør begge rapporter sige, hvilken version de bruger. To versioner har ikke nødvendigvis de samme kontroller eller den samme nummerering, og et fund, der forsvinder, kan skyldes, at kontrollen er ændret, og ikke at opsætningen er rettet. Den slags forskelle er lettere at forklare, når versionen står på forsiden af rapporten.
Det, mappingen ikke lover
Microsoft skriver selv, at mappingen til branchestandarder kun viser, at Azure-funktioner helt eller delvis kan adressere et krav. Ordene er, at “such implementation doesn’t necessarily translate to the full compliance”. Et grønt resultat i en policy-rapport betyder altså ikke, at et krav i ISO 27001 eller NIST er opfyldt. Rapporten bør skrive resultaterne som opsætningens status, ikke som overholdelse.
Rettigheder, netværk og lager i praksis
Benchmarkens domæner er overskrifterne. Selve kontrolpunkterne i gennemgangen er almindelig praksis og ligner dem, der bruges andre steder i miljøet.
Rettigheder. Hvem har ejer- og bidragyderroller på abonnementsniveau, og er de tildelt fast eller efter behov? Er der tjenestekonti med brede roller, som ingen ejer? Rollerne gennemgås for hvert abonnement og for administrationsgrupperne over dem, fordi en rolle kan være givet på et niveau over selve abonnementet. Emnet er uddybet i privilegerede roller i skyen.
Netværk. Hvilke ressourcer har en offentlig adresse, og hvilke netværksregler tillader trafik ind fra hele internettet? Er administrationsporte åbne udadtil? Netværksreglerne læses som et regelsæt, på samme måde som en firewall.
Lager. Kan lagerkonti nås fra internettet, er anonym læsning slået fra, og kræves krypteret forbindelse? Hvem har nøglerne til lagerkontoen, og hvornår blev de skiftet sidst?
Benchmarkens domæner for logning og backup giver to kapitler mere: sendes aktivitetsloggen til et sted, hvor den gemmes, og er de vigtige ressourcer med i en backup, der er testet?
Læseadgangen
Den, der gennemgår, har brug for læseadgang til alle abonnementer i omfanget. Det er almindelig praksis at tildele en læserolle på et niveau, der dækker dem alle, i en afgrænset periode, og at fjerne den bagefter. Udtrækkene er typisk lister over rolletildelinger, netværksregler, ressourcer med offentlig adresse, lagerkontiens indstillinger og resultatet af de policy-vurderinger, der allerede er slået til. Hvordan læseadgang gives på tværs af platforme, står i adgange til den, der gennemgår.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen kender alle abonnementer, også dem, udviklere eller leverandører har oprettet. Uden en komplet liste bliver gennemgangen ufuldstændig, før den er begyndt. Selve udtrækkene tager kort tid, når læseadgangen er på plads.
Uden en gennemgang ligger rettigheder og åbninger i de enkelte abonnementer, som de blev sat op til det første projekt. En åben administrationsport eller en lagerkonto, der kan læses udefra, opdages så af andre end jer.
Det skal I lade være med
- At kalde et grønt policy-resultat for overholdelse af en standard · Microsoft skriver selv, at det ikke nødvendigvis er tilfældet.
- At skrive version 2 af benchmarken som endelig · den er i preview pr. november 2026.
- At gennemgå ét abonnement og lade resten ude · en rolle kan være givet et niveau højere oppe.
Det skal gennemgangen kunne vise
- ☐ En liste over alle abonnementer og administrationsgrupper i omfanget.
- ☐ Hvilken version af benchmarken der er brugt, og at den er i preview.
- ☐ Rolletildelinger på abonnements- og gruppeniveau med ejer.
- ☐ Ressourcer med offentlig adresse og regler, der tillader trafik fra hele internettet.
- ☐ Lagerkontiens indstillinger for offentlig adgang og krypteret forbindelse.
- ☐ Fund sorteret efter benchmarkens kritikalitet.
Kilder
- Microsoft Learn, Overview of the Microsoft cloud security benchmark v2 (preview), ms.date 2026-01-15, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav en liste over alle abonnementer, og giv den, der skal gennemgå, en læserolle, der dækker dem alle.
Læs også: Nøgler og hemmeligheder i skyen · Infrastruktur som kode
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
