En gennemgang af Microsoft 365 læser lejerens opsætning område for område: identiteter, post, filer og deling, samarbejde, sikkerhedsfunktioner og auditlog. Rammen kan være CISA’s offentlige SCuBA-baselines, og beviset er udtræk, som driften selv kan trække med en læserolle.
For mange virksomheder samler lejeren post, dokumenter, møder og identiteter ét sted. En enkelt slap indstilling kan derfor åbne for meget på én gang. Her er det beskrevet, hvordan lejeren deles op, og hvad hvert område bliver holdt op imod.
En offentlig baseline som disposition
CISA er den amerikanske myndighed for cyber- og infrastruktursikkerhed. Under projektet SCuBA udgiver den baselines for Microsoft 365 og Google Workspace. Til Microsoft 365 hører værktøjet ScubaGear, der måler lejerens opsætning mod baselinerne. Værktøjet kan bruges af myndigheder og private uden licensbetaling. Version 2.0.0 kom 22. oktober 2026.
Baselinerne binder amerikanske føderale civile myndigheder. For alle andre er de skrevet til information. En dansk virksomhed kan vælge dem som målestok, og så bør rapporten sige, at valget er jeres eget. Hvordan baselinerne bruges som målestok, er uddybet i CISA’s SCuBA-baselines som målestok.
I version 2.0.0 er Microsoft 365 delt i otte områder: Entra ID, Exchange Online, SharePoint og OneDrive, Teams, Power BI, Power Platform, Security Suite og et område, værktøjet kalder “si”. Den tidligere baseline for Defender er udgået og afløst af Security Suite. Det er værd at vide, hvis en ældre rapport henviser til den.
Post, deling og log: punkter med en læst ordlyd
For tre af områderne er baselinens punkter gengivet her.
Postsystemet. Baselinen for Exchange Online siger, at post ikke automatisk kan sendes videre til eksterne domæner, at SMTP AUTH er slået fra, at brugerne advares ved eksterne afsendere, og at postkasseaudit er slået til. Gennemgangen af netop de indstillinger står i postsystemet i skyen.
Filer og deling. Baselinen for SharePoint og OneDrive sætter standardomfanget for deling til bestemte personer og standardrettigheden til visning. Står delingen på “Anyone”, skal den slags links udløbe efter højst 30 dage.
Auditlog. Security Suite-baselinen siger, at den samlede auditlog er slået til, at loggen kan søges i mindst 3 måneder og hentes i mindst 12. Det er CISA’s tal for føderale myndigheder. SAMSIK anbefaler i sin logvejledning at gemme logs i mindst 13 måneder, medmindre lovgivning siger andet. Rapporten bør skrive begge tal som det, de er.
Identitet, Teams og apps: lejerens egne indstillinger
Baselinerne for Entra ID, Teams, Power BI, Power Platform og “si” er ikke gengivet i denne artikel. Gennemgangen af de områder bygger derfor på lejerens egne indstillinger og på almindelig praksis. Typisk kontrolleres, hvem der har faste administratorroller, hvor mange brugere MFA reelt dækker, hvilke apps der har fået samtykke til brede rettigheder, og om gæster kan oprette møder og kanaler uden kontrol. Hvert af de punkter har sin egen artikel under identitet og adgang, fx MFA-dækning.
Secure Score er et pejlemærke
Microsoft Secure Score beskrives af Microsoft som et mål for organisationens sikkerhedsstilling. Lejeren får point for anbefalede funktioner, opgaver og tiltag, også når et punkt er løst med en anden løsning eller en alternativ afbødning. En risiko kan markeres som accepteret.
Alle anbefalinger for et produkt vises, uanset hvilken licensudgave lejeren har. Microsoft skriver selv, at scoren ikke er et absolut mål for, hvor sandsynligt et brud er, og at den ingen garanti giver. I en gennemgang er scoren derfor et sted at begynde. De accepterede risici er interessante, fordi hver af dem bør have en begrundelse og en ejer.
Adgangen og udtrækkene
Ifølge Microsofts dokumentation kan rollerne Security Reader og Global Reader se Secure Score. En af dem er det naturlige udgangspunkt for den, der gennemgår, fordi de giver læsning uden ret til at ændre. Adgangen tildeles for en afgrænset periode og lukkes bagefter.
Resten af udtrækkene er praksis. Det er almindeligt at trække indstillingerne med platformens egne PowerShell-moduler eller fra administrationscentrene og gemme dem med dato og navn på den, der trak dem. Køres ScubaGear, er rapporten selv et udtræk. Gem den sammen med versionsnummeret, fordi baselinerne ændrer sig mellem versioner.
Når staten er målestokken
De statslige tekniske minimumskrav er kun obligatoriske for statslige myndigheder. Vejledningen fra september 2025 har et par afgrænsninger, der også er nyttige for andre. En SaaS-løsning er ikke omfattet af autentifikationskravet, medmindre login er integreret med myndighedens egen autentifikationsplatform. En cloudbaseret postløsning, hvor login er integreret med myndighedens katalog, er derimod omfattet af passwordkravet. Den samme tankegang kan en privat virksomhed bruge til at afgøre, hvilke systemer der arver lejerens loginregler.
Hvad det kræver, og hvad det koster at lade være
Det kræver en læserolle i et par uger, en driftsperson, der kender lejerens historik, og tid til at forklare de afvigelser, der er valgt med vilje. Udtrækkene tager kort tid. Forklaringerne tager længere.
Uden en gennemgang lever lejeren med de standardvalg, den blev oprettet med, og med de ændringer, der er lavet undervejs uden sammenhæng. Det kan betyde, at post sendes videre ud af huset, eller at filer deles bredere end tiltænkt, og ingen har taget stilling til det.
Det skal I lade være med
- At læse Secure Score som en karakter · tallet måler anbefalinger og er ifølge Microsoft ingen garanti.
- At skrive CISA’s baseline som et krav til jer · den er en målestok, I vælger.
- At give den, der gennemgår, en administratorrolle · en læserolle er nok til langt de fleste udtræk.
Det skal gennemgangen kunne vise
- ☐ Hvilken baseline og hvilken version lejeren er holdt op imod.
- ☐ Udtræk fra hvert område med dato og navn på den, der trak dem.
- ☐ Status for videresendelse, SMTP AUTH, ekstern deling og auditlog.
- ☐ Listen over accepterede risici i Secure Score med begrundelse.
- ☐ Hvilken læserolle der blev brugt, og hvornår den blev lukket.
Kilder
- CISA, Secure Cloud Business Applications (SCuBA), læst 13. november 2026.
- CISA, ScubaGear-baseline for Exchange Online (exo.md), v2.0.0, læst 13. november 2026.
- CISA, ScubaGear-baseline for SharePoint og OneDrive, v2.0.0, læst 13. november 2026.
- CISA, ScubaGear Security Suite-baseline, v2.0.0, MS.SECURITYSUITE.5.1v1 og 5.2v1, læst 13. november 2026.
- Microsoft Learn, Microsoft Secure Score, ms.date 2026-03-07, læst 13. november 2026.
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 1.2, 3.3 og 3.4, læst 13. november 2026.
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave 2023, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk Secure Score og listen over accepterede risici med en læserolle, og se, om hver accept har en begrundelse.
Læs også: Adgange til den, der gennemgår · Privilegerede roller i skyen
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
