Det afgørende spørgsmål er ikke, hvem der ejer maskinen. Det er, hvad maskinen kan nå. En pc, der kan danne en VPN-forbindelse ind i nettet, er en del af miljøet. En pc, der kun ser et skærmbillede fra et virtuelt skrivebord, er det i udgangspunktet ikke.
De statslige minimumskrav trækker grænsen præcist, og deres afgrænsning kan bruges direkte som kontrolspørgsmål i en privat virksomhed.
Statens afgrænsning
Minimumskravene binder statslige myndigheder. For andre er de en målestok. Vejledningen fra september 2025 siger i afsnit 3.1, hvilke klienter kravene gælder:
- stationære, bærbare og virtuelle klienter med adgang til interne systemer,
- også computere, der er udleveret til eksterne konsulenter,
- pc’er, der kan danne VPN-forbindelse, er omfattet.
Og hvilke de ikke gælder:
- pc’er uden adgang til interne systemer, som ikke administreres af myndigheden og kun kan nå internetvendt infrastruktur, fx via virtuelle klienter eller webadgang,
- fysiske klienter, der kun når interne systemer via virtuelle skriveborde, er ikke i sig selv omfattet.
Vejledningen har to tænkte eksempler. I det første står to computere kun på gæstenettet; de er ikke omfattet. I det andet bruger medarbejdere private pc’er med webmail og adgang til virtuelle skriveborde over internettet, uden mulighed for at koble på det interne net. Pc’erne er ikke omfattet. Webmailen og de virtuelle skriveborde er derimod omfattet af kravene til autentifikation og internetvendte tjenester.
Det sidste er pointen. Når maskinen er uden for, flytter kontrollen til den tjeneste, den bruger.
Kontrolspørgsmålene
Ud fra afgrænsningen kan en gennemgang stille fire spørgsmål om hver gruppe af maskiner uden for styringen:
- Kan maskinen danne VPN eller på anden måde komme på det interne net?
- Kan den hente data ned lokalt, fx mail eller filer?
- Ser den kun et skærmbillede fra et virtuelt skrivebord eller en terminalserver?
- Hvilken tjeneste bruger den, og er tjenesten beskyttet med stærk autentifikation?
Et ja til et af de to første spørgsmål betyder, at maskinen hører med i kravene til klienter. Et ja til det tredje flytter kontrollen til det virtuelle skrivebord og dets indstillinger, fx om filer og udklipsholder kan flyttes mellem de to maskiner. Den sidste del er praksis og ikke beskrevet i vejledningen.
Grupperne, der skal findes
Det er almindelig praksis at dele maskinerne uden for styringen i nogle få grupper:
- konsulenters og leverandørers egne maskiner,
- medarbejderes private pc’er til hjemmearbejde,
- maskiner hos datterselskaber eller samarbejdspartnere med adgang,
- gamle maskiner, der aldrig blev meldt ind i styringen.
For hver gruppe skal I kunne sige, hvad den kan nå, og hvorfor. Leverandørernes adgang har sit eget kontrolpunkt i fjernsupportværktøjer og leverandørers adgang.
Teknikken bag svaret
Svarene ligger i opsætningen af de tjenester, der giver adgang. Bilaget til gennemførelsesforordning (EU) 2024/2690, punkt 6.7.2, litra g, siger, at adgang hvis det er relevant kun tillades fra udstyr, som virksomheden har godkendt. Bilaget gælder de digitale tjenesteudbydere, forordningen nævner, og er en målestok for andre.
CISA’s baseline for Entra ID (SCuBA) siger i MS.AAD.3.7v1, at styrede enheder bør kræves ved login. Det er et “bør” og ikke et “skal” i baselinen, og baselinen er obligatorisk for amerikanske føderale myndigheder, ikke for jer.
Kontrollen læser derfor tre steder:
- VPN-opsætningen: Kræver den en godkendt maskine, eller er brugernavn og kode nok?
- Lejerens politikker for adgang: Kræves en styret enhed ved login til mail og filer?
- Det virtuelle skrivebord: Hvad kan flyttes mellem den lokale maskine og sessionen?
VPN-opsætningen gennemgås for sig i VPN-opsætningen.
Når maskinen er inden for
Viser kontrollen, at en gruppe maskiner faktisk kan nå det interne net, er der to veje. Enten tages maskinerne ind i styringen og måles som de andre klienter. Eller adgangen ændres, så de kun ser et skærmbillede. Hvilken vej der er bedst, afhænger af, hvor mange maskiner det drejer sig om, og hvor længe de skal have adgang.
For konsulenter er det almindelig praksis at udlevere en maskine fra jeres egen styring, når opgaven kræver netadgang. Statens vejledning nævner netop computere udleveret til eksterne konsulenter som omfattet, så den løsning gør maskinen til en del af jeres opgørelse.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over de veje, man kan komme ind ad, og udtræk af reglerne for hver. Det er sjældent mange veje, men de er ofte sat op på forskellige tidspunkter af forskellige folk.
Uden kontrollen kan en konsulent-pc med VPN-adgang være den mest åbne maskine i miljøet uden at stå i nogen opgørelse. Den er ikke krypteret efter jeres politik, den har ikke jeres beskyttelse, og ingen ved, hvem der ellers bruger den.
Det skal I lade være med
- At afgøre spørgsmålet efter ejerskab · prøven er, hvad maskinen kan nå.
- At give VPN til ustyrede maskiner med brugernavn og kode alene · kræv godkendt udstyr.
- At glemme tjenesten, når maskinen er uden for · webmail og virtuelle skriveborde skal stadig have stærk autentifikation.
Det skal gennemgangen kunne vise
- ☐ En liste over grupper af maskiner uden for styringen og hvad hver kan nå.
- ☐ VPN-opsætningens krav til maskinen, der forbinder.
- ☐ Lejerens regler for styrede enheder ved login.
- ☐ Indstillingerne for flytning af data mellem lokal maskine og virtuelt skrivebord.
Kilder
- Vejledning til de tekniske minimumskrav (september 2025), afsnit 3.1 og scenarie 2.1A og 2.1B, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.7.2, læst 13. november 2026.
- CISA, M365 Secure Configuration Baseline for Microsoft Entra ID (SCuBA), MS.AAD.3.7v1, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de veje ind i miljøet op, som ustyrede maskiner kan bruge, og marker for hver, om den giver netadgang eller kun et skærmbillede.
Læs også: Politikker for betinget adgang: huller mellem reglerne · Fjernskrivebord og terminalservere
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
