I et miljø, der styres med Windows-politikker, står Mac- og Linux-klienterne ofte uden for. De bliver ikke ramt af gruppepolitikken, de er ikke med i rapporten fra styringsværktøjet, og ingen har valgt en målestok til dem. Gennemgangen skal først finde dem og derefter afgøre, hvad de holdes op imod.
Det kan være udviklerens bærbare, designafdelingens maskiner eller en enkelt Linux-pc i produktionen. Antallet er ofte lille, men de har samme adgang som resten.
Statens krav gælder uanset styresystem
Vejledningen til de tekniske minimumskrav for statslige myndigheder er tydelig. Kravene til klienter gælder “uanset hvilket operativsystem, der anvendes på klienten” (afsnit 3.1). Kravene om firewall, diskkryptering, endpoint-beskyttelse, brugere uden administratorrettigheder og styresystem under support gælder altså også for en Mac eller en Linux-maskine.
Kravene binder kun statslige myndigheder. Private virksomheder kan bruge dem som målestok med dato. Pointen er den samme: Gennemgangen bør følge maskinerne og ikke styresystemet.
Hvorfor baselinen ikke rammer
Microsofts sikkerhedsbaselines dækker Windows-udgaver. Det står i Microsofts egen beskrivelse af dem. At andre klienter dermed står uden for “baselinen” i et Windows-miljø, er vores tolkning, men det er den, der skaber hullet: Politikken er skrevet til de maskiner, den kan nå.
Det samme gælder rapporterne. Viser styringsværktøjet kun Windows-maskiner, vil dækningen af kryptering, beskyttelse og opdateringer se bedre ud, end den er.
Find maskinerne
Der er ingen læst kilde for, hvordan maskinerne findes. Det er almindelig praksis at bruge flere kilder og sammenligne dem:
- kataloget, hvis maskinerne er meldt ind,
- DHCP og netværkets egne lister over tilsluttede enheder,
- indkøbslisten eller listen over udleverede maskiner,
- styringsværktøjer, hvis Mac- eller Linux-maskinerne har deres eget.
Maskiner, der kun findes på netværket og ikke i nogen af de andre lister, er de første, der skal undersøges. Hvordan systemlisten bygges fra flere kilder, står i systemlisten bygget fra systemerne selv.
Vælg en målestok
Når maskinerne er fundet, skal de holdes op imod noget. Der er tre veje, og de kan kombineres.
Den første er statens krav, punkt for punkt. De er skrevet uden hensyn til styresystem og er derfor brugbare som fælles tjekliste for alle klienter.
Den anden er et benchmark. CIS udgiver benchmarks for mange produktfamilier. CIS skriver i sin FAQ, at de har profilerne Level 1 og Level 2 og en STIG-profil. Level 1 er grundlæggende og kan indføres forholdsvis hurtigt. Level 2 er forsvar i dybden og kan have negative virkninger. CIS anbefaler at afprøve i et testmiljø først. Hvilke benchmarks der findes for Mac og for Linux på skrivebordet, og hvad de indeholder, har vi ikke læst. Slå det op, før I vælger.
Den tredje er en egen baseline, der beskriver de få indstillinger, I kræver på alle klienter. Den er lettest at holde, men sværest at forsvare, hvis den ikke peger på en offentlig målestok.
For Ubuntu beskriver Canonical et værktøj, der kan revidere et system mod CIS-profiler og DISA-STIG og lave en rapport. Den læste side viser kommandoen til serverprofilen. Om der er en profil til arbejdsstationer, fremgår ikke af det, vi har læst. Værktøjet forudsætter et abonnement.
Kontrolpunkterne
Uanset målestok kan en gennemgang stille de samme spørgsmål til hver Mac- og Linux-klient:
- Er disken krypteret?
- Er den lokale firewall slået til?
- Arbejder brugeren uden administratorrettigheder til daglig?
- Er styresystemet under support og opdateret?
- Er der endpoint-beskyttelse, og melder den sig?
- Bliver maskinen ramt af nogen central styring overhovedet?
Svarene skal komme fra maskinen selv, fx som output af en indbygget kommando, eller fra et styringsværktøj, der dækker den. Spørgsmålet om centralt styrede maskiner hænger sammen med klienter uden for styringen.
Når afvigelserne skal skrives
Afvigelser på Mac og Linux skrives på samme måde som på Windows: kontrolpunktet, målestokken, den faktiske tilstand og maskinerne, det gælder. Det gør det muligt at samle fundene i én liste og prioritere dem efter samme regler. Står Mac- og Linux-fundene i et bilag for sig, bliver de ofte rettet sidst.
Kan en maskine ikke leve op til målestokken, fx fordi et fagprogram kræver noget bestemt, skal undtagelsen skrives ned med begrundelse og udløb. Det er samme princip som for alle andre undtagelser, beskrevet i undtagelseslisten.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over alle klienter uanset styresystem og en målestok, I har valgt med vilje. Med få maskiner kan kontrollen gøres i hånden. Med mange bør maskinerne ind i et styringsværktøj, så de kan måles som resten.
Uden kontrollen er Mac- og Linux-klienterne et hul i alle de andre opgørelser. Rapporten om kryptering, opdateringer og beskyttelse viser et billede af de maskiner, der var lette at måle.
Det skal I lade være med
- At læse dækningen i et værktøj, der kun ser Windows · tæl alle klienter.
- At vælge Level 2 uden afprøvning · CIS advarer selv om negative virkninger.
- At lade “vi har kun få” være begrundelsen · få maskiner med fuld adgang er stadig fuld adgang.
Det skal gennemgangen kunne vise
- ☐ En liste over klienter med andet styresystem end Windows, fundet i mere end én kilde.
- ☐ Den valgte målestok for dem, med dato.
- ☐ Status for kryptering, firewall, rettigheder og opdatering pr. maskine.
- ☐ Om maskinerne er under central styring, og hvilken.
Kilder
- Vejledning til de tekniske minimumskrav (september 2025), afsnit 3.1, læst 13. november 2026.
- CIS, CIS Benchmarks FAQ, læst 13. november 2026.
- Microsoft Learn, Security baselines guide, læst 13. november 2026.
- Canonical, Ubuntu security documentation, afsnittene om Ubuntu Security Guide, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find klienterne med andet styresystem end Windows i DHCP og katalog, og skriv ned, hvilken målestok de holdes op imod i dag.
Læs også: Valg af målestok · Diskkryptering på bærbare
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
