Bruger I Microsofts sikkerhedsprodukter, har I et tal i administrationsportalen, som ledelsen før eller siden spørger til. Secure Score er en opgørelse af point for anbefalede indstillinger og handlinger, og producenten understreger selv, at tallet ikke siger, hvor sandsynligt det er, at I bliver ramt.
Tallet er nyttigt som arbejdsliste for driften. Det er ikke en gennemgang, og det kan ikke stå alene som bevis for, at opsætningen er i orden.
Hvordan point gives
Microsofts side om Secure Score beskriver pointsystemet. Med egne ord gengivet:
- Point gives for at konfigurere anbefalede sikkerhedsfunktioner og for at udføre sikkerhedsopgaver.
- Point gives også, når en anbefaling er håndteret med et program fra en anden producent eller med en anden afbødning.
- Hver anbefalet handling giver højst 10 point.
- De fleste handlinger er enten opfyldt eller ikke opfyldt. Andre giver point efter, hvor stor en del af miljøet der er dækket. Microsofts eksempel er flerfaktor for 50 af 100 brugere, som giver 5 af 10 mulige point.
- Man kan acceptere risikoen ved en anbefaling.
Det andet og det sidste punkt er dem, driften skal kende. Tallet kan stige, uden at en indstilling er ændret i Microsofts produkter, fordi nogen har markeret anbefalingen som håndteret på anden vis eller som en accepteret risiko.
Microsofts eget forbehold
Microsoft skriver på samme side to ting, der begrænser, hvad tallet kan bruges til. Gengivet med egne ord:
- Tallet måler ikke sandsynligheden for, at systemer eller data kompromitteres, og en høj score er på ingen måde en garanti.
- Anbefalingerne dækker ikke hele den angrebsflade, der hører til hvert produkt.
Forbeholdet kommer fra producenten selv. Det er en god grund til ikke at bruge tallet som den eneste målestok i en rapport til ledelsen.
Tallet holdt op mod en gennemgang
En teknisk gennemgang og Secure Score ser på noget af det samme, men på forskellig måde. Tabellen er sitets sammenstilling.
- Hvilken målestok? · Secure Score: Microsofts egne anbefalinger · Teknisk gennemgang: Den målestok, der er valgt i planen, fx en baseline eller et benchmark
- Hvad med alternative løsninger? · Secure Score: Kan give point, når de markeres · Teknisk gennemgang: Kontrolleres i opsætningen af den alternative løsning
- Hvad med accepteret risiko? · Secure Score: Kan markeres i portalen · Teknisk gennemgang: Kræver en begrundelse på undtagelseslisten
- Hvad med sammenhænge? · Secure Score: Hver anbefaling for sig · Teknisk gennemgang: Opsætningen læst i sammenhæng
- Hvad uden for Microsofts produkter? · Secure Score: Ikke med · Teknisk gennemgang: Med, hvis det er i omfanget
Gennemgangen kan bruge Secure Score som en kilde. Listen over anbefalinger, der ikke er opfyldt, er et godt sted at begynde. Men hver markering af “håndteret på anden vis” eller “risiko accepteret” bør efterprøves: findes den alternative løsning, og er den sat op, så den dækker det samme? Er risikoen accepteret af en, der har mandat til det, og står begrundelsen et sted? Svaret på de to spørgsmål afgør, om de point, markeringen har givet, svarer til noget i opsætningen.
Læseadgang
Microsoft nævner på siden, at blandt andet rollerne Security Reader og Global Reader har læseadgang til Secure Score. Det er relevant, når en gennemgang skal kunne se tallet og anbefalingerne uden at kunne ændre dem. Andre roller og andre dele af platformen kræver deres egne opslag.
En læserolle er at foretrække, når nogen udefra skal se tallet. Så kan de læse anbefalingerne og markeringerne, men ikke ændre en status eller acceptere en risiko på jeres vegne. Rollen bør have en udløbsdato og fjernes, når gennemgangen er slut.
Sådan bruges tallet i driften
Det følgende er praksis:
- Brug listen over anbefalinger som arbejdsliste, sorteret efter jeres egne prioriteringer og ikke kun efter point.
- Træk en liste over alle anbefalinger, der er markeret som håndteret med en anden løsning eller som accepteret risiko. Gennemgå den med faste mellemrum.
- Skriv begrundelsen for hver accepteret risiko på undtagelseslisten, ikke kun i portalen.
- Rapportér tallet til ledelsen sammen med producentens forbehold og en kort beskrivelse af, hvad det ikke dækker.
Det sidste punkt er vigtigt. Et stigende tal er let at kommunikere, men det kan give et billede af sikkerheden, som producenten selv advarer imod.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen jævnligt går listen over anbefalinger igennem og kontrollerer markeringerne af alternative løsninger og accepteret risiko. Det er ikke meget arbejde, når det sker løbende.
Bruges tallet ukritisk, kan ledelsen få et billede af sikkerheden, der er bedre end virkeligheden. Markeringer, ingen længere kan forklare, bliver stående og giver point for noget, der måske ikke findes.
Det skal I lade være med
- At præsentere tallet som et mål for risikoen for brud · Microsoft skriver selv, at det ikke er det.
- At markere anbefalinger som håndteret uden at kunne vise løsningen · tallet stiger, men opsætningen er den samme.
- At lade tallet erstatte en gennemgang · anbefalingerne dækker ikke hele angrebsfladen.
Det skal gennemgangen kunne vise
- ☐ Et udtræk af anbefalingerne med status og dato.
- ☐ En liste over anbefalinger markeret som håndteret på anden vis, med bevis for den alternative løsning.
- ☐ Begrundelse og godkender for hver accepteret risiko.
- ☐ Rapporteringen til ledelsen med producentens forbehold.
Kilder
- Microsoft Learn, Microsoft Secure Score, opdateret 7. august 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over anbefalinger, der er markeret som accepteret risiko eller håndteret på anden vis, og se, om I kan forklare hver af dem.
Læs også: Gennemgang af Microsoft 365 · CISA’s SCuBA-baselines som målestok
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
