I et forretningssystem, der købes som tjeneste, driver leverandøren platformen, men login, roller, deling og log er stadig jeres egne indstillinger. Driften kan kontrollere dem uden at drive systemet: hvordan brugerne logger ind, hvem der har hvilke roller, hvad der kan deles ud af systemet, og hvad loggen viser.
Økonomisystemet, kundesystemet og personalesystemet ligger ofte uden for IT-afdelingens daglige blik. De blev købt af økonomi, salg eller HR, og administratoren sidder i forretningen. Alligevel rummer de nogle af virksomhedens mest følsomme data.
Grænsen mellem leverandøren og jer
Microsofts model for delt ansvar er én udbyders bud på grænsen. I den er konfigurationer og indstillinger samt identiteter og brugere kundens ansvar også i SaaS. Andre leverandører kan trække grænsen anderledes, og det er aftalen med den konkrete leverandør, der afgør det. Tabellen er gennemgået i delt ansvar.
Leverandørens egen sikkerhed, dens erklæringer og jeres ret til at kontrollere den hører til et andet spor, som er beskrevet under kontrol af IT-leverandøren. Her handler det kun om det, I selv stiller ind.
Ingen af de målestokke, der er læst til denne artikel, har punkter for økonomi-, kunde- eller personalesystemer specifikt. Kontrolpunkterne nedenfor er derfor almindelig praksis. De er de samme fire for alle systemer, og det gør dem lette at bruge på mange systemer efter hinanden.
Først en liste
Gennemgangen begynder med en liste over forretningssystemer i skyen. For hvert system noteres, hvem der ejer det i forretningen, hvem der er administrator, hvilke data det rummer, og hvordan brugerne logger ind. Listen findes sjældent færdig. Den kan bygges ud fra indkøb, fra fakturaer og fra listen over apps, der bruger fælles login. Hvordan en systemliste bygges fra systemerne selv, står i systemlisten bygget fra systemerne selv.
Login
Det første kontrolpunkt er, om systemet bruger virksomhedens fælles login, eller om brugerne har lokale konti med egne adgangskoder. Med fælles login følger virksomhedens regler for MFA og for lukning af konti, når en medarbejder stopper. SAMSIK skriver i sin vejledning om adgangskoder, at single sign-on gør det nemt for brugerne at tilgå systemerne.
De statslige tekniske minimumskrav, der kun er obligatoriske for statslige myndigheder, har en afgrænsning, der viser tankegangen. En SaaS-løsning falder uden for autentifikationskravet, så længe brugerne ikke logger ind via myndighedens egen platform til autentifikation. Gør de det, falder løsningen ind under kravet. Samtidig anbefaler SAMSIK MFA på alle systemer, hvor det understøttes, uanset om systemet ejes eller blot bruges.
Har systemet lokale konti, er kontrolpunktet, om MFA er slået til, og om der er en proces for at lukke konti. Systemer uden fælles login har deres egen artikel: forretningssystemer uden fælles login.
Roller
Det andet kontrolpunkt er rollerne. Hvor mange har administratorrollen i systemet? Er det personer i forretningen, IT eller leverandøren? Har leverandørens supportkonti fast adgang, eller får de adgang efter behov? Et udtræk af brugere med roller sendes til systemets ejer, som bekræfter, at hver tildeling er rigtig. Det er samme fremgangsmåde som i en almindelig adgangsgennemgang.
Deling og eksport
Det tredje kontrolpunkt er, hvad der kan komme ud af systemet. Kan brugere dele poster eller rapporter med eksterne? Kan de eksportere hele kunde- eller medarbejderlister til regneark? Er der åbne grænseflader eller nøgler til integrationer, og hvem ejer dem? Svarene findes i systemets egne indstillinger og i listen over integrationer.
Log
Det fjerde kontrolpunkt er loggen. Findes der en log over login, ændringer af roller og eksport? Hvor længe gemmes den, og kan I selv hente den? SAMSIK’s logvejledning sætter 13 måneder som anbefalet minimum, hvis lovgivningen ikke kræver andet. Ved ingen, hvad systemets standard er, er det i sig selv et fund. Er loggen kun tilgængelig hos leverandøren, er det et spørgsmål til aftalen, om I kan få den udleveret.
Når administratoren skifter
Forretningssystemer skifter administrator, når folk skifter job. Den nye administrator arver roller og indstillinger uden at kende historikken bag dem. Det er almindelig praksis at give listen over systemer en kolonne for, hvornår administratoren sidst bekræftede rollerne. Så kan det ses, hvis et system er gledet ud af opmærksomheden.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over systemerne og en administrator for hvert, der kan trække brugere, roller og indstillinger. IT kan lave skabelonen, men forretningen må levere svarene. Fire spørgsmål pr. system holder arbejdet overskueligt.
Uden kontrollen kan en fratrådt medarbejder stadig logge ind i kundesystemet, fordi kontoen er lokal og ingen lukkede den. En leverandør kan have fast administratoradgang, som ingen husker at have givet.
Det skal I lade være med
- At gå ud fra, at leverandøren styrer jeres roller · rollerne er jeres egne indstillinger.
- At lade systemer med lokale konti stå uden en proces for lukning · de bliver ikke lukket af fælles login.
- At antage, at loggen findes og gemmes længe nok · se efter i indstillingerne.
Det skal gennemgangen kunne vise
- ☐ En liste over forretningssystemer i skyen med ejer, administrator og data.
- ☐ Om hvert system bruger fælles login eller lokale konti, og om MFA er slået til.
- ☐ Brugere med administratorrolle, bekræftet af systemets ejer.
- ☐ Indstillinger for deling, eksport og integrationer.
- ☐ Logens indhold og opbevaringstid pr. system.
Kilder
- Microsoft Learn, Shared responsibility in the cloud, ms.date 2026-08-24, læst 13. november 2026.
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 1.2 og 3.3, læst 13. november 2026.
- SAMSIK, Vejledning: Password-sikkerhed, 5. udgave, oktober 2026, læst 13. november 2026.
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave 2023, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav listen over forretningssystemer i skyen, og stil de fire spørgsmål om login, roller, deling og log til hvert.
Læs også: Integrationer mellem systemer · Den periodiske adgangsgennemgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
