Microsoft 365-säkerhet: checklista för småföretag
CyberLord-teamet Författarprofil
Microsoft 365 är sällan osäkert för att någon valt fel produkt, utan för att standardinställningarna är gjorda för att få igång arbetet snabbt, inte för att stå emot en angripare som redan har ett lösenord. Ofta avgör fyra inställningar om ett intrång stannar vid ett konto eller blir ett ärende hos IMY.
Checklistan går i den ordning vi brukar gå igenom en tenant: identitet, e-post, delning, enheter, loggning och avslut. De flesta punkter kräver bara administratörsbehörighet.
Börja med identiteten, inte med brandväggen
Nästan varje intrång i ett litet företag börjar med ett konto, inte med en okänd sårbarhet i nätverket. Därför är identiteten den första ytan att stänga.
Börja med en inventering: vilka konton finns, vem äger dem och vilka tillhör någon som slutat. I Entra ID går det att filtrera på inloggningar de senaste 30 dagarna – konton utan inloggning är antingen onödiga eller glömda, och båda är en risk.
Stäng sedan av det som inte ska finnas. Äldre autentiseringsprotokoll som gamla klienter fortfarande använder är en vanlig väg runt MFA, och en inaktiverad användare som behåller licensen behåller åtkomsten till delade filer.
MFA och villkorad åtkomst
Security defaults ger MFA för alla användare och blockerar äldre protokoll. Det är en bra bas och kostar inget extra, men går inte att styra per grupp eller applikation.
Villkorad åtkomst kräver Entra ID P1 och ger regler i stället för en strömbrytare: MFA för alla, MFA igen utanför kontorsnätet, blockering av äldre protokoll och hanterad enhet för administratörer.
Tre detaljer avgör om det fungerar i praktiken:
- Nummermatchning i stället för ett enkelt godkännande, så att ett trött klick inte räcker.
- Ett break-glass-konto med långt lösenord, utan MFA, undantaget från alla principer och med larm på inloggning. Det är kontot ni använder den dag principerna låser er ute.
- Inga eviga undantag. Varje undantag ska ha ägare, skäl och utgångsdatum.
Administratörsroller och gästkonton
Global administratör är den roll som kan göra allt, inklusive att ta bort säkerhetskopior och ändra återställningsmetoder. Ha högst två, med separata konton som inte används för e-post eller dagligt arbete. Vardagskontot ska vara vanlig användare, och rollen tilldelas via en privilegierad åtkomstlösning om planen har det – annars manuellt med kvartalsvis genomgång.
Gästkonton är den andra vanliga läckan. Bestäm vem som får bjuda in externa användare, kräv godkännande för gäster utanför en betrodd domän och granska gästlistan varje kvartal. En konsult som slutade för två år sedan och fortfarande har åtkomst till en projektmapp är inte ett undantag, det är normen i många tenants.
Samma logik gäller när någon slutar: blockera inloggning, återkalla sessioner, ta bort licensen och flytta filerna. Vår checklista för avslut av anställda går igenom den ordningen steg för steg.
E-post: SPF, DKIM och DMARC
Utan dessa poster kan vem som helst skicka e-post som ser ut att komma från er domän. Det är grunden i den nätfiske som riktas mot kunder och leverantörer, och den kostar ingenting att stänga.
SPF publiceras som en TXT-post och anger vilka servrar som får skicka för domänen. Håll listan kort – varje okänd server är en genväg för en angripare.
DKIM signerar utgående meddelanden kryptografiskt och aktiveras i Microsoft Defender-portalen för varje domän.
DMARC talar om vad mottagaren ska göra när kontrollerna misslyckas. Börja med p=none och läs rapporterna i några veckor, gå sedan vidare till p=quarantine och därefter p=reject. Hoppar ni direkt till reject utan att veta vilka tjänster som skickar e-post för er domän försvinner affärsmejl, och då stängs policyn av igen.
Delning i SharePoint och OneDrive
Standardinställningen för delningslänkar är ofta »alla med länken«, vilket i praktiken betyder att en länk som klistras in i fel chatt är en publik fil. Ändra standardlänken till personer i organisationen och behåll »alla med länken« som ett medvetet val för enskilda filer.
Sätt utgångsdatum på externa länkar, kräv att externa användare verifierar sig med kod och stäng av delning med oautentiserade länkar om ni inte har ett tydligt behov. Aktivera versionshistorik så att en överskriven fil går att rulla tillbaka, och granska varje kvartal vilka filer som delas externt.
Har ni känsliga uppgifter enligt GDPR är känslighetsetiketter ett bra nästa steg: de kan kryptera innehåll, begränsa delning och följa med filen även när den lämnar tenanten.
Enheter med Intune
En ohanterad laptop med påloggad e-post är ett konto som väntar på att bli stulet. Registrera datorer och telefoner i Intune och sätt efterlevnadskrav: diskkryptering, PIN eller biometri, lägsta operativsystemversion och skydd mot jailbreak.
Koppla sedan kraven till åtkomsten – villkorad åtkomst som kräver efterlevnad, inte bara MFA. Se till att BitLocker-nycklar sparas i Entra ID så att en krypterad disk går att öppna när någon tappar sin dator, och att den lokala administratören på enheterna inte är den vanliga användaren.
Loggning och larm
Granskningsloggen är det ni kommer att vilja ha den dag något hänt. Kontrollera att den är på, hur länge den sparas och vem som kan läsa den.
Larma på beteenden snarare än på volymer: nya inkorgsregler som vidarebefordrar e-post, massradering av meddelanden, inloggning från ett land ni inte verkar i, ändrade MFA-metoder och nya administratörsroller. Skicka larmen till en brevlåda som faktiskt läses, eller till er leverantör om ni har en som bevakar dem dygnet runt.
Ett larm ingen tittar på är sämre än inget larm: det skapar en falsk känsla av kontroll.
Säkerhetskopiering och återställning
Microsoft 365 skyddar inte innehåll som en traditionell säkerhetskopia. Papperskorgen och versionshistoriken har begränsad livslängd, och en angripare med administratörsroll kan ta bort det som finns. Retention är inte backup.
Bestäm därför vad ni behöver kunna återställa: postlådor, SharePoint-bibliotek och OneDrive. Skaffa en kopia utanför tenanten, sätt ett schema och – viktigast – testa en återställning innan ni behöver den. En backup som aldrig provats är en förhoppning.
Avslut, ansvar och revidering
Skriv ner vem som äger de här inställningarna: en person med namn, inte »IT«, och en kalenderpåminnelse varje kvartal.
Vid varje genomgång: konton utan inloggning, administratörsroller, gäster, externa delningslänkar, MFA-täckning och nya enheter. Vid varje avslut: blockera, återkalla, flytta filer, frigör licens.
Policyerna och inställningarna ska säga samma sak. Har ni en skriven lösenordspolicy som fortfarande kräver byte var nittionde dag medan tenanten använder modern autentisering är det dokumentet som ska ändras; våra policyer för acceptabel användning, BYOD och lösenord är skrivna för att matcha det ni faktiskt konfigurerar.
Vanliga frågor
Räcker Microsofts standardinställningar? Nej. Security defaults är bättre än ingenting och ger MFA för alla, men de kan inte styras per grupp, app eller enhet. Så snart ni har konsulter, administratörer eller krav på hanterade enheter behöver ni villkorad åtkomst.
Kostar villkorad åtkomst extra? Ja, principerna kräver Entra ID P1 utöver grundlicensen. Räknar ni på kostnaden för ett kapat konto, en kundförlust och ett IMY-ärende brukar den jämförelsen vara enkel.
Behöver vi en separat säkerhetskopieringstjänst? Om ni har data i Microsoft 365 som ni inte kan återskapa på annat sätt, ja. Retention och papperskorg löser felklick men inte en angripare med administratörsrättigheter eller en felaktig massradering.
Hur ofta ska behörigheter ses över? Varje kvartal för administratörsroller och gäster, och alltid vid avslut eller rollbyten. En genomgång tar en timme om listan är kort och sköts löpande; om den tar en vecka är den redan för stor.
Vad gör vi först om ett konto misstänks vara kapat? Byt lösenord, återkalla sessioner, kontrollera inkorgsregler och vidarebefordran, granska vad kontot kommit åt och om det skickats e-post i ert namn. Dokumentera klockslagen. Därefter tar ni ställning till anmälan enligt er incidenthanteringsplan – inte tvärtom.
Osäker på var ni står? Prata med teamet för en genomgång av tenanten, med prioritering på det som ger mest skydd per timme.