Til ejere og IT-ansvarlige i danske virksomheder med Microsoft 365-arbejdskonti. Guiden handler om at planlægge og kontrollere loginbeskyttelse, ikke om private Microsoft-konti eller en komplet administratoropsætning.
Hvad er MFA?
MFA kræver mindst to uafhængige faktorer fra forskellige kategorier, eksempelvis noget, du ved, og noget, du har. To adgangskoder er ikke i sig selv to forskellige faktortyper. Formålet er at mindske risikoen for, at uvedkommende får adgang. Datatilsynets forklaring af MFA.
Et vigtigt spørgsmål er derfor ikke kun, om en medarbejder har installeret en app. Virksomheden skal også vide, hvordan beskyttelsen bliver krævet ved login, og hvilke konti den omfatter.
Skal vi have Business Premium for at bruge MFA?
Nej. Microsoft tilbyder grundlæggende beskyttelse gennem Security Defaults i Entra ID Free. Mere detaljerede regler med Conditional Access kræver Entra ID P1 eller P2. Et behov for MFA er derfor ikke alene et argument for en bestemt servicepakke eller en Premium-licens. Valget afhænger af den ønskede styring og den eksisterende opsætning. Microsoft om mulighederne for MFA.
Bed jeres IT-leverandør forklare forskellen på det, I har licens til, og det, der faktisk er sat op. Undlad at ændre sikkerhedspolitikker ud fra en generel guide uden at vurdere konsekvenserne for jeres miljø.
Er app, SMS og passkeys det samme?
Nej. Metoderne har forskellige egenskaber. Microsoft beskriver passkeys som phishingresistente. En almindelig appgodkendelse bliver ikke automatisk phishingresistent, blot fordi den foregår i Microsoft Authenticator; metoden og opsætningen betyder noget. Microsofts vejledning om phishingresistent login.
Microsoft har desuden varslet udfasning af sin egen SMS- og talelevering i Entra ID: fra 1. februar 2027 for de fleste brugere og fra 1. juli 2027 for Global Administrators og eksterne brugere. Interne gæstebrugere følger februarfristen. Det er ikke en generel besked om, at SMS allerede er fjernet fra alle Microsoft-konti. Afklar de berørte brugere og overgangen med jeres administrator. Microsofts aktuelle tidsplan og undtagelser.
Hvad gør vi ved en godkendelse, vi ikke har bedt om?
Godkend den ikke for at få den til at forsvinde. Kontakt jeres IT-ansvarlige via en kendt kontaktvej. Gentagne loginanmodninger kan bruges til at presse en bruger til at acceptere. CISA om uønskede MFA-anmodninger og number matching.
Tjekliste til jeres næste IT-gennemgang
- Hvilke medarbejder- og administratorkonti har vi?
- Hvad kræver faktisk MFA, og hvor findes der undtagelser?
- Hvilke metoder bruger medarbejderne i praksis?
- Har vi brugere, som stadig er afhængige af SMS eller opkald?
- Hvordan får en medarbejder hjælp ved mistet eller udskiftet telefon?
- Hvordan kontrolleres identiteten, før en metode nulstilles?
- Hvem følger op på fejl og mistænkelige loginanmodninger?
Få overblik over jeres login
Clouded IT kan hjælpe med at gennemgå jeres Microsoft 365-miljø og afklare relevante ændringer. En aktiveret funktion er ikke i sig selv dokumentation for, at alle konti og arbejdsgange er dækket.
Se vores Microsoft 365-ydelser, eller kontakt os om jeres opsætning.