Villkorlig åtkomst i Microsoft 365 är ett sätt att bestämma under vilka förutsättningar en inloggning ska släppas in. I stället för att alla inloggningar behandlas likadant kan ni ställa krav utifrån vem som loggar in, från vilken enhet, var och till vilken tjänst.
För ett mindre företag kan det låta som något för stora organisationer, men principerna är enkla och några få regler brukar ge stor effekt. I den här artikeln förklarar vi vad villkorlig åtkomst är, vilka regler som brukar vara värda att börja med, vilka licenser som behövs och hur ni inför det utan att låsa ute någon.
Vad är villkorlig åtkomst?
Villkorlig åtkomst, på engelska Conditional Access, är en funktion i Microsoft Entra ID – den tjänst som sköter inloggningarna till Microsoft 365. Den bygger på regler av typen "om det här gäller, gör så här". Varje gång någon loggar in kontrolleras inloggningen mot reglerna.
- Vem loggar in – en vanlig användare, en administratör eller en gäst?
- Från vilken enhet – en dator som företaget hanterar eller en okänd enhet?
- Varifrån – från ett land där ni har verksamhet eller någon annanstans?
- Till vilken app – mejl, filer eller administrationsverktyg?
- Hur riskabel bedöms inloggningen vara?
Utifrån svaren kan inloggningen släppas in direkt, kräva ett extra steg som tvåstegsverifiering, eller blockeras. Skillnaden mot ren tvåstegsverifiering är att ni kan anpassa kraven efter situationen, i stället för att samma regel gäller överallt.
Varför det är relevant för ett mindre företag
Det vanligaste sättet att ta sig in i ett företags Microsoft 365 är via ett stulet lösenord, ofta efter ett nätfiskemejl. Mindre företag är inte mindre intressanta för angripare – tvärtom har de ofta färre skydd. Ett övertaget mejlkonto kan användas för bedrägerier mot kunder och leverantörer.
Villkorlig åtkomst gör det svårare att använda ett stulet lösenord, eftersom inloggningen också måste uppfylla andra villkor. Den hjälper också till att stänga gamla bakdörrar och att hålla administratörskonton extra skyddade. För ett företag utan egen IT-avdelning är det dessutom ett sätt att låta systemet upprätthålla reglerna automatiskt.
Vanliga regler som brukar ge störst effekt
Ni behöver inte bygga ett stort regelverk. De flesta mindre företag klarar sig långt med ett fåtal genomtänkta regler.
Kräv tvåstegsverifiering för alla – och särskilt för administratörer
Grundregeln är att alla användare måste använda tvåstegsverifiering. Administratörskonton bör ha ännu striktare krav, eftersom den som tar över ett sådant konto kan ändra allt i miljön.
Blockera äldre inloggningsprotokoll
Vissa äldre sätt att ansluta till mejl stödjer inte tvåstegsverifiering. Om de är öppna kan en angripare gå runt skyddet. Att blockera dem brukar vara en av de enklaste och viktigaste åtgärderna, men kontrollera först att ingen skrivare eller äldre app är beroende av dem.
Kräv hanterad enhet för känsliga appar
Ni kan kräva att åtkomst till exempelvis filer eller ekonomisystem bara får ske från enheter som företaget hanterar. Det förutsätter att datorer och mobiler är registrerade, vilket vi beskriver i hantera jobbmobiler med MDM och Intune.
Begränsa inloggningar från andra länder
Har ni bara verksamhet i Sverige kan ni blockera eller försvåra inloggningar från länder där ni aldrig arbetar. Tänk på att medarbetare som reser behöver ett sätt att få undantag.
Extra krav vid registrering av ny enhet eller nya säkerhetsuppgifter
När någon registrerar en ny metod för tvåstegsverifiering eller en ny enhet är det rimligt att ställa högre krav, så att en angripare med ett lösenord inte kan lägga till sin egen telefon.
Licenser: vad krävs?
Villkorlig åtkomst kräver licensen Microsoft Entra ID P1. Den ingår bland annat i Microsoft 365 Business Premium, men inte i Business Basic eller Business Standard. Den kan också köpas till separat. Microsoft ändrar sina paket med jämna mellanrum, så kontrollera alltid aktuella licensvillkor hos Microsoft innan ni bestämmer er. Skillnaderna mellan paketen går vi igenom i Microsoft 365 Business Basic, Standard eller Premium.
Har ni inte rätt licens finns säkerhetsstandarder, på engelska security defaults. Det är ett färdigt paket med grundskydd som bland annat kräver tvåstegsverifiering och blockerar äldre inloggningsprotokoll. Det går inte att anpassa på samma sätt, men det är betydligt bättre än inget skydd alls och ett bra första steg.
Så inför ni det utan att låsa ut någon
Den största risken med villkorlig åtkomst är att en felaktig regel stänger ute användare – eller administratören själv. Med en försiktig arbetsordning går det att undvika.
- Skapa ett eller två nödkonton för administration som undantas från reglerna och förvaras säkert.
- Starta nya regler i rapportläge (report-only) och se hur de skulle ha påverkat verkliga inloggningar.
- Informera personalen i förväg om vad som ändras och vad de ska göra om något inte fungerar.
- Rulla ut stegvis, till exempel först till IT-ansvarig och några testanvändare.
- Dokumentera varje regel, varför den finns och vilka undantag som gäller.
Dokumentationen gör det möjligt för någon annan att förstå och felsöka reglerna senare. Läs mer om varför i IT-dokumentation.
Vanliga misstag
De flesta problem vid införandet beror inte på tekniken utan på bristande planering. Genom att känna till de vanligaste misstagen kan ni undvika att medarbetare plötsligt inte kommer åt sitt mejl en måndagsmorgon.
- Att aktivera skarpa regler direkt utan att testa i rapportläge först.
- Att sakna nödkonto, eller att nödkontot också omfattas av reglerna.
- Att glömma tjänstekonton, skrivare eller äldre appar som slutar fungera.
- Att göra för många undantag så att reglerna i praktiken inte skyddar.
- Att inte följa upp inloggningsloggarna efter införandet.
- Att ingen vet vilka regler som finns när den som satte upp dem slutar.
Checklista för villkorlig åtkomst
Att gå igenom innan och under införandet
- Kontrollera vilken licens ni har och om den omfattar villkorlig åtkomst.
- Har ni inte rätt licens – aktivera åtminstone säkerhetsstandarder.
- Skapa nödkonton för administration och förvara uppgifterna säkert.
- Kräv tvåstegsverifiering för alla användare.
- Ställ striktare krav på administratörskonton.
- Blockera äldre inloggningsprotokoll efter att ha kontrollerat beroenden.
- Överväg krav på hanterad enhet för känsliga appar.
- Begränsa inloggningar från länder där ni inte har verksamhet.
- Testa alla regler i rapportläge innan de aktiveras.
- Dokumentera regler och undantag och följ upp loggarna.
Hur vi kan hjälpa
Vi hjälper företag att gå igenom licenser, sätta upp regler i rapportläge och föra över dem till skarpt läge när de fungerar. Det ingår i vårt arbete med IT-säkerhet och backup och i tjänsten för Microsoft 365 och Google Workspace.
Vill ni läsa mer på egen hand finns guiden Microsoft 365 för småföretag och vår checklista för IT-säkerhet i småföretag. Vi hjälper företag i hela Stockholmsområdet, till exempel med IT-support i Stockholm city och IT-support i Nacka.
IT Support Stockholm drivs av Tele-Byrån i Kalmar AB. Vi erbjuder en kostnadsfri genomgång där vi tittar på hur inloggningarna till ert Microsoft 365 är skyddade i dag och föreslår vilka regler som passar er verksamhet.
Vanliga frågor
Vad är villkorlig åtkomst?
Det är en funktion i Microsoft Entra ID som avgör om en inloggning till Microsoft 365 ska släppas in, kräva ett extra steg eller blockeras, utifrån villkor som användare, enhet, plats, app och risk.
Behöver vi villkorlig åtkomst om vi redan har tvåstegsverifiering?
Tvåstegsverifiering är grunden, men villkorlig åtkomst gör det möjligt att till exempel blockera äldre protokoll som går runt tvåstegsverifieringen, kräva hanterade enheter och skydda administratörer extra. Det är ett komplement, inte en ersättning.
Vilken Microsoft 365-licens krävs?
Villkorlig åtkomst kräver Microsoft Entra ID P1, som bland annat ingår i Microsoft 365 Business Premium men inte i Business Basic eller Standard. Kontrollera aktuella licensvillkor hos Microsoft, eftersom paketen ändras över tid.
Kan vi låsa ut oss själva och hur undviker vi det?
Ja, en felaktig regel kan stänga ute användare och administratörer. Undvik det genom att ha nödkonton som undantas från reglerna, testa nya regler i rapportläge först, rulla ut stegvis och dokumentera vad som gäller.
Fördjupning: Microsoft 365 för småföretag · Checklista IT-säkerhet. Vi hjälper företag i bland annat Stockholm City och Nacka.