MFA i Microsoft 365: sådan kommer I i gang uden at irritere medarbejderne

Hvorfor MFA i Microsoft 365 er det første, I bør slå til

Når en angriber får fat i en adgangskode, sker det sjældent ved et avanceret hack. Koden er typisk genbrugt fra en anden tjeneste, gættet eller afgivet på en falsk loginside. Uden et ekstra trin kan angriberen derefter logge ind i Outlook, læse mails, oprette regler, der videresender fakturaer, og sende nye mails i medarbejderens navn.

Multifaktorgodkendelse (MFA) betyder, at login kræver to ting: noget brugeren ved (adgangskoden) og noget brugeren har (telefonen eller en sikkerhedsnøgle). En stjålet kode alene er så ikke nok. Microsoft kræver allerede MFA ved login til sine egne administrationsportaler, og det er et klart signal om, hvor lavt baren ligger: har jeres almindelige brugere ikke MFA, er det det første hul at lukke.

Det svære er sjældent teknikken. Det svære er at indføre MFA, uden at salgschefen står uden adgang på en messe, eller at bogholderen ringer tre gange om ugen, fordi telefonen er skiftet.

De tre måder at slå MFA til på

Microsoft 365 giver jer grundlæggende tre veje. Hvilken der passer, afhænger af jeres licenser og af, hvor meget kontrol I har brug for.

For en virksomhed med 5-15 brugere på Business Basic eller Standard er security defaults ofte et fornuftigt første skridt. Har I Business Premium, bør I bruge Conditional Access, fordi det lader jer stille krav, der passer til hverdagen, fx at en administreret pc på kontoret ikke skal spørge lige så ofte som en ukendt enhed i udlandet.

Planen: sådan ruller I MFA ud i fem trin

1. Ryd op i brugerlisten. Fjern konti for tidligere ansatte, find fælles postkasser, der bruges med adgangskode, og notér servicekonti til scannere, lønsystemer og lignende. De skal håndteres særskilt, ellers stopper de med at virke.
2. Opret to nødkonti. To administratorkonti uden daglig brug, med lange adgangskoder, gemt sikkert og undtaget fra de regler, der kan låse jer ude. De bruges kun, hvis alt andet fejler.
3. Start med en pilotgruppe. Tag ledelsen og IT-ansvarlige først, og lad dem køre en uge. Det giver jer de typiske spørgsmål, før resten af huset møder dem.
4. Varsl medarbejderne konkret. Skriv en kort mail med dato, hvilken app de skal installere, og hvad de skal gøre, hvis de skifter telefon. Undgå lange forklaringer om trusselsbilledet.
5. Rul ud afdeling for afdeling. En afdeling om dagen er overskueligt. Hav en person klar til at svare på spørgsmål de første timer.

Vælg den rigtige godkendelsesmetode

Ikke alle metoder er lige gode. SMS-koder er bedre end ingenting, men kan opsnappes og er sårbare, hvis telefonnummeret flyttes til et nyt SIM-kort. Microsoft Authenticator med nummermatch, hvor brugeren skal taste et tal fra skærmen ind i appen, er et godt standardvalg for de fleste. Det gør det langt sværere at narre en medarbejder til at godkende et login, de ikke selv har startet.

Til administratorer og brugere med adgang til økonomi eller persondata er fysiske sikkerhedsnøgler (FIDO2) eller passkeys endnu stærkere, fordi de ikke kan bruges på en falsk loginside. Windows Hello for Business på en administreret pc giver samme type beskyttelse uden en ekstra dims.

Medarbejdere, der ikke vil bruge deres private telefon, kan få en sikkerhedsnøgle i stedet. Tag den diskussion tidligt, så den ikke bliver en stopklods på udrulningsdagen.

Sådan undgår I at irritere medarbejderne

Mest modstand kommer, når MFA spørger for ofte eller på de forkerte tidspunkter. Med Conditional Access kan I skrue på netop det:

• Kræv MFA ved login fra ukendte enheder, men lad administrerede og overholdende pc'er huske godkendelsen i længere tid.
• Bloker ældre protokoller, der ikke understøtter MFA, så ingen kan omgå kravet via en gammel mailklient.
• Lad være med at give undtagelser pr. kontoradresse som eneste regel. Hjemmearbejde og mobildata gør placering til et svagt signal alene.
• Stil strengere krav til administratorroller end til almindelige brugere.
• Lav en fast procedure for tabt eller udskiftet telefon, så brugeren hurtigt kan komme i gang igen, efter at identiteten er bekræftet.

Et realistisk eksempel

Et rådgivningsfirma med 18 medarbejdere kører Microsoft 365 Business Premium. Ingen har MFA, og to medarbejdere har tidligere fået mails fra en falsk »Microsoft«-afsender. Planen ser sådan ud:

• Uge 1: gennemgang af 24 konti, hvoraf fire tilhører stoppede medarbejdere og fjernes. To nødkonti oprettes.
• Uge 2: pilot med direktør, økonomiansvarlig og kontorchef. Authenticator med nummermatch. Conditional Access-regler i rapporteringstilstand, så I kan se effekten, før de håndhæves.
• Uge 3: udrulning til resten i tre hold. Scanneren, der sender til mail, flyttes til en løsning, der ikke kræver et almindeligt brugerlogin.
• Uge 4: ældre protokoller blokeres, og administratorer får krav om phishing-resistent login.

Resultatet er, at medarbejderne på administrerede pc'er sjældent ser en MFA-prompt, mens et login fra en ukendt enhed altid kræver godkendelse.

Typiske faldgruber

Den største fejl er at slå MFA til for alle på én gang en fredag eftermiddag. Den næststørste er at glemme de konti, der ikke er personer: printere, scannere, integrationer og delte postkasser. Kortlæg dem først. Vær også opmærksom på, at en regel i Conditional Access, der rammer »alle brugere«, også rammer jeres egne administratorer. Test altid med rapporteringstilstand, og hold nødkontiene uden for reglen.

MFA er desuden kun ét lag. Uden styr på, hvilke enheder der må logge ind, og hvem der har administratorrettigheder, kan en kompromitteret pc stadig give adgang. Derfor hænger MFA tæt sammen med adgangskontrol og beskyttelse af endpoints.

Kom godt i gang

Har I brug for hjælp til at få MFA og Conditional Access sat rigtigt op, kan vores teknikere gennemgå jeres Entra ID-opsætning og rulle løsningen ud på afstand, afdeling for afdeling. Læs mere om, hvordan vi arbejder med Active Directory og Entra ID, eller send os en kort beskrivelse af jeres nuværende opsætning.