Adgangsstyring
Den samlede styring af, hvem der har adgang til hvilke systemer og data, med hvilke rettigheder – og hvordan adgangen gives, kontrolleres og fjernes.
Kort svar
Adgangsstyring handler om at sikre, at de rigtige personer har adgang til de rigtige systemer og data – og ikke mere end nødvendigt. Det dækker både teknikken (konti, grupper, roller, MFA) og processerne (hvem godkender adgang, hvornår kontrolleres den, og hvordan fjernes den ved fratrædelse). Et bærende princip er mindst mulige rettigheder: Hver bruger får kun den adgang, opgaverne kræver.
- IdentifikationHvem er du? En personlig konto pr. medarbejder.
- AutentificeringBevis det – adgangskode, MFA eller passkey.
- AutorisationHvad må du? Grupper, roller og delingsrettigheder.
- OpfølgningEr adgangen stadig rigtig? Gennemgang, log og fjernelse.
Autentificering er ikke det samme som autorisation
Mange blander to ting sammen. Autentificering er at bevise, hvem man er – det er her, adgangskoder, MFA og passkeys hører til. Autorisation er at afgøre, hvad den pågældende så må. En medarbejder kan have perfekt MFA og stadig have adgang til alt for meget.
God adgangsstyring kræver begge dele. Stærkt login uden styr på rettigheder betyder, at en enkelt kompromitteret konto kan nå langt. Styr på rettigheder uden stærkt login betyder, at angriberen blot låner en konto med de rigtige rettigheder.
Mindst mulige rettigheder i praksis
Princippet om mindst mulige rettigheder (least privilege) betyder ifølge NIST, at brugere og de processer, der arbejder på deres vegne, kun får den adgang, der er nødvendig for deres opgaver. I en lille virksomhed lyder det indlysende, men i praksis vokser rettighederne ofte over tid: Medarbejdere skifter opgaver og beholder den gamle adgang, og alle får administratorrettigheder på deres pc, „fordi det er nemmest“.
- Personlige konti: undgå delte logins, så handlinger kan spores til en person.
- Adgang via grupper og roller: giv adgang til fx „Økonomi“-gruppen frem for til enkeltpersoner. Så er det nemt at se og ændre.
- Adskilte administratorkonti: den, der administrerer Microsoft 365, bør have en separat konto til det og bruge en almindelig konto til mail og dokumenter.
- Ingen lokale administratorrettigheder som standard: almindelige brugere bør ikke selv kunne installere programmer på deres computer.
- Tidsbegrænset adgang: eksterne konsulenter og gæster får adgang med udløbsdato.
Eksempel: En arkitektvirksomhed opdager ved en gennemgang, at en praktikant fra sidste år stadig er medlem af projektgruppen i Teams og dermed har adgang til alle tegninger. Ved at bruge grupper med ejere, der gennemgår medlemmerne hvert halve år, fanges den slags løbende.
Adgangsstyring gennem hele ansættelsen
Fratrædelsen er det sted, hvor det oftest går galt. Se offboarding for en gennemgang af, hvad der skal ske, når en medarbejder stopper.
| Tidspunkt | Hvad skal ske | Typisk værktøj i Microsoft 365 |
|---|---|---|
| Ansættelse | Konto, licens og adgang efter rolle | Entra ID-grupper |
| Jobskifte | Ny adgang gives, gammel fjernes | Ændring af gruppemedlemskab |
| Løbende | Gennemgang af adgang og administratorer | Gruppeoversigter og rollelister |
| Fratrædelse | Konto spærres, sessioner afbrydes, data overdrages | Entra ID, Exchange, OneDrive |
Begreber, der hører til
- Entra ID er stedet, hvor konti, grupper og roller i Microsoft 365 styres.
- Conditional Access stiller betingelser for login, fx godkendt enhed – det er en del af adgangsstyringen, ikke hele den.
- Single sign-on samler login til mange systemer ét sted, så adgang kan gives og fjernes centralt.
- Rollebaseret adgang (RBAC) betyder, at rettigheder knyttes til roller frem for til personer.
- Zero trust er en sikkerhedstankegang, hvor adgang altid verificeres og begrænses.
Krav og dokumentation
Adgangsstyring indgår i mange regelsæt og standarder. Behandler I personoplysninger, skal I efter GDPR sikre et passende sikkerhedsniveau, hvor begrænsning af adgang typisk er et centralt element. Er virksomheden omfattet af NIS2, stilles der også krav til styring af adgang. Hvad der konkret kræves, afhænger af jeres situation – reglerne foreskriver ikke bestemte produkter.
Spørgsmål I kan stille
- Kan vi på kort tid få en liste over, hvem der har adgang til vores mest følsomme data?
- Hvem godkender, når en medarbejder skal have adgang til et nyt system?
- Hvor mange har administratorrettigheder – i Microsoft 365 og på deres egen computer?
- Hvornår har vi sidst gennemgået gæster og eksterne brugere?
- Hvad er vores faste procedure, når en medarbejder stopper?
Hvornår giver det mening at få hjælp?
Få hjælp, når I mangler overblik over, hvem der har adgang til hvad, eller vil have en fast proces for nye og fratrådte medarbejdere. Se også Ny eller fratrådt medarbejder.
Spørgsmål og svar
Er adgangsstyring kun relevant for store virksomheder?
Nej. Små virksomheder har ofte færre formelle processer, og derfor hober forældede rettigheder sig let op. Principperne er de samme – de skal bare være enkle nok til at blive fulgt.
Hvor ofte bør vi gennemgå adgange?
Der er ingen fast regel. Mange vælger at gennemgå administratorer og følsomme områder mindst én gang om året og altid ved organisationsændringer. Vores vurdering er, at en fast, kort gennemgang er mere værd end en sjælden, stor.
Forbehold: Teksten er en generel forklaring og ikke juridisk rådgivning. Krav til adgangsstyring fremgår bl.a. af GDPR artikel 32 og af NIS2-reglerne; hvad der er passende, afhænger af jeres konkrete situation.
Kilder (tjekket 31. oktober 2026)