Hvorfor har et lille lægehus brug for central sikkerhedsstyring?

Central sikkerhedsstyring betyder, at alle computere og telefoner får de samme sikkerhedsindstillinger, opdateringer og virusbeskyttelse fra ét sted – og at I kan se, hvilke enheder der ikke lever op til kravene. I et lægehus er gevinsten ikke færre computere at passe, men færre huller: ingen glemte opdateringer, ingen ukrypteret bærbar og ingen adgang fra ukendte enheder. Det handler om IT-fundamentet, ikke om journalsystemet.

Kort fortalt

• Helbredsoplysninger er følsomme personoplysninger, og sikkerheden skal stå mål med risikoen – også i en lille praksis.
• Central styring (fx Microsoft Intune) gør opdateringer, kryptering og adgangskrav ens på alle enheder og synlige for jer.
• Endpointbeskyttelse med overvågning (fx Microsoft Defender for Business) fanger mere end klassisk antivirus.
• Start med overblik over enheder og konti – derefter krav og blokering af enheder, der ikke lever op til dem.

Det typiske lægehus: få maskiner, mange hænder

Et lægehus har ofte en håndfuld computere: konsultationsrum, receptionen, en bærbar til sygebesøg eller hjemmearbejde og måske en computer i laboratoriet. Flere personer bruger de samme maskiner i løbet af en dag, og der kommer vikarer, uddannelseslæger og studerende til.

Det er netop den blanding, der gør manuel styring svær. Hver computer kan have sin egen opdateringsstatus, sine egne lokale administratorrettigheder og sin egen historik. Ingen har fejlet, men ingen kan heller sige med sikkerhed, at alle maskiner er krypterede, opdaterede og beskyttede i dag.

Helbredsoplysninger hører til de følsomme personoplysninger i databeskyttelsesreglerne. Reglerne kræver ikke et bestemt produkt, men at sikkerheden er passende i forhold til risikoen. For en praksis, hvor hver skærm kan vise patientdata, er det svært at argumentere for, at computerne kan passe sig selv.

Hvad central styring konkret gør

Med en løsning som Microsoft Intune tilmeldes computere og telefoner ét administrationssted. Derfra kan man sende indstillinger, programmer og opdateringspolitikker ud, og man kan låse eller slette en enhed, der bliver væk. Microsoft beskriver Intune som en cloudtjeneste til at tilmelde, konfigurere, sikre og opdatere enheder og styre, hvem der får adgang.

Det vigtigste for et lægehus er ikke de mange funktioner, men tre ting: at alle enheder får de samme krav, at I kan se, hvilke enheder der ikke opfylder dem, og at adgang kan nægtes fra enheder, der ikke er i orden.

Opdateringer med frist – ikke på tillid

Mange sikkerhedshændelser udnytter kendte fejl, som der allerede findes rettelser til. Udfordringen i en travl praksis er sjældent viljen, men at genstarten aldrig passer ind mellem to konsultationer.

I Intune styres Windows-opdateringer med såkaldte update rings. Her kan man udskyde kvalitetsopdateringer i op til 30 dage og sætte en frist på 2–30 dage, hvorefter opdateringen installeres automatisk, plus en henstandsperiode på op til 7 dage før tvungen genstart. Microsoft anbefaler at lade computeren genstarte automatisk uden for de aktive timer, så genstarten ikke rammer midt i arbejdsdagen.

Vores vurdering: En kort udskydelse og en fast frist er et godt kompromis for et lægehus. Så kan en dårlig opdatering nå at blive opdaget, uden at maskinerne står uopdaterede i ugevis.

Krav til enhederne – og hvad der sker, når de ikke er opfyldt

Intune arbejder med overholdelsespolitikker (compliance policies): regler, en enhed skal opfylde for at blive betragtet som i orden. Det kan fx være kryptering, en minimumsversion af styresystemet eller et acceptabelt trusselsniveau fra sikkerhedssoftwaren. Opfylder en enhed ikke reglerne, kan den markeres, brugeren kan få besked, og enheden kan låses efter en periode.

Den reelle beskyttelse kommer, når politikkerne kobles til Conditional Access i Microsoft Entra ID. Så kan adgangen til fx mail og dokumenter blokeres fra enheder, der ikke er markeret som i orden. Microsoft anbefaler i den forbindelse, at enheder uden en tildelt politik markeres som ikke i orden – ellers glider de igennem.

• Kryptering af disken (BitLocker på Windows), så en stjålet bærbar ikke giver adgang til data.
• Opdateret styresystem med en minimumsversion.
• Aktiv virus- og trusselsbeskyttelse uden lokale undtagelser.
• Skærmlås og adgangskode/PIN på alle enheder, også telefoner med arbejdsmail.
• Ingen daglige administratorrettigheder til brugerne.

Endpointbeskyttelse, der ser mere end virus

Klassisk antivirus leder efter kendte skadelige filer. Moderne endpointbeskyttelse overvåger også adfærd på computeren og kan reagere, når noget opfører sig mistænkeligt – fx et program, der pludselig begynder at kryptere mange filer.

Microsoft Defender for Business er rettet mod virksomheder med op til 300 brugere og indeholder blandt andet EDR (detektion og respons på enheden), automatiseret undersøgelse og afhjælpning samt sårbarhedsstyring. Den kan styres sammen med Intune, så indstillingerne er de samme overalt.

Overvågning giver dog kun værdi, hvis nogen reagerer på advarslerne. Aftal derfor, hvem der modtager og håndterer dem – internt eller hos jeres IT-partner.

Licenser: hvad følger med, og hvad gør ikke

Microsoft 365 Business Premium indeholder ifølge Microsoft både Intune Plan 1, Defender for Business og Microsoft Entra ID P1, som giver adgang til Conditional Access. Business Basic og Business Standard indeholder kun en begrænset del af enhedsstyringen (Basic Mobility and Security).

Licensen er dog ikke det samme som sikkerhed. Funktionerne skal sættes op, testes og vedligeholdes, og ingen licens er et lovkrav i sig selv. Det afgørende er, at I kan vise, at jeres foranstaltninger passer til risikoen. Priser og pakker kan I se på /priser/.

Rækkefølgen: hvad I gør først, og hvad der kan vente

I en lille praksis går det bedst, når man indfører styringen i små skridt og tester hvert skridt på én computer, før resten følger efter. Journalsystem, laboratorieudstyr og printere kan have særlige behov, så tal med systemleverandørerne, før I strammer reglerne.

• 1. Overblik: Lav en liste over alle computere, telefoner og konti – også vikarer og gamle medarbejdere.
• 2. Login: Sørg for MFA på alle konti og separate administratorkonti.
• 3. Tilmelding: Tilmeld alle Windows-computere til central styring og slå krypteret disk til.
• 4. Opdateringer og beskyttelse: Indfør opdateringsfrister og endpointbeskyttelse med en fast modtager af advarsler.
• 5. Adgangskrav: Bloker adgang fra enheder, der ikke lever op til kravene – først når alt andet kører stabilt.
• Kan vente: Finjustering af apps på personlige telefoner og avancerede rapporter.

Spørgsmål og svar

Kilder (tjekket oktober 2026): What is Microsoft Intune? – Microsoft Learn · Device compliance policies in Microsoft Intune – Microsoft Learn · Update Rings Policy Settings – Microsoft Intune – Microsoft Learn · What is Microsoft Defender for Business? – Microsoft Learn · Microsoft 365 for business security overview – Microsoft Learn · Windows 10 end of support – Microsoft · Personoplysninger – få et hurtigt overblik – Datatilsynet · Sikker transmission – Datatilsynet