Gæstenet og adskilte netværk: hold gæster, printere og kameraer væk
Mange mindre virksomheder har ét netværk, hvor computere, gæsternes telefoner, printeren, overvågningskameraet og mødelokalets skærm ligger side om side. Det er nemt – og det betyder, at den svageste enhed bestemmer sikkerheden for dem alle.
Del netværket op efter, hvem og hvad der skal bruge det: ét net til medarbejdernes computere, et gæstenet, der kun giver adgang til internettet, og et separat net til kameraer og andre smarte enheder. Center for Cybersikkerhed anbefaler, at overvågningsudstyr placeres i et dedikeret netværk, hvor trafik til andre lokale netværk blokeres. Adskillelsen laves typisk med VLAN og regler i firewallen – ikke nødvendigvis med nyt udstyr.
Kort fortalt
- Et gæstenet skal kun give adgang til internettet – ikke til jeres printere, filer eller computere.
- Kameraer og andre smarte enheder bør have deres eget net og ikke kunne nå resten.
- Skift standardadgangskoder, og hold enhederne opdaterede – også dem, ingen tænker på.
- Opdelingen virker først, når der er regler for, hvad der må passere mellem netværkene.
Hvorfor ét fælles netværk er en risiko
I et fælles netværk kan alle enheder som udgangspunkt se og kontakte hinanden. Det gælder også gæstens telefon, som I ikke ved noget om, kaffemaskinen med app-styring og kameraet, som en installatør satte op for flere år siden. Hvis én af dem er sårbar eller kompromitteret, er der en kort vej til jeres computere og data.
Center for Cybersikkerhed (CFCS) skriver i sin vejledning om overvågningsudstyr, at udstyr, der er koblet til internettet, kan bruges af en angriber som indgang til organisationens netværk, og at alle IoT-enheder (smarte enheder, der er forbundet til internettet) kan indeholde sårbarheder. Det er ikke et argument for at undgå udstyret, men for at placere det et sted, hvor det ikke kan skade resten.
Eksempel: En klinik har Wi-Fi-koden til medarbejdernes net hængende i venterummet, så patienterne kan komme på internettet. Dermed er patienternes telefoner på samme net som receptionens computere og netværksprinteren med scannede dokumenter.
Hvilke netværk har en mindre virksomhed brug for?
Der er ikke ét rigtigt svar, men de fleste virksomheder med 5–50 medarbejdere klarer sig med tre eller fire adskilte net. Tabellen viser en typisk opdeling. Den præcise opdeling afhænger af jeres udstyr, og en produktionsvirksomhed har typisk brug for et ekstra net til maskinerne – se kontor-IT og maskiner på samme netværk.
| Netværk | Hvem og hvad | Må nå |
|---|---|---|
| Medarbejdere | Firmaets computere og telefoner | Internet, printere, servere |
| Gæster | Besøgende, kunder, medarbejdernes private enheder | Kun internettet |
| Kameraer og IoT | Overvågning, adgangskontrol, smarte enheder | Kun det, de skal bruge |
| Printere og skærme | Netværksprintere, mødelokaleskærme | Svarer kun på trafik fra medarbejdernettet |
Godt at vide: Medarbejdernes private telefoner hører hjemme på gæstenettet, ikke på medarbejdernettet. Så behøver de ikke adgang til mere end internettet, og firmaets egne enheder kan behandles anderledes.
Gæstenettet: hvad det skal – og ikke skal – kunne
Et gæstenet skal give adgang til internettet og intet andet. Det lyder enkelt, men i praksis ser man ofte gæstenet, der er lavet som et ekstra Wi-Fi-navn på det samme interne net, så gæsterne alligevel kan se printeren og andre enheder. Et rigtigt gæstenet er adskilt fra resten med regler i routeren eller firewallen.
- Gæster må ikke kunne nå printere, filer, servere eller andre interne enheder.
- Brug en anden adgangskode end på medarbejdernettet, og skift den jævnligt.
- Overvej at forhindre, at gæsternes enheder kan se hinanden.
- Overvej en båndbreddegrænse, så gæster ikke kan sænke hastigheden for medarbejderne.
- Hæng aldrig medarbejdernettets kode op, fordi gæstenettet er besværligt.
Kameraer og smarte enheder: CFCS' anbefalinger
CFCS anbefaler, at overvågningsudstyr begrænses til et dedikeret netværk og overvåges. I vejledningen nævner CFCS blandt andet, at organisationen bør have netværket kortlagt og dokumenteret, have et separat netværk til overvågningsudstyr, sikre at kun overvågningsudstyr er koblet på det, blokere ikke-godkendt trafik og trafik til andre ikke-relevante lokale netværk, og sikre at enheder, der gemmer optagelserne, er isoleret på overvågningsnettet.
Ud over netværket anbefaler CFCS, at standardadgangskoder skiftes til unikke og stærke adgangskoder, at funktioner der ikke bruges (fx Wi-Fi, Bluetooth og USB) slås fra, at udstyret holdes opdateret, og at I har en liste over alt udstyr med blandt andet placering og IP-adresse. Leverandøren bør dokumentere, at den ikke har adgang til udstyret uden jeres vidende.
Vores vurdering: Det samme tankesæt giver mening for andre smarte enheder som adgangskontrol, alarmpaneler, mødelokaleskærme og printere. Printere står sjældent på nogens opdateringsliste, men gemmer ofte scannede dokumenter og har egen netværksadgang.
Sådan laves adskillelsen i praksis
I de fleste virksomheder kræver opdelingen ikke nye kabler. Med VLAN kan de samme switche og access points bære flere adskilte net, så hvert Wi-Fi-navn og hvert kabelstik hører til det rigtige net. Selve beskyttelsen kommer fra reglerne i firewallen, der bestemmer, hvad der må passere mellem nettene.
Ældre forbrugerroutere og billige switche kan ikke altid håndtere VLAN og regler mellem net. Det er en af de situationer, hvor en udskiftning af netværksudstyret kan være nødvendig. Se også Wi-Fi til virksomheder.
Hvor I starter
Vores vurdering: Start med et gæstenet, der virkelig er adskilt – det er synligt, enkelt og fjerner en hyppig risiko. Flyt derefter kameraer og andre smarte enheder til deres eget net, og skift standardkoder undervejs. Opdelingen af printere og øvrigt udstyr kan komme bagefter, når I har overblikket.
Spørgsmål og svar
Kan gæster stadig printe, hvis printeren ikke er på gæstenettet?
Ikke direkte. Den enkleste løsning er ofte, at en medarbejder printer for gæsten. Skal gæster kunne printe selv, bør det ske via en løsning, der ikke åbner hele printeren og medarbejdernettet for gæstenettet.
Skal overvågningskameraerne kunne ses fra telefonen uden for kontoret?
Det kan lade sig gøre, men fjernadgangen bør være et bevidst valg med stærk adgangskode og opdateret software – ikke en standardindstilling fra installationen. CFCS anbefaler kryptering med TLS 1.2 eller 1.3, hvis udstyret er koblet til internettet.
Kilder (tjekket oktober 2026): Cybersikkerhed i overvågningsudstyr – Center for Cybersikkerhed (samsik.dk)
Hvem er på jeres netværk?
I en gratis IT-gennemgang ser vi på, hvordan jeres netværk er delt op i dag, og hvad der giver mening at skille ad først.
