Zero trust
Sikkerhedsprincip, hvor ingen bruger eller enhed får adgang, blot fordi den er på firmaets netværk. Hver adgang verificeres ud fra identitet, enhed og risiko.
Kort svar
Zero trust er et sikkerhedsprincip, der bygger på, at ingen adgang gives automatisk – heller ikke fordi man sidder på kontorets netværk. Hver gang en bruger eller enhed vil have adgang til data, kontrolleres det, hvem det er, om enheden er sikker, og om situationen virker normal. Adgangen gives kun til det nødvendige, og man planlægger efter, at et angreb kan være sket. Zero trust er en tilgang og en retning, ikke et produkt man kan købe.
Traditionel tilgang
- Firewallen er muren – indenfor er man betroet
- Adgang ud fra, hvor man sidder
- Brede rettigheder “for en sikkerheds skyld”
- Kontrol ved login, så sjældent igen
Zero trust
- Ingen automatisk tillid – heller ikke på kontoret
- Adgang ud fra identitet, enhed og risiko
- Kun de rettigheder, der er brug for
- Løbende vurdering under hele sessionen
Hvorfor tilgangen er opstået
Den klassiske model var en borg med voldgrav: En firewall holdt angribere ude, og alt indenfor blev betragtet som betroet. Den model passer dårligt, når medarbejdere arbejder hjemmefra, data ligger i Microsoft 365, og telefoner og bærbare flytter sig mellem netværk. NIST beskriver i standarden SP 800-207 (2020) zero trust som et skift væk fra faste netværksgrænser og hen imod beskyttelse af brugere, enheder og ressourcer – netop fordi fjernarbejde, egne enheder og cloudtjenester har udvisket grænsen.
Microsoft peger på, at moderne angreb ofte sker via overtagne identiteter og phishing, som ikke afhænger af, hvor angriberen befinder sig. En angriber med et gyldigt login er ofte allerede “indenfor”.
De tre principper
Microsoft formulerer zero trust som tre principper, der styrer alle adgangsbeslutninger:
- Verificér eksplicit (verify explicitly): Hver adgang godkendes ud fra alle tilgængelige signaler – hvem brugeren er, hvilken enhed der bruges, hvor og hvordan.
- Mindst mulige rettigheder (least privilege): Brugere får kun den adgang, de har brug for, og helst kun så længe, de har brug for den.
- Gå ud fra, at der er sket et brud (assume breach): Sikkerheden indrettes, så et angreb, der er sluppet igennem, opdages hurtigt og ikke kan brede sig.
Sådan ser det ud i en lille virksomhed
Mange små virksomheder har allerede byggestenene i Microsoft 365 – de skal bare sættes sammen. Typiske trin i retning af zero trust:
- MFA på alle konti – det mest grundlæggende krav om at verificere eksplicit.
- Conditional Access, der stiller krav til login, fx blokering af ældre loginmetoder eller krav om en godkendt enhed.
- Enheder styret i Intune, så kun opdaterede og krypterede computere får adgang til firmadata.
- Medarbejdere uden lokale administratorrettigheder og separate administratorkonti til IT-opgaver.
- Adgang til mapper og systemer efter behov – ikke “alle har adgang til alt”. Se adgangsstyring.
- Overvågning med EDR og opfølgning på alarmer, så et brud opdages.
Eksempel: En konsulent i en advokatvirksomhed forsøger at åbne klientmapper fra sin private computer på et hotel. Adgangskoden er korrekt, og MFA er godkendt, men enheden er ikke styret af virksomheden. Conditional Access tillader kun webadgang uden download – eller afviser helt, afhængigt af reglerne.
Typiske misforståelser
- “Zero trust betyder, at vi ikke stoler på medarbejderne.” Det handler om ikke at give automatisk tillid til en forbindelse eller enhed – ikke om mistillid til mennesker.
- “Vi kan købe zero trust.” Leverandører markedsfører produkter med begrebet, men zero trust er et princip, der indføres gradvist. Microsoft beskriver det selv som en langsigtet rejse.
- “Så behøver vi ikke en firewall.” Firewall og netværkssegmentering er stadig nyttige lag. Zero trust flytter blot tyngdepunktet fra netværket til identitet, enhed og data.
Spørgsmål I kan stille
- Kan man logge ind på vores Microsoft 365 fra en vilkårlig computer med kun adgangskode og MFA?
- Har medarbejderne adgang til flere mapper og systemer, end de har brug for?
- Arbejder nogen til daglig med administratorrettigheder?
- Ville vi opdage det, hvis en angriber havde et gyldigt login?
Hvornår giver det mening at få hjælp?
Hvis I vil i retning af zero trust, men ikke ved, hvor I skal starte, giver det mening at få kortlagt, hvordan login, enheder og rettigheder er sat op i dag. Furesø Data kan lave den gennemgang og foreslå en rækkefølge.
Spørgsmål og svar
Er zero trust kun for store virksomheder?
Nej. Principperne gælder uanset størrelse, og mange af værktøjerne findes allerede i Microsoft 365-planer til små virksomheder. Det handler om at tage skridtene i en fornuftig rækkefølge – typisk MFA, styrede enheder og færre rettigheder først.
Er zero trust et krav i NIS2?
NIS2-loven nævner ikke zero trust. Men lovens § 6 kræver, at omfattede virksomheder ud fra en risikobaseret tilgang har foranstaltninger, der bl.a. omfatter adgangskontrolpolitikker og – hvor det er relevant – multifaktorautentificering eller kontinuerlig autentificering. Zero trust-principperne er én måde at arbejde med de krav på.
Forbehold: Teksten er en generel forklaring og ikke juridisk rådgivning. Krav efter NIS2 fremgår af NIS 2-loven (§ 6) og gælder kun omfattede virksomheder; zero trust er ikke i sig selv et lovkrav.
Kilder (tjekket 31. oktober 2026)
- SP 800-207 Zero Trust Architecture (august 2020) – NIST
- Zero Trust as a security foundation – Microsoft Learn
- Zero Trust Maturity Model – CISA
- Endpoint security in Microsoft Intune – Microsoft Learn
- Vejledning til NIS 2-loven: Implementering af cybersikkerhedsforanstaltninger (juni 2025) – Styrelsen for Samfundssikkerhed