Må firmaets data ligge på en privat computer?

Uge 4 af 7: IT-sikkerhed, som enhver kan forholde sig til
Denne uge: Adgang fra private computere og telefoner, og fra udlandet
Næste uge: Hvad sker der, når en bærbar bliver væk?

Lise stoppede i marts. Hun afleverede computer, telefon og adgangskort, og hendes konto blev lukket samme dag. I dag arbejder hun hos en af jeres konkurrenter.

Men på hendes egen bærbare derhjemme ligger der stadig en kopi af kundemappen. Hun arbejdede nogle gange om aftenen, og filerne blev hentet ned dengang.

Ingen har stjålet noget, og Lise har ikke gjort noget forkert. Men data er ude af huset, og ingen ved det.

De fleste ville aldrig drømme om at bruge filerne. Men det er Lise, der bestemmer det, ikke jer. Kundelisten, priserne og de seneste tilbud ligger nu på en computer hos en, der arbejder for en konkurrent.

Det er ikke kun et problem, når folk stopper

De fleste mindre virksomheder har ingen regler for, hvor firmadata må ligge. Mail på den private telefon, filer på den private computer, et hurtigt login fra hotellets computer på ferien. Det er praktisk, og det er sjældent nogen, der har taget stilling til det.

Problemet er, at virksomheden ikke kan se de maskiner. Den ved ikke, om de bliver opdateret, om der er antivirus, eller om børnene også bruger dem.

Og det betyder noget. Når sikkerhedsforskere undersøger de computere, hvor hackere har fået fat i firmaers logins, er knap halvdelen ikke virksomhedens egne. Det er medarbejdernes private maskiner, der også bliver brugt til arbejde.

Forbud er ikke løsningen

Det oplagte svar er at forbyde det. Men det holder sjældent. Folk vil gerne kunne tjekke mail om aftenen, og de fleste virksomheder vil gerne have, at de kan.

Nogle virksomheder gør det alligevel, og med god grund. Større virksomheder og virksomheder, der arbejder med fortrolige data, lukker typisk helt for adgang fra private computere. Firmadata kan kun åbnes på firmaets egne maskiner, også i browseren. Det er den sikreste løsning, men den kræver, at alle har en firmacomputer, de kan arbejde på hjemmefra.

Heldigvis er valget ikke længere alt eller intet. I Microsoft 365 kan man sætte regler for, hvordan man får adgang, afhængigt af hvilken maskine man sidder ved:

På firmaets computer: fuld adgang, som man er vant til.

På en privat computer: adgang til mail og filer i browseren, men intet kan hentes ned. Man kan læse og arbejde, men når browseren lukkes, er der ikke noget tilbage på maskinen.

På den private telefon: firmaets mail og filer lever i en adskilt del af telefonen. Hvis medarbejderen stopper, eller telefonen bliver væk, kan virksomheden fjerne firmadata uden at røre ved billeder og private apps.

Det kræver også, at Outlook, OneDrive og andre mailprogrammer ikke kan logge ind med firmakontoen på en privat computer. Man kan ikke forhindre, at de bliver installeret, men man kan forhindre, at de virker. Ellers går man bare uden om browseren og henter det hele ned den vej.

Havde de regler været slået til, havde der ikke ligget noget på Lises computer.

Og så er der adgang fra udlandet

Hvis ingen hos jer arbejder fra andre lande end Danmark, er det mærkeligt, at man kan logge ind på jeres Microsoft 365 fra hele verden.

Man kan blokere login fra lande, hvor I hverken har ansatte eller kunder. Skal en medarbejder på ferie eller forretningsrejse, kan IT åbne for det pågældende land i perioden.

Det er ikke vandtæt. En hacker kan godt lade, som om han sidder i Danmark. Men det fjerner en stor del af de automatiske forsøg, der kommer fra hele verden hver dag, og det koster næsten ingenting at sætte op.

Tre spørgsmål til jeres næste ledermøde

1. Hvad sker der med firmadata på private computere og telefoner, når en medarbejder stopper?
   Hvis svaret er “det ved vi ikke”, er det dér, I skal starte.

2. Kan man hente firmafiler ned på en computer, vi ikke selv styrer?
   Hos de fleste er svaret ja, uden at nogen har besluttet det.

3. Kan man logge ind på vores Microsoft 365 fra hele verden?
   Det kan man som udgangspunkt, også selvom ingen af jeres ansatte arbejder i udlandet.

Kort sagt

Problemet er ikke, at medarbejderne bruger deres egne maskiner. Det er, at ingen har bestemt, hvad der må ligge på dem.

Med de rigtige regler kan folk stadig arbejde, hvor de vil. Firmaets data bliver bare, hvor de hører til.

Til den it-ansvarlige

Tag listen med til jeres it-leverandør og spørg, hvilke punkter I allerede er dækket på.

Private computere

• Betinget adgang for Windows og macOS, klienttypen “Mobile apps and desktop clients”, målrettet Office 365: kræv compliant eller Entra hybrid joined enhed. Det stopper Outlook, Teams og OneDrive-synkronisering på private computere.

• Browseren i en separat politik med app enforced restrictions. I Exchange Online: Set-OwaMailboxPolicy -ConditionalAccessPolicy ReadOnly (eller ReadOnlyPlusAttachmentsBlocked). I SharePoint: Unmanaged devices → Allow limited, web-only access.

• Skal adgangen fra private computere blokeres helt, tages klienttypen Browser med i den første politik.

• Bloker ældre login (Exchange ActiveSync og Other clients), sluk IMAP og POP via Set-CASMailboxPlan, og bloker automatisk videresendelse til eksterne adresser.

• Med Defender for Cloud Apps kan session control blokere download, kopiering og print mere granulært, hvor licensen tillader det.

• Kræver Entra ID P1 (med i Microsoft 365 Business Premium og E3/E5). Kør politikkerne i rapporttilstand først, og tjek, at alle firmaets egne computere er compliant, før de slås til.

Private telefoner

• Intune App Protection Policies (MAM) til iOS og Android: kræv godkendte apps, bloker kopiering til private apps, og kræv pinkode til firmaapps.

• Selektiv sletning af firmadata ved fratrædelse eller tab.

• Hold iOS og Android ude af politikken, der kræver administreret enhed. Ellers bliver private telefoner blokeret helt.

Adgang fra udlandet

• Navngivne lokationer med landebaseret blokering i betinget adgang. Undtag nødadgangskonti.

• En gruppe til rejsende med tidsbegrænset undtagelse, så IT ikke skal ændre selve politikken.

Ved fratrædelse

• Tilbagekald sessioner, deaktiver kontoen, og udfør selektiv sletning på registrerede enheder samme dag.

Næste mandag: Hvad sker der, når en bærbar bliver væk?

Kilder: Verizon Data Breach Investigations Report 2025