Det er ikke kun mennesker, der logger ind i jeres lejer. Kalenderprogrammer, underskriftsløsninger, rapportværktøjer og små automatiseringer har fået lov til at læse mail, filer eller oplysninger fra kataloget, og nogle af dem har den adgang på vegne af hele organisationen. En test af Entra ID kan finde programmer, som ingen længere bruger, men som stadig har rettighederne. Svaret på, hvordan I får styr på det, hviler på to ting, som Microsoft beskriver i sin vejledning: hvem der må give et program adgang, og hvordan adgang, der allerede er givet, bliver gennemgået og trukket tilbage.
To slags programmer i lejeren
Programmerne i Entra ID falder i to grupper, som rapporten kan skelne mellem.
- Egne registreringer · programmer, som jeres egen IT-afdeling, udviklere eller leverandører har registreret i lejeren, fx til en integration mellem økonomisystemet og Microsoft 365.
- Tilføjede programmer fra andre · programmer fra andre udbydere, som en bruger eller en administrator har givet adgang, fx ved at klikke ja til en anmodning om tilladelse.
Begge grupper har rettigheder, og begge kan glemmes. Forskellen er, hvem der ejer dem. Egne registreringer har en intern ejer, i hvert fald da de blev lavet. Tilføjede programmer har måske kun den medarbejder, der klikkede ja.
En tredje kilde er leverandørerne. Når en driftspartner eller et softwarehus sætter en integration op, kan de registrere et program i jeres lejer og giver det de rettigheder, integrationen skal bruge. Det kan ske med en administratorkonto og i en fart, fordi integrationen skal virke til en bestemt dato. Bagefter står programmet tilbage med de rettigheder, der var lettest at give, ikke nødvendigvis de smalleste. Når leverandøren skiftes ud, bliver programmet ikke altid fjernet, fordi ingen ved, om noget andet afhænger af det. Spørg derfor leverandøren, hvilke programmer de har registreret hos jer, og hvilke rettigheder de reelt bruger.
Hvad samtykke betyder
Før et program kan nå organisationens data, skal nogen give det tilladelse. Det kaldes samtykke. Microsoft skriver, at alle brugere som udgangspunkt kan give samtykke til tilladelser, der ikke kræver en administrator. En bruger kan fx give et program adgang til sin egen postkasse, men ikke til alle filer i organisationen.
Tilladelser på vegne af hele organisationen kræver en administrator. De er dem, der har størst betydning i en test, fordi ét ja giver programmet adgang til alle brugeres data inden for det område, tilladelsen dækker.
Microsoft anbefaler at begrænse brugernes samtykke til programmer fra verificerede udgivere og til tilladelser, I selv har vurderet som lav risiko. Begrundelsen er, at ondsindede programmer forsøger at narre brugere til at give adgang. En ordning, hvor brugere kan bede en administrator om at godkende et program, giver en vej, når der er et reelt behov.
Hvad testen ser på
En test ser ikke på, hvordan programmerne er bygget. Den ser på, hvilke rettigheder de har, og hvem der har styr på dem.
- Programmer med brede rettigheder · adgang til alle postkasser, alle filer eller til at ændre i kataloget.
- Programmer uden ejer · registreringer, hvor ingen nuværende medarbejder står som ansvarlig.
- Ubrugte programmer · programmer, der ikke har været i brug længe, men stadig har tilladelserne.
- Indstillinger for samtykke · om alle brugere kan give programmer adgang, og til hvad.
- Hemmeligheder og certifikater · om programmernes egne nøgler er gamle, har lang levetid eller er delt mellem flere formål. → Nøgler og hemmeligheder i cloud
- Hvem der kan administrere programmerne · om roller, der kan ændre programmer, er givet bredt. → Administrative roller i Entra ID
Det sidste punkt er vigtigt. Et program med brede rettigheder er kun så godt beskyttet som de konti, der kan ændre det.
Hvorfor fundet er alvorligt
Et program med adgang til alle postkasser har den adgang, uanset hvem der sidder ved tastaturet. Det logger ikke ind med tofaktor, og det bliver ikke ramt af de regler for login, der gælder medarbejderne. Hvis programmets nøgle lækker, eller hvis det kompromitteres hos udbyderen, er jeres data tilgængelige uden at nogen af jeres egne konti er brugt.
Fundet kan derfor være alvorligere, end det ser ud. Microsoft anbefaler da også at overvåge nye programmer, nye nøgler til programmer og aktivitet omkring samtykke, fordi de ændringer kan være tegn på, at nogen har fået fodfæste.
Sådan får I styr på programmerne
Microsoft beskriver, hvordan tilladelser givet til et program kan gennemgås og trækkes tilbage. Arbejdet efter testen er mest et spørgsmål om overblik og ejerskab:
- Lav en liste · alle programmer med tilladelser, hvem der gav dem, og hvad de bruges til.
- Find en ejer · hvert program får en ansvarlig, der kan svare på, om det stadig skal bruges.
- Fjern det ubrugte · programmer uden formål fjernes, og deres tilladelser trækkes tilbage.
- Skær brede rettigheder ned · programmer, der har mere adgang end opgaven kræver, får smallere tilladelser, hvis udbyderen tillader det.
- Stram samtykket · brugere kan kun give adgang til lav-risiko-tilladelser, og resten går til godkendelse.
- Overvåg ændringer · nye programmer og nye tilladelser bliver set af nogen. → Logning i Microsoft 365, Azure og AWS
Bemærk, at det ifølge Microsoft ikke forhindrer brugere i at give samtykke igen, at en tilladelse trækkes tilbage. Ændringen af indstillingerne for samtykke skal derfor følge med.
Automatiseringer, som medarbejderne selv har bygget, hører med i samme oprydning. De kan køre med medarbejderens egne rettigheder og forsvinder ikke, når personen stopper. → Low-code og automatiserede flows
Det skal I lade være med
- At fjerne programmer uden at spørge forretningen. En integration til lønsystemet kan stoppe.
- At lade alle brugere give samtykke til alt. Ét klik kan give et ukendt program adgang.
- At glemme programmernes egne nøgler. En gammel nøgle med lang levetid er en adgang, der kan lække.
- At lade leverandørens program have bredere adgang end aftalt. Bed om de smalleste tilladelser, der virker.
- At se programmer som uden for scope. De har adgang til de samme data som medarbejderne, måske til mere.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke programmer der havde hvilke tilladelser på testtidspunktet, og om indstillingerne for samtykke og administration gav unødige veje til data. Den kan ikke vurdere sikkerheden hos de udbydere, der står bag programmerne. Den kan heller ikke afgøre, om et program er nødvendigt for jeres forretning. Det er ejerens beslutning.
Tjekliste til programmer og samtykke
- ☐ Findes der en liste over programmer med tilladelser?
- ☐ Har hvert program en ejer?
- ☐ Er ubrugte programmer fjernet?
- ☐ Er brugernes samtykke begrænset?
- ☐ Er programmernes nøgler kendte og udskiftes de?
- ☐ Bliver nye programmer og tilladelser overvåget?
Kilder
- Microsoft Learn: Configure how users consent to applications: brugeres samtykke som standard, anbefaling om samtykke kun til programmer fra verificerede udgivere og lav-risiko-tilladelser, og godkendelse via administrator.
- Microsoft Learn: Review permissions granted to enterprise applications: gennemgang og tilbagetrækning af tilladelser, og at tilbagetrækning ikke forhindrer nyt samtykke.
- Microsoft Learn: Protect Microsoft 365 from on-premises attacks: overvågning af nye programmer, nye nøgler til programmer og aktivitet omkring samtykke.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: API-nøgler og integrationskonti · Logning i Microsoft 365, Azure og AWS
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
