En medarbejder deler et tilbud med en kunde via et link. To år senere virker linket stadig, og ingen kan huske, hvem der har det. Fund om ekstern deling går igen i test af Microsoft 365, fordi deling er let at starte og svær at følge op på. Hvad I gør ved dem, hviler på tre forhold, som Microsoft selv bruger til at beskrive indstillingerne: hvor åben delingen må være for hele organisationen, hvilken linktype medarbejderne får som standard, og om åbne links udløber.
Hvorfor deling ender i rapporten
Deling i SharePoint, OneDrive og Teams er bygget til at fungere uden IT. Det er hele pointen. En projektleder kan dele en mappe med en leverandør uden at oprette en sag i servicedesken. Bagsiden er, at ingen samlet ejer har overblikket. Teams-kanaler oprettes med tilknyttede SharePoint-websteder, mapper deles fra OneDrive, og gæster inviteres undervejs.
Når testeren ser på delingen, er det ikke nødvendigvis én stor fejl, der dukker op. Det er summen af mange små beslutninger, som hver for sig var rimelige. Rapporten kan derfor vise et mønster snarere end en enkelt indstilling.
De fire niveauer for ekstern deling
Microsoft beskriver fire niveauer for, hvor åbent der må deles fra SharePoint og OneDrive:
- Alle · links, som alle med linket kan åbne uden at logge ind.
- Nye og eksisterende gæster · modtageren skal logge ind eller bekræfte sin identitet med en kode.
- Eksisterende gæster · der kan kun deles med gæster, der allerede findes i kataloget.
- Kun personer i organisationen · ekstern deling er slået fra.
Niveauet sættes for hele organisationen, og hvert websted kan derefter sættes til det samme eller et strammere niveau, aldrig et mere åbent. OneDrive kan ligeledes være strammere end SharePoint, men ikke mere åbent. Det giver IT et værktøj til at skelne: et projektwebsted til kunder kan have en anden indstilling end økonomiafdelingens.
Typiske fund om deling
En test af delingen kommenterer typisk nogle af disse forhold:
- Links uden login er tilladt overalt · organisationen står på det mest åbne niveau, og ingen websteder er strammet.
- Åbne links udløber aldrig · Microsoft gør det muligt at kræve, at links uden login udløber efter et bestemt antal dage, men indstillingen er ikke brugt.
- Åbne links med redigeringsret · links, der giver alle med linket lov til at ændre eller uploade.
- Standardlinket er for bredt · medarbejdere får som udgangspunkt et link, der virker for alle, i stedet for et link til bestemte personer.
- Gamle delinger på følsomme websteder · mapper, der stadig er delt med eksterne længe efter, at samarbejdet sluttede.
- Gæster uden udløb · gæsters adgang til websteder fortsætter, selvom der kan sættes en automatisk udløbsperiode.
Delingsindstillingerne hænger sammen med reglerne for gæster i Entra ID, som afgør, hvem der kan invitere. → Gæstebrugere og eksterne konti i Entra ID
Hvorfor er åbne links så centrale i rapporten? Et link, der virker uden login, kan videresendes. Microsoft skriver selv, at man ikke kan følge, hvem der har adgang, når et sådant link er sendt videre. Det er ikke i sig selv et problem for en brochure eller en prisliste. Det er et problem for en lønliste eller et kontraktudkast.
Alvorligheden afhænger derfor af, hvad der er delt. Testeren vurderer typisk både indstillingen og konkrete eksempler på, hvad den har ført til. Et fund, hvor testeren har kunnet åbne følsomme dokumenter uden login, vægtes højere end en indstilling, der blot gør det muligt. Har testeren fundet følsomme data på den måde, skal det håndteres efter jeres aftale for den slags fund. → Testeren fandt følsomme data
Sådan strammer I uden at stoppe arbejdet
Ekstern deling er et forretningsværktøj. En stramning, der stopper vigtige samarbejder, bliver omgået med private mailkonti eller usb-nøgler, og så er I dårligere stillet. Gå derfor trinvis frem:
- Kortlæg behovet · hvilke afdelinger deler med eksterne, og hvad deler de?
- Skift standardlinket · lad medarbejderne starte med et link til bestemte personer eller til organisationen. Det ændrer vanen uden at fjerne muligheden.
- Indfør udløb på åbne links · så nye links ikke lever for evigt.
- Stram de følsomme websteder · lad websteder med persondata eller økonomi stå på et strammere niveau end resten.
- Ryd op i gamle delinger · lad ejerne af webstederne tage stilling, ikke IT alene.
Vær opmærksom på, at ændringer i organisationens niveau kan have bred virkning. Microsoft oplyser, at gæster typisk mister adgang inden for en time, når ekstern deling begrænses. Planlæg ændringen sammen med de afdelinger, der deler mest, og varsl den. → Rettelser uden nedetid
Ejerskab af rettelserne
Delingsfund falder mellem to stole. Indstillingerne for hele organisationen ejes af IT eller driftsleverandøren, men de konkrete delinger ejes af de medarbejdere og afdelinger, der har lavet dem. Fordel derfor fundene i to slags opgaver: indstillinger, som IT ændrer, og oprydning, som webstedsejerne står for med IT som støtte. Læg begge dele i opgavesystemet med en frist, så oprydningen ikke stopper efter første runde. → Fra fund til opgave
Passer en MSP lejeren, skal det fremgå af driftsaftalen, om oprydning i delinger hører med, eller om det er en ekstra opgave. → Rettelser i driftsaftalen
Det, testen skal have med
- En almindelig medarbejderkonto · så testeren kan se, hvilke delingsmuligheder medarbejderne faktisk har.
- En ekstern konto · fra en anden organisation, så det kan afprøves, hvad en modtager kan.
- Overblik over følsomme websteder · hvor data kræver ekstra beskyttelse.
- Kendte samarbejder · partnere og kunder, der bevidst har adgang.
Det skal I lade være med
- At slå al ekstern deling fra på én dag. Medarbejderne finder andre veje.
- At lade IT bestemme, hvilke delinger der skal fjernes. Webstedsejerne kender samarbejderne.
- At ændre standardlinket uden at fortælle det. Medarbejdere, der pludselig ikke kan dele, ringer til servicedesken.
- At glemme Teams. Kanaler har tilknyttede websteder med deres egne delinger.
- At stramme indstillingerne og lade gamle links leve. Nye regler gælder ikke automatisk for alt, der allerede er delt.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke delingsindstillinger der var gældende, og hvad testkontiene kunne dele eller åbne på testtidspunktet. Den viser ikke, hvem der har modtaget eller videresendt gamle links, og den kan ikke vurdere, om en bestemt deling har et forretningsmæssigt formål. Den siger heller ikke noget om, hvordan modtagerne opbevarer det, de har hentet.
Tjekliste til ekstern deling
- ☐ Er organisationens delingsniveau valgt bevidst?
- ☐ Er standardlinket til bestemte personer eller organisationen?
- ☐ Udløber links, der virker uden login?
- ☐ Står følsomme websteder på et strammere niveau?
- ☐ Har webstedsejerne gennemgået eksisterende delinger?
- ☐ Er gæsters adgang til websteder tidsbegrænset?
Kilder
- Microsoft Learn: Manage sharing settings for SharePoint and OneDrive: de fire delingsniveauer, websteder og OneDrive kan kun være strammere end organisationen, udløb og begrænsning af links uden login, standardlinktype, udløb af gæsters adgang, og at gæster typisk mister adgang inden for en time ved stramning.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Gæstebrugere og eksterne konti i Entra ID · Exchange Online
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
