Ikke alle virksomheder bruger Microsoft 365. Hvor mail, dokumenter, kalender og deling ligger i Google Workspace, er det Workspace, der er dørene ind til medarbejdernes data. En test af Workspace afprøver jeres egen opsætning: hvem der administrerer, hvordan login er beskyttet, hvad der deles ud af huset, og hvilke programmer der har adgang. Svaret hviler på de samme principper som i andre cloudtjenester og på Googles egen sikkerhedstjekliste til administratorer. For IT-afdelingen ligner opgaven en test af Microsoft 365, men indstillingerne hedder noget andet og sidder andre steder.
Det, der er jeres i Workspace
Google driver tjenesten, men domænet og dets indstillinger er jeres. Det er jer eller jeres partner, der har valgt, hvem der er administratorer, om tofaktor er påkrævet, hvordan filer må deles, og hvilke programmer brugerne må give adgang. Det er de valg, testen ser på.
Googles regler for test skal også følges. For Google Cloud oplyser Google, at kunder ikke skal give besked før test af egne projekter, men skal overholde Googles regler for acceptabel brug og vilkårene for tjenesten. Workspace har sine egne vilkår. Læs de gældende vilkår for de tjenester, testen omfatter, og bed testeren skrive i planen, hvilke regler testen følger. Aktiviteter, der kan belaste tjenesten eller ramme andre kunder, hører ikke med.
Hvad testen afprøver
En test af Workspace dækker typisk fem områder:
- Administratorer · hvor mange der har de højeste roller, om de bruger dem til dagligt arbejde, og om rollerne kunne være mere afgrænsede. Google beskriver superadministratorer som de konti, der styrer adgangen til alle organisationens data.
- Login · om tofaktor er påkrævet for alle, og om administratorer og andre vigtige konti bruger sikkerhedsnøgler, som Google anbefaler.
- Deling · hvad der må deles uden for organisationen i Drev, kalender, chat og websteder, og hvad der faktisk er delt.
- Programmer · hvilke tredjepartsprogrammer der har adgang til mail og filer, og hvem der har givet lov.
- Mail · om videresendelse til eksterne adresser er åben for alle, og om domænets beskyttelse mod forfalskning er sat op. → SPF, DKIM og DMARC i rapporten
Som i andre cloudtjenester består testen af en gennemgang af indstillinger og en afprøvning af, hvad almindelige brugere og gæster faktisk kan nå. → Konfigurationsgennemgang eller penetrationstest af cloud
Det, IT-afdelingen forbereder
- ☐ Oversigt over administratorer og deres roller, også partnerens.
- ☐ Testkonti: en almindelig medarbejderkonto og en konto med læseadgang til administrationen, hvis den kan oprettes.
- ☐ Beskrivelse af de delingsregler, I har valgt, og af bevidste undtagelser.
- ☐ Liste over programmer, der bevidst har fået adgang til organisationens data.
- ☐ Oplysning om, hvilke udgaver og licenser domænet har, så testeren kan skelne mellem fravalg og manglende funktioner.
- ☐ Bekræftelse på, at administrationens revisionslog er tilgængelig, så testens spor kan genfindes. → Logning i Microsoft 365, Azure og AWS
Fjern testkontiene bagefter. De er rigtige konti i jeres domæne.
Fundtyper, der går igen
For mange superadministratorer. Konti med fuld kontrol, som bruges til mail og møder, eller som tilhører medarbejdere, der ikke længere har opgaven.
Tofaktor med undtagelser. Kravet gælder ikke alle, eller nogle konti bruger stadig ældre loginmetoder. Google anbefaler at blokere programmer, der ikke bruger moderne login. → Tofaktor med huller
Åben deling. Filer og mapper, der kan åbnes af alle med linket, eller som er offentliggjort på nettet. Google anbefaler at begrænse ekstern deling og at gøre adgangen til filer begrænset som udgangspunkt.
Programmer med bred adgang. Tredjepartsprogrammer, som en medarbejder har givet adgang til mail eller Drev, og som stadig har den. Fundtypen svarer til den i Entra ID. → Appregistreringer og samtykke
Videresendelse ud af huset. Automatisk videresendelse til private adresser, som Google anbefaler at slå fra for brugere, der ikke har brug for den.
Prioritering og rettelser
Prioriter efter, hvad fundet giver adgang til. Administratorkonti uden stærk beskyttelse kommer først, for de giver adgang til alt. Derefter huller i login, der kan udnyttes med en stjålen adgangskode. Derefter deling og programmer, der giver adgang til data.
Rettelserne er på begrebsniveau de samme som i andre platforme:
- Færre administratorer · og separate konti til administration, som ikke bruges til dagligt arbejde.
- Stærkere login · tofaktor for alle og sikkerhedsnøgler for de vigtigste konti.
- Strammere deling som udgangspunkt · med bevidste undtagelser for de afdelinger, der har brug for at dele.
- Godkendelse af programmer · så adgang til organisationens data kræver en beslutning fra administrationen.
- Løbende overblik · faste gennemgange af administratorer, delinger og programmer.
Delingsregler rammer mange brugere på én gang. Prøv strammere regler af i en mindre gruppe, og fortæl medarbejderne, hvad der ændres, før det slås til for alle. Husk også de delinger, der allerede findes. En ny regel for fremtidig deling lukker ikke nødvendigvis de links, der blev sendt ud for et år siden, og de skal gennemgås for sig, gerne sammen med dem, der ejer filerne.
Partneren og de andre miljøer
I mindre virksomheder kan Workspace være sat op af en partner, som også har administratoradgang bagefter. Partneren ved måske, hvorfor en delingsregel er åben, eller hvorfor en bestemt konto er undtaget fra tofaktor. Tag partneren med i forberedelsen, og aftal, hvem der svarer på spørgsmål undervejs, og hvem der retter bagefter. Partnerens egne konti hører med i testen på samme måde som jeres.
Workspace står heller ikke altid alene. Mange bruger Google-kontoen som login til andre systemer, eller har Workspace ved siden af et cloudmiljø i Azure eller AWS. Er login fælles, rækker et fund i Workspace ind i de andre systemer, og så bør de ses i sammenhæng. Det gælder især administratorer, der har høje rettigheder begge steder. → Flere cloudmiljøer i samme test
Skift mellem platforme giver også en særlig risiko: gamle konti og delinger i den platform, man er på vej væk fra, kan blive stående længe efter, at arbejdet er flyttet.
Det skal I lade være med
- At teste med en superadministrator. Testen viser så kun, hvad en administrator kan.
- At antage, at Google har sat det sikkert op. Mange indstillinger er jeres valg.
- At glemme partnerens administratorkonti. De kan være de mest privilegerede udefra.
- At lukke al deling på én dag. Arbejdet stopper, og reglerne bliver rullet tilbage.
- At overse gamle delinger. Nye regler ændrer ikke nødvendigvis det, der allerede er delt.
Hvad kan og ikke kan konkluderes
Testen viser, hvordan jeres opsætning af Workspace holdt på testtidspunktet, med de konti og områder, der var aftalt. Den kan ikke dokumentere Googles egen sikkerhed, og enheder eller tjenester uden for aftalen er ikke dækket. Indstillinger i Workspace ændres let, så et godt resultat holder kun, hvis ændringer af administratorer, deling og programmer også følges bagefter.
Kilder
- Google Workspace: Security checklist for medium and large businesses: Googles tjekliste til administratorer om superadministratorer, tofaktor og sikkerhedsnøgler, tredjepartsprogrammer, ekstern deling, videresendelse af mail og revisionslog.
- Google Cloud: Penetration testing of your own projects: ingen forudgående besked ved test af egne projekter i Google Cloud, men krav om at følge regler for acceptabel brug og vilkår.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Appregistreringer og samtykke · Konfigurationsgennemgang eller penetrationstest af cloud
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
