En lejer i Microsoft 365 kan have en høj Secure Score og alligevel få et alvorligt fund i en penetrationstest. Det er ikke en modsigelse, for de to måler noget forskelligt. Microsoft beskriver selv scoren som et udtryk for, i hvilken grad I har taget de anbefalede sikkerhedsfunktioner i brug, og ikke som et mål for, hvor sandsynligt det er, at I bliver kompromitteret. Testen afprøver det, scoren ikke regner på: om den samlede kombination af indstillinger, rettigheder og undtagelser kan misbruges.
Hvad scoren regner på
Secure Score i Microsoft Defender-portalen giver point for anbefalede handlinger. Ifølge Microsofts dokumentation er hver handling højst 10 point værd. Nogle giver kun point, når de er helt gennemført, andre giver delvise point efter, hvor stor en del af brugerne eller enhederne der er dækket. Handlinger kan også markeres som løst af et andet produkt eller af en anden afhjælpning, og så tæller pointene med.
Det gør scoren til et godt arbejdsredskab. Den viser en liste over konkrete indstillinger, sorteret efter Microsofts vurdering af, hvad de betyder, og den kan følges over tid. Den er bygget til at besvare spørgsmålet: hvor langt er vi med leverandørens anbefalinger?
Tre scorer med næsten samme navn
Driften kan møde flere scorer, og de bør ikke blandes sammen:
- Microsoft Secure Score · samlet score for identitet, data, enheder, apps og infrastruktur i Microsoft Defender-portalen.
- Identity Secure Score · identitetsdelen, som også vises under anbefalinger i Microsoft Entra. Microsoft oplyser, at anbefalingerne er de samme som i identitetsdelen af Secure Score.
- Cloud Secure Score · scoren i Microsoft Defender for Cloud, der vurderer ressourcer i Azure og tilsluttede cloudmiljøer. Microsoft beskriver i dag to modeller med hver sin beregning.
Skriv i jeres egne rapporter, hvilken score tallet kommer fra. Ellers kan to personer tale om “scoren” og mene hver sin.
Det, scoren ikke kan se
Scoren tæller indstillinger én ad gangen. Den ved ikke, hvordan de spiller sammen i netop jeres lejer, og den har begrænset indsigt i det, I selv har erklæret.
- Undtagelser · en regel for betinget adgang kan give point, selv om en gruppe er undtaget fra den. → Betinget adgang i Entra ID
- Erklærede afhjælpninger · markeres en anbefaling som løst af et andet produkt eller en anden afhjælpning, skriver Microsoft, at de ikke kan se, om løsningen er fuldt gennemført.
- Accepteret risiko · en anbefaling, I har accepteret risikoen for, forsvinder fra listen over handlinger.
- Rettigheder over tid · roller, appsamtykker og gæster, som hver for sig er inden for anbefalingerne, men tilsammen giver en vej videre.
- Det, der ligger uden for · lokale servere, andre platforme og forretningssystemer indgår ikke i Microsofts liste.
Microsoft skriver også, at anbefalingerne ikke dækker alle angrebsflader for hvert produkt. Det er en ærlig beskrivelse af en baseline, ikke en fejl i scoren. → Hærdningsstandarder og sikkerhedsbaselines
Hvorfor en høj score og et alvorligt fund kan stå side om side
Et tænkt eksempel: tofaktor er slået til for alle brugere, gamle loginmetoder er blokeret, og scoren er høj. Testen finder alligevel, at en tjenestekonto er undtaget fra reglerne, at kontoen har en administrativ rolle, og at dens adgangsoplysninger kan læses af flere end dem, der har brug for dem. Ingen af de tre forhold trækker scoren meget ned hver for sig. Sammen bliver de en kæde.
Det er den slags kæde, testen er bygget til at finde, og som en optælling af indstillinger ikke viser. Testeren starter fra en konto eller en adgangsvej og spørger, hvad der kan nås derfra. → Tofaktor med huller
Sådan bruger I de to sammen i driften
Scoren og testen supplerer hinanden bedst, når de bruges i hver sin fase.
- Før testen · gennemgå anbefalingerne med høj betydning og ret dem, der kan rettes uden større projekter. Så bruger testeren ikke tid på at notere det, I allerede kender.
- Ved afgrænsningen · giv testeren listen over anbefalinger, der er markeret som accepteret risiko eller løst på anden måde. Det er netop dem, det kan betale sig at afprøve. → Microsoft 365-test for IT-afdelingen
- Efter testen · knyt hvert fund til den anbefaling, der eventuelt hænger sammen med det. Nogle fund har en anbefaling, andre har ingen, og det er værd at vide.
- I det løbende arbejde · brug scoren til at holde fast i rettelserne. Når en indstilling glider tilbage, kan den ses i historikken.
Microsoft anbefaler selv at fokusere på de anbefalinger med høj betydning, der er relevante for jer, frem for et bestemt tal. Den tilgang passer også til testens fund.
Scoren over for ledelsen
Scoren er let at vise på et dias, og den kan sammenlignes med lignende organisationer i portalen. Netop derfor skal den forklares. Et stigende tal betyder, at flere anbefalinger er gennemført. Det betyder ikke, at den risiko, testen fandt, er væk, medmindre de konkrete fund er rettet og afprøvet igen.
Rapportér derfor de to ved siden af hinanden: scoren som mål for, hvor langt I er med baselinen, og status på testens fund som mål for, om de kendte veje er lukket. → Status til ledelsen om rettelserne
Det skal I lade være med
- At bruge scoren som bevis for, at I er sikre. Microsoft skriver udtrykkeligt, at den ikke er en garanti mod brud.
- At jagte point i stedet for risiko. En anbefaling med lav betydning kan give point uden at lukke noget, testen fandt.
- At markere anbefalinger som løst uden dokumentation. Skriv ned, hvad der dækker dem, og hvem der har vurderet det.
- At glemme de accepterede risici. Tag dem op igen, når forudsætningerne ændrer sig.
- At udelade testen, fordi scoren er høj. Scoren og testen svarer på hver sit spørgsmål. → Konfigurationsgennemgang eller penetrationstest af cloud
Hvad kan og ikke kan konkluderes
En høj score viser, at en stor del af Microsofts anbefalinger er gennemført på det tidspunkt, scoren blev beregnet. Den viser ikke, om kombinationen af jeres indstillinger kan misbruges, og den siger intet om systemer uden for listen. En test viser, hvad bestemte konti og adgangsveje kunne nå i testperioden. Den dækker kun det aftalte omfang og kan ikke erstatte den løbende opfølgning, scoren giver.
Tjekliste til scoren og testen
- ☐ Ved I, hvilken score der rapporteres?
- ☐ Er anbefalinger med høj betydning gennemgået før testen?
- ☐ Er accepterede risici og erklærede afhjælpninger dokumenteret?
- ☐ Har testeren fået listen over dem?
- ☐ Er testens fund knyttet til anbefalinger, hvor det er muligt?
- ☐ Rapporteres scoren og fundenes status hver for sig?
Kilder
- Microsoft Learn: Microsoft Secure Score: point for anbefalede handlinger, højst 10 point pr. handling, delvise point, markering som løst af andet produkt eller afhjælpning, anbefalingerne dækker ikke alle angrebsflader, scoren er ikke et absolut mål for risiko for brud.
- Microsoft Learn: What is the Identity Secure Score?: identitetsdelen af Secure Score, statusser som accepteret risiko og løst af tredjepart, Microsoft kan ikke se, om sådanne løsninger er fuldt gennemført, fokus på anbefalinger med høj betydning.
- Microsoft Learn: Cloud Secure Score in Microsoft Defender for Cloud: scoren for cloudressourcer og de to beregningsmodeller.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Administrative roller i Entra ID · Appregistreringer og samtykke
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
