Advanced: Entra ID-sikkerhedskontroller, implementeret
Baseline → Advanced → Pro
Advanced indeholder Baseline og retter de huller, der kan lukkes med lav friktion. Pakken vurderer også alle funktioner i jeres licensplan, også dem som ingen standard kræver, og implementerer dem eller lægger dem på roadmappen.
Baseline viser jer, hvad der er galt. Advanced er til de virksomheder, hvor det aldrig var problemet at finde fejlene. I har allerede en idé om svaret. Det, I mangler, er en med tid, erfaring og adgang til tenanten, som kan gå ind og rette det.
Pakken er til virksomheder, der bruger Microsoft Entra ID som primær identitetsløsning, og som vil have en identitetsopsætning, der rent faktisk kan modstå et angreb og ikke bare lever op til en tjekliste. Hvilke kontroller jeg kan sætte op, afhænger af jeres Microsoft-licenser, som Baseline-siden viser i en tabel.
Lav og høj friktion. Et tiltag har lav friktion, når det kræver lidt oplæring og kun små ændringer i, hvordan folk arbejder, eller kun berører få personer, for eksempel phishing-resistent MFA til administratorer eller blokering af legacy-godkendelse. Det har høj friktion, når mange brugere eller hele processer skal ændres, for eksempel MFA til alle B2B-gæster, adgangsgennemgange eller godkendelse af privilegeret adgang. Advanced klarer tiltagene med lav friktion; hvilke der er med, aftales skriftligt, når jeg giver en pris på implementeringen. Tiltagene med høj friktion vælges ved valg af scope og leveres i Pro.
Advanced-sikkerhedspakke
- Alt i Baseline. Hele gennemgangen af Entra ID: analyse af opsætningen op mod anerkendte standarder, forbedringer rangeret efter risiko, omkostning og indsats, alle valideret af en CISM- og CEH-certificeret konsulent, og et overleveringsmøde.
- Ekstern adgang i Teams, SharePoint og OneDrive. Hvem uden for virksomheden der kan inviteres, chatte med jeres medarbejdere eller åbne delte filer og links. Indstillingerne gennemgås, og dem med lav friktion strammes, ikke bare anbefales.
- Alle Entra ID-funktioner i jeres licensplan, vurderet. Status og brug af hver funktion, jeres licenser indeholder, bliver vurderet. Det gælder også funktioner, som ingen standard kræver, men som er gode at bruge, til administration, procesoptimering eller ekstra sikkerhed. Hver enkelt bliver implementeret eller lagt på roadmappen. Funktionsoversigten på Baseline-siden viser, hvad hver licens indeholder.
- Hands-on implementering af tiltag med lav friktion. Hvert fund i Baseline, der kræver lidt oplæring og kun små ændringer i, hvordan folk arbejder, eller kun berører få personer, implementerer jeg i jeres tenant sammen med den, der ejer systemet. Det lavthængende er gjort, og resten lægges i rækkefølge på roadmappen. Alt, der kræver, at mange brugere eller hele processer ændres, leveres i Pro.
- Et prioriteret roadmap. En samlet oversigt over de større, strategiske initiativer, som giver virksomhedens IT-sikkerhed et markant løft og sikrer en stærk risikoprofil.
Sådan foregår forløbet
1. Afklaring af scope. En samtale på 30 minutter, hvor vi præsenterer os for hinanden, I fortæller om jeres behov, og vi vurderer, om Advanced er den rigtige pakke. Gratis og uforpligtende.
2. Opstartsmøde. Tag gerne både en fra forretningen og en fra IT med. Vi gennemgår, hvad der er med i scope, og hvad der ikke er, grundigt nok til at kunne planlægge selve opgaven.
3. Læseadgang først. I opretter en service principal med læserettigheder til konfigurationsdata. Ingen adgang til postkasser, filer eller brugerindhold. Analysen kører alene på den adgang, og I kan lukke den igen når som helst.
4. Indsamling og analyse. Entra ID samt indstillingerne for ekstern adgang i Teams, SharePoint og OneDrive bliver hentet og analyseret op mod Microsofts best practice og anerkendte kontrolrammer. Automatiseringen sikrer, at hver eneste indstilling bliver læst. Det når man ikke, når en tenant gennemgås manuelt.
5. Validering og prioritering. Hvert forbedringsforslag og begrundelsen bag det bliver gennemgået af en CISM- og CEH-certificeret konsulent med mere end ti års erfaring. Derefter bliver forbedringerne lagt i en rækkefølge, der tager højde for jeres licens, hvor meget brugerne må mærke til det, og hvad jeres eget team kan nå.
6. Pris og aftale om, hvad der implementeres. Fundene viser nu, hvilke licenser I har, hvilke kontroller der allerede er slået til, og hvor moden jeres organisation er, så det er her, jeg giver en pris på implementeringen. Vi aftaler skriftligt, hvilke tiltag med lav friktion jeg ændrer, hvornår, og hvordan vi ruller tilbage. Intet bliver slået til i produktion uden varsel.
7. Implementering og overlevering. Læseadgangen forbliver en læseadgang. Til implementeringsperioden giver I en separat, tidsbegrænset ændringsrolle, helst til mig. Hvis I foretrækker det, laver I selv ændringerne, mens jeg vejleder på skærmen. Rollen fjernes ved overleveringen, og hver ændring bliver logget og har en skriftlig tilbagerulning. De aftalte tiltag med lav friktion bliver sat op, testet og dokumenteret. Forløbet slutter med en gennemgang af, hvad der er ændret, hvad der mangler, og i hvilken rækkefølge resten skal tages.
Sikkerhed, der betaler sig
IT-sikkerhed er ikke kun en udgift. Mange ser sikkerhed som ren risikoreduktion uden et konkret afkast, men det passer ikke. Flere af de kontroller, der bliver sat op i Advanced, fjerner både besvær og manuelt arbejde, samtidig med at de lukker et hul.
- Phishing-resistent MFA til jeres mest privilegerede administratorer. Globale administratorer, sikkerhedsadministratorer og de øvrige tier 0-roller logger ind med passkeys eller sikkerhedsnøgler. Disse konti er det første, en angriber går efter, og kun få personer er berørt, så risikoen falder markant uden at ændre, hvordan resten af medarbejderne logger ind. En passkey er også hurtigere end en adgangskode og en kode.
- Single sign-on. Ét login til de applikationer, der allerede understøtter det, sat op uden træning eller nye arbejdsgange. Færre adgangskoder at huske, færre at nulstille og kortere tid, før en ny medarbejder kan arbejde.
- Grundlæggende joiner- og leaver-processer, bygget ind i Entra. Dynamiske grupper og gruppebaseret licenstildeling giver en ny medarbejder de rette adgange og licenser fra første dag, og en afprøvet leaver-rutine fjerner konto, sessioner, login-metoder og licens på sidste arbejdsdag. Det bruger kun Entras egne indstillinger. At udløse det automatisk fra jeres HR-system er en del af Pro.
- Målinger og rapportering. Når kontrollerne er på plads, kan de måles. Et lille sæt nøgletal hentet fra jeres tenant, for eksempel Secure Score og MFA-dækning, er en del af overleveringen, så I kan dokumentere jeres sikkerhedsniveau over for kunder, bestyrelse og forsikringsselskab i stedet for bare at påstå det. Det er et øjebliksbillede, ikke en løbende rapportering.
Tidsramme, og hvad pakken ikke er
Advanced er et afgrænset projekt. Der er intet abonnement, ingen løbende aftale og intet at binde sig til. I lukker adgangen, når arbejdet er færdigt.
Advanced prissættes som Baseline plus implementeringen, som jeg giver en pris på ud fra fundene. Gennemgangen følger tidsplanen fra Baseline: den er klar inden for en uge, efter at adgangen er på plads. Selve implementeringen tager typisk en til fire uger, afhængigt af størrelsen på jeres miljø og hvor mange tiltag der aftales.
Advanced omfatter ikke de kontroller og funktioner med høj friktion, som kræver, at mange brugere eller hele processer ændres. Større migreringer, for eksempel fra lokalt Active Directory til Entra ID, regnes som høj friktion. Pakken omfatter heller ikke redesign af jeres processer eller træning af jeres medarbejdere. Det ligger i Pro.
Ikke inkluderet i nogen pakke:
- Licenskøb og gebyrer til tredjepart. Jeg fortæller, hvilken licens der åbner for en kontrol, og hvad den vil koste. Købet og eventuelle leverandørgebyrer er jeres.
- Ændringer inde i andre leverandørers applikationer. Mangler en applikation den understøttelse, en forbindelse kræver, er det leverandørens sag. Jeg dokumenterer det, og systemet får et manuelt trin.
- Certificering eller revisorerklæring. Arbejdet er knyttet til anerkendte standarder, men certificerer jer ikke efter dem.
Ofte stillede spørgsmål
Baseline er altid første skridt, og den er en del af Advanced. Jeg laver den selv i hvert forløb, fordi implementeringen skal bygge på en gennemgang, jeg selv har lavet og valideret. En gennemgang, I selv har lavet eller fået lavet af andre, kan ikke erstatte den. Har jeg lavet en Baseline for jer inden for de seneste 12 måneder, tjekker jeg, hvad der har ændret sig siden, og arbejdet bliver krediteret i stedet for gentaget.
Jeg laver selv ændringerne i jeres tenant, aftalt på forhånd og sammen med den, der ejer systemet. Det gælder tiltag med lav friktion: ændringer, der kræver lidt oplæring og kun små ændringer i, hvordan jeres medarbejdere arbejder, eller som kun berører få personer, så de kan slås til og testes uden et forandringsprogram. Eksempler er phishing-resistent MFA til jeres tier 0-administratorer, blokering af legacy-godkendelse, begrænsning af, hvem der kan give samtykke til applikationer, strammere rettigheder til at invitere gæster, fjernelse af ubrugte administratorroller og begrænsning af ekstern adgang i Teams, SharePoint og OneDrive. Ændringer, der får mange mennesker eller hele processer til at arbejde anderledes, for eksempel MFA til alle B2B-gæster, adgangsgennemgange med navngivne reviewere, godkendelsesflows for privilegeret adgang og integrationer til HR eller applikationer, lægges i rækkefølge på roadmappen og leveres i Pro. Det siger jeg, i stedet for at gå i gang.
Det eneste krav er, at I bruger Entra ID som primær identitetsløsning i skyen. Derudover afgør jeres licens, hvilke kontroller jeg kan sætte op, og det viser tabellen på Baseline-siden. En Free- eller P1-tenant får også reel værdi, bare med andre kontroller end en P2-tenant.
Én, der kan give og fjerne læseadgangen, og én, der har ansvaret for Microsoft-miljøet til daglig. Under implementeringen skal jeg også have fat i den, der kan godkende ændringer, som brugerne vil mærke, for eksempel en Conditional Access-politik. Det er typisk nogle få timer i alt, ikke et helt projekt.
Advanced prissættes i to trin. Først kører Baseline-gennemgangen, fordi den viser, hvilke licenser I har, hvilke kontroller der allerede er slået til, og hvor moden jeres organisation er. Derefter giver jeg en pris på implementeringen af tiltagene med lav friktion ud fra de faktiske fund, enten som fast pris eller, hvis opgaven ikke egner sig til det, efter medgået tid. 30 minutter er ikke nok til en pris: samtalen afklarer, om Advanced er den rigtige pakke, og hvad jeg skal vide mere om. Er Advanced den forkerte pakke for jer, siger jeg, hvilken der passer bedre.
Book en samtale på 30 min
30 minutter, gratis og uforpligtende. Er Advanced mere, end I har brug for, fortæller jeg jer, hvilken pakke der passer.