Januari 2025

Conditional Access i Microsoft 365: en startguide

Conditional Access är motorn som avgör om en användare får åtkomst till en resurs utifrån vem de är, var de befinner sig, vilken enhet de använder och vilken risk signalerna visar. Utan dessa principer blir multifaktorautentisering ofta antingen avstängd eller påslagen utan kontext, vilket varken ger bra säkerhet eller bra användarupplevelse.

Varför ni behöver det

Statiska lösenord räcker inte när data sprids över SaaS, mobiler och distansarbete. Conditional Access låter er kräva stark autentisering för administratörer alltid, men kanske bara från företagsdatorer för känsliga appar. Ni kan blockera äldre autentisering som utnyttjas i de flesta kontospridningsförsök och samtidigt tillåta smidigare inloggning på betrodda nät.

Grundläggande policyer att börja med

Microsofts startrekommendationer är en bra bas: kräv MFA för alla användare, blockera legacy inloggning, skydda administratörskonton hårdare. Aktivera i rapportläge först för att se vem som skulle påverkas, justera undantag och gå sedan till aktiv enforcement. Namnge policyer beskrivande så nästa administratör förstår syftet.

MFA och enhetscompliance i korthet

Koppla MFA till starka metoder där det går, till exempel Authenticator eller FIDO. För enhetscompliance integrerar ni Intune så att endast krypterade, patchade och företagsregistrerade enheter får full åtkomst. Ocompliant enheter kan isoleras till webbversioner med begränsad dataexport.

Riskbaserade beslut och sessioner

Entra ID Protection kan kräva lösenordsändring eller MFA när inloggningen bedöms riskfylld. Kombinera med begränsad sessionslängd för känsliga appar. Dokumentera hur resenärer och tillfälliga projekt får arbeta utan att permanent luckra kraven.

Felsökning och support

Ge servicedesk verktyg att se varför en användare blockerats, till exempel What If-analys och tydliga felmeddelanden på svenska där det är möjligt. Utan diagnostik ökar risken att policyer stängs av i frustration.

När ni väl har grundpolicyer på plats, fortsätt med finjustering: skydda API:er som används av mobilappar, begränsa nedladdning till oskyddade enheter och se över gästkonton separat. Små steg som följs upp varje sprint ger bättre resultat än sällan jätteprojekt som aldrig blir klara.

Dokumentera varje policy med syfte, omfattning och datum för nästa översyn så inget lämnas som mystiska regler när personal byts ut. Det underlättar revision och snabbare felsökning. Låt någon ägare per kvartal granska What If-resultat för representativa användare så oväntade blockeringar upptäcks tidigt.

Med en stegvis modell undviker ni låsningar i produktion. Nordvide sätter upp pilotgrupper, övervakning och en policyroadmap som matchar er riskprofil.