Microsoft säger att era säkerhetsregler skyddar för många. Sänk inte skyddet.

Någon gång under första veckan i augusti började administratörer se en ny banderoll på sidan för villkorsstyrd åtkomst (Conditional Access) i Microsoft Entra. Budskapet, enligt bland andra Office 365 IT Pros, är att vissa regler skyddar fler användare än era nuvarande licenser täcker.

Villkorsstyrd åtkomst är de regler som bestämmer när någon måste identifiera sig med tvåstegsverifiering, från vilka enheter man får logga in och vad som blockeras. För de flesta företag är det ryggraden i Microsoft 365-säkerheten. Och enligt Microsoft kräver funktionen licensen Microsoft Entra ID P1.

Låt oss ta det lugnande först. Varningen är informativ. Det kommer ingen automatisk faktura, och ingenting stängs av. Microsoft skriver själva att regler för villkorsstyrd åtkomst inte inaktiveras eller raderas automatiskt ens när licenserna löper ut. De går att se och ta bort, men inte ändra.

Ni behöver alltså inte agera i panik i dag. Men ni bör agera genomtänkt.

Siffran bakom varningen kommer från sidan för licensanvändning i Entra. Enligt Microsofts dokumentation räknar den antalet unika användare som fått minst en regel utvärderad under förra månaden, och jämför det med hur många licenser ni har.

Det är ett mått på vad som hände, inte på hur många ni faktiskt behöver licensiera. Någon som var föräldraledig i augusti syns inte, men omfattas fortfarande av reglerna. Ett delat konto eller ett gammalt konsultkonto kan däremot synas fast det egentligen inte borde finnas kvar.

En vanlig orsak hos mindre företag är en blandning av licenser. Några har Microsoft 365 Business Premium, som enligt Microsoft innehåller Entra ID P1. Andra har Business Standard eller Business Basic, som inte har villkorsstyrd åtkomst inbyggt. Och reglerna är satta på "Alla användare".

Den lösning som ligger närmast till hands är att undanta de olicensierade användarna från reglerna. Då försvinner varningen.

Men då försvinner också skyddet för just de personerna. Ett säkerhetsbeslut fattas via en licensvarning, och det är sällan ett bra sätt att fatta säkerhetsbeslut. Den som undantas från kravet på tvåstegsverifiering är precis den användare en angripare letar efter.

• Titta på siffran själv. I Entra administrationscenter finns den under Billing, Licenses, License usage. Jämför med hur många som faktiskt omfattas av era regler.
• Städa först. Konton för personer som slutat, gamla konsulter och testkonton ska bort oavsett licenser. Det är ofta hälften av problemet.
• Bestäm per grupp, medvetet. Antingen uppgraderar ni de som saknar licens till Business Premium, eller köper Entra ID P1 separat. Undantag från regler ska vara ett aktivt beslut med ett skäl, inte ett sätt att tysta en varning.
• Skriv ner beslutet. Vem som undantas, varför och vem som bestämde det. Det är guld värt nästa gång någon frågar, till exempel en kund i en leverantörsgranskning.
• Har ni ingen P1 alls? Då är Microsofts säkerhetsstandarder (security defaults) ett grundskydd som finns för alla, inklusive tvåstegsverifiering.

Licensgenomgångar som den här ingår i vår Managed IT, och det är inte ovanligt att hitta licenser som betalas men inte används i samma genomgång som man hittar de som saknas. Ser ni varningen i er miljö? Boka en kostnadsfri konsultation så går vi igenom den tillsammans.