IT-sikkerhed remote arbejde: 30-dages plan for SMV’er

IT-sikkerhed remote arbejde er de tekniske og organisatoriske foranstaltninger, der beskytter jeres data, når medarbejdere arbejder uden for kontoret – fra hjemmenetværk og bærbare til fjernadgang og delte familie-enheder. Mange SMV’er har styr på Microsoft 365, men ikke på routeren i medarbejderens hjem eller den bærbare, som teenagebørn også bruger. Det er præcis dér, angrebsfladen vokser. Med en 30-dages plan kan I kortlægge hullerne, håndhæve MFA på alle fjernadgange og få en politik på plads, som HR og IT faktisk kan enes om.

Det vigtigste at vide:

• Hjemmenetværket er en del af jeres angrebsflade – kræv opdateret router-firmware og adskilt gæstenetværk i politikken.
• MFA på alle fjernadgange er ENISA’s anbefaling og et oplagt NIS2-tiltag – udrul det i uge 1, ikke uge 4.
• Delte familie-enheder må aldrig have adgang til firmadata – segmentér med separate brugerprofiler eller udleveret udstyr.
• En remote-sikkerhedspolitik er en aftale mellem HR og IT, ikke et teknisk dokument – definér ansvar, sanktioner og support.
• Kryptér alle bærbare (BitLocker/FileVault) og log fjernadgange – det er dokumentationen, tilsyn og cyberforsikring spørger efter.

Hvorfor hjemmenetværk og delte enheder er jeres blinde vinkel

Ca. 48% af danske virksomheder med hjemmearbejde har ingen særlige sikkerhedsforanstaltninger for remote arbejde (Ritzau/it-sikkerhedsundersøgelse, 2025). M365-tips dækker skyen – ikke det, der står hjemme hos medarbejderen.

Kortlæg tre oversete angrebsflader i jeres hjemmenetværk sikkerhed: routeren med standardkodeord og gammel firmware, familie-enheder på samme netværk som arbejdscomputeren, og privat cloud-sync der trækker firmadata over i private konti. Ransomware rammer ofte netop via svage fjernadgange og usikre VPN (ENISA Threat Landscape, 2024).

Delte enheder er værst: børnenes spil-downloads og jeres kundedata på samme maskine. Læs hvordan I styrer appen frem for telefonen i vores guide til BYOD sikkerhed i Microsoft 365.

Sådan sikrer I hjemmearbejdspladsen på 30 dage

IT-sikkerhed remote arbejde kræver ikke et årsprojekt – fire uger rækker, hvis I følger planen. Beslutningsregel: kan en enhed ikke opfylde ugens krav, mister den adgang til firmadata.

• Uge 1: Slå MFA til på alle konti. Auditér adgange: fjern gamle brugere og delte logins. Se hvordan MFA stopper moderne phishing i Microsoft Entra ID sikkerhed.
• Uge 2: Kryptér alle bærbare (BitLocker), rul enhedshåndtering ud med Intune, blokér privat cloud-sync.
• Uge 3: Håndhæv VPN sikkerhed SMV: kun opdaterede klienter, split-tunneling fra. Bed medarbejdere skifte routerkode og opdatere firmware.
• Uge 4: Dokumentér jeres remote arbejde sikkerhedspolitik og træn alle – kun 33% prioriterer sikkerhedstræning i høj grad (2025).

MFA fjernadgang og VPN: hvad ENISA og NIS2 kræver af jer

MFA fjernadgang er ikke en anbefaling længere – ENISA (2025) peger på obligatorisk MFA på alle fjernadgange, kryptering af bærbare og systematisk backup for remote brugere. NIS2 gør risikostyring til et ledelsesansvar med personligt ansvar for direktionen.

Ved tilsyn skal I kunne dokumentere: hvem der har fjernadgang, at MFA er håndhævet, at adgange logges, og at politikken for sikkerhed hjemmearbejde er godkendt af ledelsen. Før: én delt VPN-konto uden log → Efter: personlige konti med MFA og central logning.

Test jer selv med kaffebar-testen: kan en medarbejder arbejde sikkert fra en café, består jeres it-sikkerhed remote arbejde sandsynligvis også et tilsyn.

Tjekliste: hvad jeres remote arbejde sikkerhedspolitik skal aftale mellem HR og IT

Ca. 48% af danske virksomheder med hjemmearbejde har ingen særlige sikkerhedsforanstaltninger for remote arbejde (Ritzau/it-sikkerhedsundersøgelse, 2025). En skriftlig politik lukker det hul, hvis HR og IT aftaler den sammen.

• Tilladt udstyr: firmaejet, privat eller begge? Regler for privat udstyr finder I i vores guide til BYOD sikkerhed i Microsoft 365.
• Netværkskrav: opdateret router, eget WiFi-password, gerne separat gæstenetværk.
• Sanktioner: hvad sker der ved brud — advarsel, lukket adgang, ansættelsesretlige konsekvenser.
• Supportvagt: hvem ringer medarbejderen til, og inden for hvilke tidsrum.
• Offboarding: log og luk alle fjernadgange samme dag.
• Hjemmearbejdsplads GDPR: aflåst opbevaring, låst skærm og ingen persondata på private drev.

Fejl der koster: delte computere, gammel router-firmware og manglende kryptering

De dyreste fejl i IT-sikkerhed remote arbejde er banale og kan udbedres på under en uge. Ransomware rammer ofte via svage fjernadgange og usikre VPN-opsætninger (ENISA Threat Landscape, 2024).

• Delte computere: Før: ægtefællen bruger arbejds-pc’en → Efter: separat brugerkonto eller firmaudstyr med håndhævet login via Microsoft Intune.
• Gammel router-firmware: kortlæg modeller, opdater eller udskift routere ældre end 5 år.
• Manglende kryptering bærbar computer: aktivér BitLocker på alle bærbare — ENISA anbefaler kryptering og systematisk backup for alle remote brugere (ENISA, 2025).
• Åben RDP mod internettet: luk den, og læs hvad I bør skifte til i vores Remote Desktop-guide.

Hvordan vælger I løsninger, der matcher budget og cyberforsikringens krav?

Start med forsikringspolicens krav — de fleste kræver MFA på alle fjernadgange, endpoint-beskyttelse og dokumenteret backup. Det matcher ENISA’s anbefalinger (2025) og betyder, at IT-sikkerhed remote arbejde og forsikringskrav kan løses i samme indkøb.

Realistiske prisniveauer: MFA er inkluderet i de fleste Microsoft 365-licenser, VPN typisk 30–80 kr./md. pr. bruger, og managed security med EDR og 24/7-overvågning koster 150–400 kr./md. pr. bruger (danske leverandørpriser, 2024). Prioriter MFA først — se hvordan I stopper AiTM-phishing med MFA i Entra ID.

Dokumentér valgene skriftligt: det kræver både forsikringen og NIS2 hjemmearbejde-krav, hvis I er omfattet af direktivet.

Ofte stillede spørgsmål

Hvordan sikrer man data ved remote arbejde?

Kortlæg først, hvor jeres data ligger, og hvem der har adgang. Kryptér alle bærbare enheder, slå multifaktor-godkendelse til på alle konti, og segmentér adgangen, så medarbejdere kun kan nå de systemer, de faktisk bruger. Log adgang centralt, og test jeres backup med en reel gendannelse mindst én gang i kvartalet.

Hvilke sikkerhedskrav bør en hjemmearbejdsplads opfylde?

Firmaudstyr med diskkryptering, automatiske opdateringer og endpoint-beskyttelse er minimum. Hjemmerouteren skal have skiftet standardadgangskode, og firmadata må ikke ligge på private enheder. Kræv multifaktor-godkendelse på alt, og adskil arbejde og privat brug – helst med en dedikeret firmamaskine. Dokumentér kravene skriftligt, så I kan håndhæve dem.

Er VPN nok til sikkert hjemmearbejde?

Nej. VPN krypterer forbindelsen, men beskytter ikke mod phishing, stjålne adgangskoder eller inficerede enheder. Kombinér VPN med multifaktor-godkendelse, endpoint-beskyttelse og adgangsstyring efter mindsteprivilegie-princippet. Overvej en zero trust-tilgang, hvor hver adgang verificeres – især hvis I bruger cloudtjenester, som VPN alligevel ikke dækker.

Hvad skal en remote work-sikkerhedspolitik indeholde?

Som minimum: regler for godkendte enheder og netværk, krav om multifaktor-godkendelse, procedure for tabt eller stjålet udstyr, retningslinjer for datadeling og en klar kontaktvej ved mistanke om brud. Hold den på 2-3 sider – ellers læser ingen den. Gennemgå og opdatér politikken én gang årligt, og lad alle medarbejdere kvittere for læsning.

Hvad koster det at sikre remote arbejde for en SMV?

Prisen afhænger af antal medarbejdere og jeres nuværende setup, men de fleste omkostninger er licenser til multifaktor-godkendelse, endpoint-beskyttelse og enhedsstyring plus timer til opsætning. En typisk grundsikring kan rulles ud på 4-8 uger. Mange SMV’er vælger managed services, fordi en fast månedspris er lettere at budgettere end interne timer.

Er hjemmearbejde omfattet af NIS2?

Ja, hvis jeres virksomhed er omfattet af NIS2, gælder kravene også hjemmearbejdspladser. Direktivet blev vedtaget i EU i 2022 og stiller krav om risikostyring, adgangskontrol og hændelseshåndtering – uanset hvor medarbejderen sidder. Kortlæg derfor jeres remote-adgange som en del af NIS2-arbejdet, og dokumentér, hvordan I styrer dem.

Hvor lang tid tager det at komme i gang, hvis vi allerede har en IT-leverandør?

Typisk 1-2 uger fra første møde til plan. Vi starter med en gennemgang af jeres nuværende setup og aftaler, hvad der overtages, og hvad der beholdes. Et leverandørskifte kræver ikke nedetid – adgange og dokumentation overdrages løbende, og jeres medarbejdere mærker det stort set ikke.

Kan vi tage 30-dages planen i mindre bidder, hvis budgettet er stramt?

Ja. Prioriter de tiltag, der lukker de største huller først: multifaktor-godkendelse og opdaterede enheder giver mest sikkerhed for pengene og kan typisk rulles ud på under en uge. Politik, logning og backup-test kan følge i måned to og tre uden at gå på kompromis med det væsentlige.

Sådan kommer I videre

1. Kortlæg alle remote-adgange, enheder og cloudtjenester – lav en simpel liste denne uge.
2. Slå multifaktor-godkendelse til på mail, VPN og alle administrative konti.
3. Auditér medarbejdernes enheder: kryptering, opdateringer og endpoint-beskyttelse skal være på plads.
4. Skriv en kort remote work-politik på 2-3 sider, og lad alle kvittere for den.
5. Test jeres backup med en reel gendannelse, og sæt en fast dato for næste test.