Cybersikkerhed for virksomheder: stop angreb med M365

Et angreb starter sjældent i jeres serverrum. Det starter i en mail, et login eller en falsk betalingsanmodning til en leder. Ifølge Microsoft Digital Defense Report 2025 er AI-drevet phishing nu 3x mere effektivt end traditionelle kampagner. I kan sænke risikoen markant ved at låse identiteterne ned og bruge de sikkerhedsfunktioner, I ofte allerede betaler for i Microsoft 365.

• Gør identitet til jeres primære “brandmur”: Udrul phishing-resistant MFA og stram Conditional Access, så stjålne passwords ikke kan bruges (Microsoft Identity Insights).
• Stop CEO fraud/BEC før betaling: Kræv to-kanals godkendelse og teknisk håndhæv “payment verification” via mail-sikkerhed og politikker.
• Behandl cloud som et mål – ikke et frikort: Microsoft rapporterer 87% stigning i destruktive cloud-kampagner (MDDR 2025). Segmentér admin-adgang og log alt.
• Brug NIST 2.0 til at placere ansvar: Den nye “Govern”-funktion gør cybersikkerhed til ledelsesdisciplin, ikke en IT-opgave (NIST CSF 2.0).
• Få mere ud af jeres licenser: Kortlæg hvad I har i Microsoft 365 Business Premium, og luk de største huller før I køber mere software.

Hvorfor cybersikkerhed for virksomheder nu starter med identitet

De fleste hændelser, der bliver dyre, har samme mønster: en konto kompromitteres, rettigheder udvides, og angriberen bruger jeres egne værktøjer. Derfor er Entra ID (identitet), Defender (beskyttelse) og logning (bevis og reaktion) vigtigere end endnu et antivirus-køb.

Tommelfingerregel: Hvis en bruger kan logge ind fra “hvor som helst” med password + SMS, kan en angriber ofte også. Microsoft peger på, at phishing-resistant MFA kan blokere over 99% af identitetsbaserede angreb (Microsoft Identity Insights).

Micro “Før → Efter” #1: MFA der kan phishes

Før: SMS-koder og “godkend i app”-prompts uden kontekst. Brugere accepterer i farten, og kontoen er væk.

Efter: Udrul phishing-resistant MFA (fx FIDO2/security keys eller certifikat-baseret) for ledelse og admins, og håndhæv det med Conditional Access. Resultat: Password-læk bliver langt mindre farlige, fordi login ikke kan gennemføres.

Sådan rammer AI-phishing og CEO fraud jer i praksis

AI gør det billigere at skrive mails, der ligner jeres tone, jeres kunder og jeres leverandører. Microsoft vurderer, at AI-drevet phishing er blevet 3x mere effektivt (Microsoft Digital Defense Report 2025). Det betyder, at “mere awareness-træning” alene ikke følger med tempoet.

For ledelsen er det typisk to scenarier:

• BEC/CEO fraud: “Haster – betal denne faktura nu” fra en konto, der ligner CFO/CEO eller en leverandør.
• Adgang til M365: En falsk login-side, hvor en leder taster adgangskode ind, og angriberen overtager mail og SharePoint.

Beslutningsregel: Hvis en ændring kan flytte penge eller data (betaling, kontonummer, adgangsrettigheder), så skal den kunne kontrolleres via en anden kanal end mail.

Fejl der koster mest: at tro cloud-backup alene redder jer

Ransomware er stadig blandt de mest udbredte, finansielt motiverede angreb i EU (ENISA Threat Landscape 2025). I praksis går moderne angreb efter det, der gør jer i stand til at komme tilbage: identiteter, admin-konti og backup-adgang.

Typiske “backup-fælder” i SMB:

• Backup-konti bruger samme identitetssystem og samme MFA-metode som almindelige brugere.
• Der er ingen “break glass” proces og ingen separat admin-rolle til backup.
• Restore er aldrig testet. I ved først, at den fejler, når I står i hændelsen.

Micro “Før → Efter” #2: Restore uden øvelse

Før: I har backup, men ingen har tid til at teste restore. Under et angreb leder I efter credentials og dokumentation.

Efter: Planlæg en månedlig restore-test af de 3 vigtigste systemer (mail, filområder, ERP) og dokumentér RTO/RPO. Resultat: I kan træffe en beslutning om drift/kommunikation hurtigt, og I undgår at “gætte” jer gennem krisen.

Tjekliste: 10 kontroller I kan auditere på 60 minutter

Brug tjeklisten som en praktisk audit af IT-sikkerhed ledelse. Den matcher både NIST CSF 2.0’s fokus på “Govern” og det, der typisk efterspørges, når NIS2 krav til ledelse kommer på bordet (NIST CSF 2.0).

Kontrol	Hvad I kigger efter	Minimum for “OK”
1) MFA for alle	Hvem kan logge ind uden MFA?	100% brugere + alle admins med stærkere krav
2) Phishing-resistant MFA for ledelse/admins	Kan MFA phishes via falsk login?	FIDO2/certifikat for højrisiko-roller (Microsoft Identity Insights)
3) Conditional Access	Er adgang styret af risiko, lokation, device?	Blok legacy auth, kræv compliant device for følsomme apps
4) Separate admin-konti	Bruger IT admin-rettigheder til daglig mail?	Admin-konto kun til admin; ingen browsing/mail
5) Break-glass konto	Kan I komme ind ved lockout?	2 nød-konti, offline opbevaring af adgang, overvåget login
6) Mail-sikkerhed	SPF/DKIM/DMARC og anti-phishing policies?	DMARC implementeret, høj beskyttelse for ledelsesdomæner
7) Endpoint-hardening	Er enheder opdaterede og krypterede?	BitLocker + automatisk patching + baseline policies
8) Backup-adskillelse	Er backup-adgang isoleret?	Separat rolle/konto, begrænset adgang, logning og alarmer
9) Logning og alarmer	Kan I se “hvem gjorde hvad”?	Central logning, alarmer på admin-ændringer og massedownload
10) Incident plan (1 side)	Hvem ringer I til, og hvem beslutter?	Kontaktliste, beslutningskriterier, kommunikationsskabelon

Hvordan får I bestyrelse og ledelse med uden at drukne i compliance

I Danmark er trykket opadgående: CFCS fastholder truslen fra cyberkriminalitet på “Meget Høj”, og den nationale strategi 2026–2029 peger på øget pres på SMB’er i forsyningskæder (CFCS; National Strategi for Cybersikkerhed 2026-2029). Samtidig viser danske tal, at 40% af SMV’er har utilstrækkeligt sikkerhedsniveau ift. deres risikoprofil (Styrelsen for samfundssikkerhed, 2024/2025).

Den praktiske vej er at gøre cybersikkerhed til en styret proces med få faste beslutninger:

• Én risikoejer: Navngiv en ansvarlig i ledelsen for “cyberrisiko” (NIST CSF 2.0: Govern).
• Én månedlig sikkerhedsrapport: 5 KPI’er (MFA-dækning, admin-ændringer, patch status, backup-test, phishing events).
• Én prioriteret backlog: Max 10 punkter, hver med deadline og ejer.

FAQ: cybersikkerhed, NIS2 og Microsoft 365

Hvad betyder “cybersikkerhed for virksomheder” i en SMB-kontekst?

At I kan forhindre de mest sandsynlige angreb (phishing, konto-overtagelse, ransomware) og komme tilbage hurtigt ved hændelser. Start med identitet (Entra), mail og en testet backup/restore-proces.

Hvordan beskytter vi virksomheden mod cyberangreb uden at købe 10 nye systemer?

Lav en licens- og konfigurationsaudit af Microsoft 365: MFA, Conditional Access, mail-sikkerhed, device policies og logning. Prioritér derefter 3 “blokeringer” først: phishing-resistant MFA for nøglepersoner, admin-adskillelse og restore-test.

Er AI phishing reelt værre end “almindelig” phishing?

Ja, fordi kvaliteten og volumen stiger. Microsoft vurderer 3x højere effektivitet for AI-drevet phishing (MDDR 2025). Modtrækket er tekniske barrierer: phishing-resistant MFA, strammere adgangspolitikker og bedre mail-beskyttelse.

Hvilke NIS2 krav til ledelse bør vi kunne dokumentere først?

Start med det, der kan kontrolleres hurtigt: rolle- og ansvarskort (hvem beslutter ved hændelser), en kort incident plan, gennemførte risikobeslutninger (fx MFA-krav) og en fast rapportering til ledelsen. Brug NIST CSF 2.0 “Govern” som struktur (NIST, 2024/2025).

Hvad er den bedste ransomware beskyttelse for en virksomhed med Microsoft 365?

Kombinér tre ting: 1) låst identitet (MFA + Conditional Access), 2) hardening af enheder og mail, 3) backup der er adskilt og testet. Hvis angriberen ikke kan eskalere rettigheder, falder deres muligheder drastisk.

Hvilke cybertrusler i 2026 skal ledelsen især fokusere på?

Identitetsangreb, afpresning/ransomware og destruktive cloud-kampagner. Microsoft rapporterer en 87% stigning i destruktive cloud-kampagner (MDDR 2025), og ENISA peger på ransomware/afpresning som en stor del af de finansielt motiverede angreb (ENISA 2025).

Hvornår giver “CISO as a service” mening for en SMB?

Når I mangler en fast sikkerhedsejer, men har krav fra kunder/leverandører eller compliance-pres. Tommelfingerregel: Hvis I ikke kan levere en månedlig sikkerhedsrapport, eje jeres risikobeslutninger og teste incident/restore mindst kvartalsvist, så bør I købe funktionen ind.

Sådan kommer I i gang på 14 dage (konkret)

1. Kortlæg jeres “kronjuveler”: vælg 3 systemer/datasæt (fx mail, SharePoint, ERP) og udpeg en ejer pr. område.
2. Håndhæv login-krav: MFA for alle, phishing-resistant MFA for ledelse og admins, og blokér legacy authentication.
3. Ryd op i admin-adgang: separate admin-konti, mindst mulige rettigheder, og opsæt alarmer på rolleændringer.
4. Stram mail og betaling: DMARC + politik for to-kanals betalingsverifikation (ingen undtagelser ved “haster”).
5. Test restore: gennemfør én konkret restore-test og dokumentér hvor lang tid det tog (RTO) og hvor meget data I mistede (RPO).
6. Lav en 1-sides incident plan: kontaktliste, beslutningskriterier, kommunikationsudkast til kunder/leverandører.

Kilder: Microsoft Digital Defense Report 2025, NIST Cybersecurity Framework 2.0, ENISA Threat Landscape, Center for Cybersikkerhed, Styrelsen for samfundssikkerhed / Dansk Erhverv (rapportomtale), PwC Cybercrime Survey (DK omtale).