SharePoint ekstern deling: sådan deler I sikkert
Det er sjældent hackerne, der skaber jeres første datalæk i et projekt—det er et gammelt gæstelogin, et anonymt link eller en fil, der ligger forkert i OneDrive. Når I deler tegninger, udbud og kontrakter med eksterne, skal det være hurtigt for brugerne og stramt for IT. Her får I en praktisk opskrift på SharePoint ekstern deling, der reducerer Shadow IT og gør oprydning ved projektafslutning til en rutine.
Key takeaways
- Skil “mig” fra “os”: Brug OneDrive til kladder, og læg projektdata i SharePoint/Teams med fælles ejerskab.
- Fjern “evige” adgange: Sæt udløb på links og planlæg faste access reviews for gæster, så gamle projekter ikke bliver åbne døre.
- Drop vedhæftede filer: Send links med rettigheder, så I kan trække adgang tilbage og undgå kopier i indbakker.
- Begræns hvem der kan invitere gæster: Lås B2B-invitationer ned til udvalgte roller, så gæster ikke kan invitere flere gæster.
- Beslut én standard for eksterne: “Kun visning + udløb” som default, og hæv niveauet kun når der er et reelt behov.
Hvordan vælger I mellem OneDrive og SharePoint i et projekt?
Den hurtigste måde at få usikker fildeling virksomhed på er at lade projektfiler leve i medarbejderes OneDrive. Når en medarbejder skifter job, bliver syg eller mister overblik, bliver adgangsstyring og overdragelse rodet.
Tommelfingerregler (brug dem som politik)
- OneDrive: personlige kladder, 1:1-delinger i kort tid, indsamling af filer via “Request files”.
- SharePoint/Teams: alt der er projekt-ejet (tegninger, referater, kontrakter, afvigelser, afleveringsmateriale).
- E-mail: kun til besked. Filen skal ligge i SharePoint/OneDrive, og der sendes et link.
Før → Efter #1
Før: Projektmappe ligger i en projektleders OneDrive, og eksterne får et link “der virker”.
Efter: Projektet har en SharePoint-site med standardgrupper (Owners/Members/Visitors) og deling styres via gæster eller tidsbegrænsede links. I kan overdrage ejerskab og rydde op uden at finde “hvem der delte hvad”.
Hvorfor “Anyone with the link” typisk er jeres største risiko
Anonyme links er nemme. De er også svære at kontrollere, fordi linket kan videresendes, og I får ikke en klar identitet på modtageren. Microsoft anbefaler korte udløb på anonyme links, hvis de overhovedet bruges (Microsoft Learn).
Beslutningsregel for anonyme links
- Standard: kræv login (gæst) til alt, der har forretningsværdi eller persondata.
- Undtagelse: anonymt link må kun bruges til lavrisiko materiale (fx en brochure), med udløb og “view only”.
- Aldrig: anonym “edit” på mapper eller dokumentbiblioteker. Det øger risiko for uønskede uploads og ødelagte filer.
Tjekliste: SharePoint ekstern deling, der kan håndhæves
Brug tjeklisten som en audit i SharePoint Admin Center og Entra ID. Den er lavet til projekttunge virksomheder, hvor leverandører og rådgivere løbende får adgang.
| Kontrolpunkt | Hvad I sætter op | Hvad I kigger efter i praksis |
|---|---|---|
| Standard link-type | Sæt default til “Specific people” eller “People in your organization” | Brugere deler ikke med “Anyone” af vane |
| Udløb på links | Udløb på eksterne links (kort) og særligt på anonyme links (aggressivt) | Links stopper af sig selv efter projektsprint/leverance |
| Rettigheder på links | Default “view” for eksterne; tillad “edit” kun via behovsgodkendte grupper | Eksterne kan ikke ændre centrale masterfiler uden at I har valgt det |
| Domænepolitik | Allowlist af partnerdomæner (fx rådgivere/entreprenører); blokér resten | Deling kan ikke ske til private mailadresser uden godkendelse |
| Gæster må invitere gæster | Begræns invitation til admins/udpegede “Guest Inviters” (Entra B2B) | Gæsteadgange vokser ikke ukontrolleret fra underleverandører |
| Unmanaged devices | Brug politik for adgang fra ikke-administrerede enheder, inkl. mulighed for at blokere download (Microsoft Learn) | Eksterne på private pc’er kan arbejde i browser, men ikke bare hente hele biblioteket |
| Least privilege | Undgå “Full Control” til eksterne; brug læse-/redigeringsgrupper og mappe-niveau kun når nødvendigt (CISA baseline) | Et kompromitteret login giver ikke admin-lignende adgang |
| Sensitivity labels | Labels som “Internt” (ingen ekstern deling) og “Fortrolig” (kryptering og begrænsninger) (Microsoft Purview) | Brugere kan ikke “komme til” at dele fortrolige filer eksternt |
Før → Efter #2
Før: Projektet afsluttes, men gæster bliver hængende i tenant i måneder/år, fordi ingen ejer oprydningen.
Efter: I kører faste access reviews for projekt-sites og fjerner automatisk adgang, når den ikke længere bekræftes. Det matcher kravet om styring af adgang og fjernelse af adgang i adgangskontrol (ISO/IEC 27001:2022 A.5.15) og forventningerne i leverandørstyring under NIS2.
Vil I have et hurtigt billede af jeres risici i SharePoint ekstern deling?
Vi kan køre et kort sikkerhedstjek af jeres delingsindstillinger, gæstestrøm og projekt-sites. I får en prioriteret liste med konkrete ændringer (hvad, hvor og hvem der ejer det) samt forslag til drift/MSP-overvågning. Start via /kontakt eller se hvordan vi arbejder med /it-sikkerhed.
Sådan undgår I Shadow IT, når nogen “bare skal sende en stor fil”
Hvis SharePoint føles tungt, ender brugerne i WeTransfer/Dropbox. Løsningen er ikke en løftet pegefinger—det er en nem standard.
Praktiske alternativer i Microsoft 365
- Send link i Outlook: upload til SharePoint/OneDrive og indsæt link. Så er der én version og én rettighed.
- Brug “Request files”: lad eksterne uploade til en mappe uden at se indholdet. Det reducerer “send mig lige alt på mail”.
- Brug Teams for løbende samarbejde: projektchat + filer samme sted; mindre mailtråd, færre vedhæftninger.
Fejl der koster jer mest ved projektafslutning
- Ingen ejer af “offboarding” af eksterne: løs med fast proces og planlagte reviews pr. projekt-site.
- Eksterne har redigering overalt: giv redigering i arbejdsmapper, ikke i hele biblioteket.
- Deling sker fra personlige mapper: flyt til SharePoint og brug grupper. Det gør adgang synlig og reviderbar.
- Vedhæftede filer som “arkiv”: I mister versionsstyring og kan ikke trække adgang tilbage.
FAQ om sikker fildeling virksomhed i OneDrive/SharePoint
Hvad er bedste praksis for SharePoint ekstern deling?
Brug login-baseret deling (gæster) som standard, sæt udløb på links, og giv “view” som udgangspunkt. Hæv til “edit” kun på udvalgte mapper og kun til navngivne personer/grupper.
Skal vi slå “Anyone with the link” helt fra?
Hvis I deler projektmateriale, kontrakter eller persondata: ja, som hovedregel. Hvis I har et legitimt behov (fx lavrisiko dokumenter), så tillad det kun med kort udløb og “view only”, som Microsoft anbefaler i deres best practices.
Hvordan rydder vi op i gæstebrugere efter et projekt?
Lav en fast “projekt-luk” check: (1) gennemgå site-medlemskab, (2) fjern gæster der ikke længere skal bruge adgang, (3) luk for nye gæster på sitet, (4) planlæg access reviews for resterende samarbejder. Har I Entra ID P1/P2, er access reviews den skalerbare model til løbende oprydning.
Hvad vælger vi: guest access eller links?
Vælg guest access til længerevarende samarbejde, hvor I skal kunne se “hvem” og styre livscyklus. Vælg tidsbegrænsede links til enkel levering (fx “her er afleveringspakken”), hvor adgang skal stoppe automatisk.
Hvordan håndterer vi eksterne på private pc’er?
Indfør politik for adgang fra unmanaged devices: Tillad browser-adgang, men overvej at blokere download for eksterne på ikke-administrerede enheder (Microsoft Learn). Så kan de arbejde, men ikke tage hele biblioteket med hjem.
Kan vi bruge Sensitivity Labels uden at gøre samarbejde umuligt?
Ja. Brug få labels med klare regler: “Internt” (blokér ekstern deling) og “Fortrolig” (kryptering og delingsbegrænsninger). Microsoft understøtter samarbejde i Office-filer, selv når de er beskyttet med labels, så I kan sikre data uden at stoppe arbejdet.
Sådan implementerer I det i næste uge (uden et stort projekt)
- Kortlæg 5 aktive projekt-sites: hvem er owners, hvilke gæster findes, og hvor deles der med links?
- Beslut standard: default link-type til “Specific people”, ekstern deling = “view” som udgangspunkt, udløb på links.
- Indfør OneDrive/SharePoint-reglen: projektdata i SharePoint/Teams. OneDrive kun til kladder og indsamling (“Request files”).
- Lås invitationer ned: begræns hvem der kan invitere gæster i Entra B2B, så gæster ikke kan invitere flere gæster.
- Byg en “projekt-luk” checkliste: fjern gæster, stop links, arkivér site, og planlæg access review-cyklus for langsigtede partnerskaber.
- Test med en leverandør: prøv adgang fra en privat pc og en administreret pc, og justér politik for unmanaged devices.
