Är ert Microsoft 365 så låst som ni tror?
Vi skannar ert Microsoft 365 och Entra ID efter sårbarheter och felkonfigurationer, varje dag. Ett godkännande från er administratör, och luckorna angripare letar efter hamnar på er lista.
Bland det vi hittar
- MFA som inte krävs av alla
- Administratörer utan registrerad MFA
- Äldre autentisering som kringgår MFA
- För många globala administratörer
- Administratörskonton synkade från lokalt AD
- Gäster med katalogroller
- Appar med för mycket behörighet
- Inkorgsregler som skickar mejl ut ur företaget
De flesta angrepp är gissningarMFA är låset
De flesta angrepp mot e-postkonton är enkel lösenordsgissning, och MFA stoppar över 99 procent av dem (Microsoft Digital Defense Report 2025). Frågan är om det verkligen gäller varje konto. Den frågan besvarar vi.
- > 99 %av obehöriga inloggningsförsök stoppas av MFA.Microsoft Digital Defense Report 2025
- > 97 %av identitetsangreppen är lösenordssprejning eller brute force.Microsoft Digital Defense Report 2025
37 kontrollerpå vanlig svenska
Det här är inga gissningar. Vi läser inställningen i ert Microsoft 365 och Entra ID. En kontroll vi inte kan läsa visas som ej mätt, med orsaken, och räknas aldrig som godkänd.
11 kan ge ett fyndhållning, visas i översikten
Inloggning och MFA
- MFA krävs för alla användare (kan ge ett fynd)
- MFA krävs för administratörer
- Alla administratörer har registrerat MFA (kan ge ett fynd)
- Alla användare har registrerat MFA
- Administratörer är inte hänvisade till sms eller röstsamtal
- Administratörer använder nätfiskeresistent MFA
- Äldre autentisering är blockerad (kan ge ett fynd)
- Inloggning med enhetskod är blockerad
- Villkorlig åtkomst reagerar på inloggningsrisk
- Ingen användare har hög risk (kan ge ett fynd)
- Registrering av säkerhetsinformation är skyddad
- Telefonbaserade inloggningsmetoder är avstängda
Administratörer och gäster
- Inte för många globala administratörer (kan ge ett fynd)
- Det finns ett nödkonto (kan ge ett fynd)
- Administratörskonton finns bara i molnet, inte synkade från lokalt AD (kan ge ett fynd)
- Administratörsbehörighet aktiveras vid behov, inte permanent
- Aktivering av global administratör kräver godkännande
- Ingen gäst har en katalogroll (kan ge ett fynd)
- Gäster kan inte bläddra i er katalog
- Alla kan inte bjuda in gäster
- Inga gästkonton som står oanvända
- Inga oanvända licensierade konton
- Lösenordskomplexitet krävs
- Lösenord löper inte ut med jämna mellanrum
- Alla kan inte skapa Microsoft 365-grupper
Appar
- Ingen app har mer behörighet än den borde (kan ge ett fynd)
- Ingen riskabel app godkänd av en vanlig användare (kan ge ett fynd)
- Användare kan inte ge appar åtkomst på egen hand
- Användare kan be en administratör godkänna en app
- Godkännanden för hela organisationen är granskade
- Alla kan inte registrera appar
- Appars hemligheter är kortlivade och aktuella
- Inga hemligheter tillagda på andra utgivares appar
Mejl och filer
- Ingen inkorgsregel skickar mejl ut ur företaget (kan ge ett fynd)kräver den valfria mejlbehörigheten
- Microsofts rekommendationer för e-postskydd är uppfyllda
- Delning i SharePoint och OneDrive är begränsad
- Äldre autentisering mot SharePoint är avstängd
Vissa kontroller kräver Microsoft Entra ID P1 eller P2. Vi talar om vilka.
Ett godkännandeKontrollerat varje dag
Godkänn i Microsofts egen dialog
Er administratör loggar in med Microsoft och godkänner en gång. Det krävs en global administratör eller administratör för privilegierade roller. Ingen agent, inget skript, inget att installera.
Synkat var 24:e timme
Har ni ändrat något startar ni en ny synk själva.
Vidarebefordran när ni vill
Kontrollen av inkorgsregler kopplas på med en egen behörighet, när ni vill.
Namn där de gör nytta
Ett kontonamn syns i det fynd som behöver det, så att ni vet vem som ska åtgärda.
Larm om anslutningen bryts
Dras åtkomsten tillbaka, misslyckas synkerna eller stoppas licensen får era administratörer ett mejl direkt, och ett till när allt fungerar igen.
Koppla från med ett klick
Och förfaller licensen kopplar vi från själva efter 30 dagar, med en varning en vecka innan.
Mejlen, från båda hållenUtifrån och inifrån
Utifrån, utan att koppla in något
SPF, DKIM, DMARC och MTA-STS på era domäner, posterna som hindrar andra från att skicka mejl i ert namn. Och om er domän avslöjar er Microsoft 365-tenant och dess inloggning.
Inifrån, när ni har kopplat in
Inkorgsregler som skickar mejl ut ur företaget, och Microsofts egna rekommendationer för skydd av e-post i Exchange Online och Defender.
Samma lista, samma rapportersamma underlag
Fynden från Microsoft 365 hamnar bredvid fynden från utsidan och insidan: i samma risklista, i samma aviseringsregler, i samma rapporter och i samma underlag för NIS2 och ISO 27001. Varje kontroll visar vad den motsvarar i NIS2, ISO 27001 och NIST SP 800-53. Ni ser också vilka lokala Active Directory-domäner era användare synkas från.
Tjänsten varje kundförstår direkt
Koppla in varje kunds Microsoft 365 med en länk för administratörsgodkännande. Kunden godkänner i Microsofts egen dialog, och kontrollerna körs från nästa synk.
Bli partnerDet ni undrar om Microsoft 365
Behöver vi en premiumlicens?
Nej. De flesta kontrollerna fungerar på vanliga företagsplaner. Villkorlig åtkomst, rapporten över MFA-registrering och senaste inloggning kräver Microsoft Entra ID P1, och riskkontrollerna kräver P2. Utan licensen visas de kontrollerna som ej mätta, och vi talar om varför.
Vad kan PollySec se?
Inställningarna bakom de 37 kontrollerna: inloggning och MFA, administratörsroller, gästinställningar, appars behörigheter och fildelning, plus inkorgsregler om ni ger den valfria mejlbehörigheten. Varje behörighet vi ber om är en läsbehörighet. Er e-post och era inloggningsloggar ingår inte.
Hur kommer vi igång?
Er administratör loggar in med Microsoft och godkänner PollySec i Microsofts egen dialog. Det krävs en global administratör eller administratör för privilegierade roller. Den första synken kan starta direkt, och sedan kontrollerar vi varje dag. Koppla från när ni vill.
Var lagras uppgifterna?
Resultaten lagras med resten av er data i PollySec, på plattformen som driftas i Sverige. Kontrollerna synkas var 24:e timme, och ni kan starta en synk själva.
Vad betyder ”ej mätt”?
Att vi inte kunde läsa inställningen, till exempel för att licensen som krävs saknas eller för att en behörighet inte är given. Orsaken visas, och en ej mätt kontroll räknas aldrig som godkänd. Behövs en ny behörighet räcker det att koppla in igen.
Se hur låst det är. På riktigt
Vi kopplar in ett Microsoft 365 med er på en demo och går igenom vad kontrollerna hittar.
Kontrollera ert Microsoft 365