De fleste virksomheter som konsumerer Microsoft 365-skytjenester jobber fremdeles på tradisjonelle AD-domenestyrte arbeidsstasjoner (laptop/desktop). Når disse enhetene flyttes fysisk ut fra virksomhetens infrastruktur benyttes ofte tradisjonelle metoder for å nå firmaressurser, som VPN eller VDI.

I en stadig mer travel hverdag er rask og sikker tilgang til informasjon nøkkelen til effektiv og god brukeropplevelse. I en Azure Tenant med M365-data finnes det forskjellige løsninger for dette. Mobile enheter burde, om mulig, innrulleres i Intune (eller annen kompatibel MDM-løsning), og klientene burde ha Entra ID (tidligere Azure AD) join med for eksempel Autopilot som beskrevet i denne artikkelen: Microsoft Intune for Dummies vol 2.0 – Sicra

Men hva med mobiler uten MDM (mobile device management) og ukjente maskiner (PC/Mac)? Også her tilbyr Microsoft løsninger som gir bedre sikkerhet:

• Mobiler kan benytte Application protection policy
• Maskiner kan få tilgang via Conditional Access Application Control

Application protection policy

APP er en MAM (Mobile Application management)-løsning som retter seg mot å beskytte data i selve applikasjonen. Som sluttbruker påvirkes du ikke hvis du bruker applikasjonene til personlig bruk, mens innstillingene trer i kraft når man benytter firmapålogging. Basert på egne interne sikkerhetskrav, kan man blant annet styre:

• PIN/biometri avkreving ved åpning av applikasjon.
• Hvordan deling mellom applikasjoner oppfører seg.
• Blokkere muligheten for lagring lokalt på enheten.

For eksempel kan vi ta Outlook med en Exchange Online-konto* tilknyttet seg. Her kan vi sette opp regler slik at ansatte på sin private mobil kan lese og svare på e-post, til tross for at mobilen ikke er innrullert hos organisasjonen. Samtidig kan vi forhindre at brukeren for eksempel har mulighet til å kopiere tekst fra e-posten og lime dette inn i andre applikasjoner på mobilen.

*Microsoft støtter kun EXO (Exchange Online) og Exchange hybrid med modern auth per nå.

Visuell illustrering vises under, der man beskytter ønskede applikasjoner relevante for eget firma.

Et annet eksempel er OneDrive, som er M365s løsning på personlig område. OneDrive-applikasjonen kan også styres slik at man bestemmer hvordan data ønskes beskyttet. Her kan man styre innstillinger som kryptering, utskrift, kopier/lim inn-funksjonalitet, sikkerhetskopiering, PIN/biometri og mye mer.

Selve Application protection policy er sømløst integrert mot iPhone (iOS), mens den på Android-telefoner krever “Company Portal”-applikasjonen installert for å kunne motta innstillingene.

Conditional access application control

CAAC benytter en såkalt “reverse proxy” integrert mot brukerens identitet. Oppsettet knyttes mot CA (Conditional Access) regler, som gjør tjenesten anvendelig og effektiv. Enkelt sagt definerer man opp hvem/hva/hvor-regler der tjenesten skal operere. For å benytte seg av funksjonalitetene her må man tvinge den eksterne brukeren til å benytte webtjenestene til Microsoft. For tjenestene som er satt opp med «Session Control», vil brukere få advarsel ved oppkobling. Eks:

Funksjonene man kan begrense er blant annet:

• Beskytte organisasjonsdata. Der man blokkerer utklipp, nedlasting, kopiering og utskrift av innhold. Dette vil være gjeldende på alle typer enheter (managed og un-managed).
• Avkreve MFA for enkelte aktiviteter. For eksempel nedlasting av sensitiv informasjon. (Krever AIP regler)
• Blokkere opplasting av ikke-klassifiserte filer. (Krever AIP)
• Blokkere tilgang basert på forskjellige variabler.
• Blokkere aktivitet basert på egne definerte regler. For eksempel skanne Teams-meldinger for sensitivt innhold “live”.

Dette fungerer ved at man videreføres til en egen URL for tjenestene som er beskyttet i «Session Control». <org>-my.sharepoint.com blir automatisk overført til <org>-my.sharepoint.com. mcas.ms. Hvis man har definert opp regel som beskytter organisasjonsdata, og man da forsøker å laste ned en fil fra OneDrive kan man møte en lignende regel som denne:

Fordelen med dette er at man kan gi sikker tilgang til informasjon til både interne og eksterne, selv om de ikke har anledning til å benytte seg av domene-/Entra ID-enheter, som allerede er satt opp med konfigurasjon som gir tilgang. Ved bruk av denne tjenesten kan man låne podens iPad, logge seg på for eksempel Outlook eller OneDrive, og utføre arbeid som ønsket. Når man logger ut igjen, er all tilgang borte.

Skulle du ønske bistand til innføring av disse tjenestene, har Sicra flere medarbeidere med erfaring med oppsett hos både mindre og større kunder.