MFA i Microsoft 365: slik slår du på tofaktor for hele bedriften

Et stjålet passord er fortsatt den vanligste måten angripere kommer inn i en Microsoft 365-konto på. Passordet kan være lekket fra en annen tjeneste, gjettet eller fisket ut med en falsk innloggingsside. Med tofaktorautentisering, eller MFA, er ikke passordet nok. Angriperen trenger også telefonen din.

Microsoft oppgir at MFA stopper over 99 prosent av angrepene mot kontoer. Likevel mangler det fortsatt hos mange små bedrifter, ofte fordi innføringen virker tungvint. Det trenger den ikke å være.

Hva er MFA?

MFA står for flerfaktorautentisering. Du logger inn med noe du vet, passordet, og bekrefter med noe du har, som telefonen. I Microsoft 365 skjer det som regel ved at Microsoft Authenticator viser et varsel, og du skriver inn et tall som vises på skjermen der du logger inn.

Tallet er viktig. Det sørger for at du bare kan godkjenne innloggingen du selv holder på med, og ikke en angriper som prøver å logge inn samtidig.

Tre måter å slå på MFA

Metode	Lisens	Fordeler	Ulemper
Standard sikkerhetsinnstillinger	Alle planer	Gratis, enkel, blokkerer også eldre og usikker innlogging	Alt eller ingenting, få muligheter for unntak
Betinget tilgang	Business Premium eller Entra ID P1	Fleksibel, kan stille krav til enhet og sted, færre spørsmål på kjente enheter	Krever riktig oppsett for å unngå å låse seg ute
MFA per bruker	Alle planer	Kjent for mange	Gammel løsning, lett å glemme brukere, anbefales ikke

For de fleste små bedrifter med Business Basic eller Standard er standard sikkerhetsinnstillinger riktig valg. Har dere Business Premium, bør dere bruke betinget tilgang. Bruk ikke begge samtidig, og la ikke gamle innstillinger for MFA per bruker ligge igjen.

Hvilken metode bør de ansatte bruke?

Ikke alle metoder er like sikre. Fra sterkest til svakest:

1. Passnøkkel, i Microsoft Authenticator eller på en egen sikkerhetsnøkkel. Kan ikke fiskes ut med en falsk innloggingsside.
2. Varsel i Microsoft Authenticator med tallmatching. Raskt og sikkert, og det de fleste bør bruke.
3. Engangskode fra en autentiseringsapp. Fungerer uten nett, men kan i teorien lures ut av brukeren.
4. SMS eller telefonsamtale. Bedre enn ingenting, men den svakeste metoden. Bør bare brukes som reserve.

Vi har laget en egen steg-for-steg-guide de ansatte kan følge: Slik setter du opp Microsoft Authenticator på Android og iPhone.

Slik slår du på standard sikkerhetsinnstillinger

1. Logg inn i Microsoft Entra administrasjonssenter på entra.microsoft.com med en global administrator.
2. Gå til oversikten og egenskaper for organisasjonen.
3. Velg Administrer standard sikkerhetsinnstillinger og sett innstillingen til Aktivert.
4. Lagre. Brukerne blir bedt om å registrere Microsoft Authenticator neste gang de logger inn, og de har 14 dager på seg.

Mange bedrifter har allerede standard sikkerhetsinnstillinger aktivert, fordi Microsoft slår det på for nye organisasjoner. Sjekk likevel, særlig hvis Microsoft 365 ble satt opp for flere år siden.

En plan for innføringen

Det tekniske tar minutter. Det som avgjør om innføringen går smertefritt, er forberedelsene.

1. Informer de ansatte en uke før. Forklar hvorfor, hva som skjer og når. Send med lenken til guiden.
2. Start med administratorene. De har mest tilgang og bør være først ute.
3. Test på et par personer. Gjerne én med iPhone og én med Android.
4. Velg en dag med folk på kontoret. Det er enklere å hjelpe hverandre når alle sitter samlet.
5. Ha en løsning for unntak. Ansatte uten jobbtelefon, eller som ikke vil bruke privat mobil, kan få en fysisk sikkerhetsnøkkel.
6. Følg opp. Rapporten for registrering av autentiseringsmetoder i Entra viser hvem som ikke har registrert seg.

Typiske problemer, og løsningen

Problem	Løsning
En ansatt har fått ny telefon	Legg til den nye telefonen før den gamle tilbakestilles. Se guiden for Authenticator
Telefonen er mistet	En administrator krever ny registrering av MFA for brukeren
Gamle e-postprogrammer slutter å virke	Eldre programmer uten moderne innlogging blokkeres. Bruk Outlook eller en oppdatert app
Mange tilfeldige varsler på telefonen	Noen har passordet ditt. Avvis varslene, bytt passord og si ifra
Flere deler én innlogging	Lag en delt postboks i stedet. Delte kontoer og MFA passer dårlig sammen

Neste steg: betinget tilgang

Med Business Premium kan dere gå lenger enn standard MFA. Betinget tilgang lar dere for eksempel kreve MFA bare utenfor kontoret, stille krav om at PC-en er administrert av bedriften, eller blokkere innlogging fra land dere ikke har noe med. Det krever mer planlegging, men gir både bedre sikkerhet og færre spørsmål i hverdagen.

Vanlige spørsmål

MFA er det tiltaket som gir mest sikkerhet for minst innsats i Microsoft 365. Har dere ikke slått det på ennå, er det det første dere bør gjøre.