Det senaste halvåret har jag jobbat en hel del med Microsoft Purview. Jag måste erkänna att det här fortfarande är ganska ny mark för mig. Tidigare har jag fokuserat på klassisk IT-säkerhet som endpoint-skydd, övervakning, säker konfiguration och liknande.
Och även om målet alltid varit att skydda information har jag aldrig grottat ner mig i informationsskydd på det här sättet förut. Nu är jag fast 😅
Purview i korthet
Purview är Microsofts lösning för att hantera, skydda och få bättre kontroll över din information.
Microsoft Purview är inte en enskild funktion, utan snarare ett paraply för många olika delar: information protection, data loss prevention, insider risk management, eDiscovery, audit och mycket mer.
I den här bloggposten kommer vi titta närmare på grunderna och hur man kommer igång med känslighetsetiketter.
Mer än bara en märkning
En av de mest grundläggande sanningarna är att du måste veta vad du vill skydda för att kunna skydda det. Hur tufft det än kan vara måste du ha koll på din information och hur den får användas, annars kommer du aldrig kunna dra nytta av alla de funktioner och allt det stöd som Purview faktiskt erbjuder. Det är här känslighetsetiketter kommer in.
Känslighetsetiketter är en teknik för att märka framför allt Office-dokument, PDF:er och mejl med en etikett som visar vilken typ av information de innehåller och hur de ska hanteras.
Jag skriver ”framför allt” Office-dokument, PDF:er och mejl eftersom det är de vanligaste användningsområdena. Känslighetsetiketter kan användas med fler filtyper, till exempel textfiler och bilder, men stödet varierar beroende på klient, plattform och hur etiketten används.
I sin enklaste form är en etikett bara en märkning för att visa, till exempel om ett dokument är internt eller konfidentiellt. Men de går även att använda för att skydda dokument med behörighetsstyrning och kryptering.
Okej, hur skapar man en etikett då?
För att skapa och använda känslighetsetiketter behöver du rätt licenser och behörigheter i Microsoft Purview. Om du ska använda etiketter för att kryptera dokument eller mejl behöver även Azure Rights Management-tjänsten vara aktiverad.
I nyare Microsoft 365-miljöer är den ofta redan aktiverad, men det är ändå värt att kontrollera. Det kan du göra med PowerShell och kommandot Get-AipService.
Om tjänsten är aktiv ska statusen vara Enabled. Visar den Disabled behöver tjänsten aktiveras innan du kan använda etiketter för att kryptera dokument och mejl.
Klicka på Create och välj Label för att starta guiden New sensitivity label.
Label groups är bra om du vill samla flera etiketter. Gruppen beskriver den övergripande informationsklassen, medan underetiketterna styr hur informationen ska skyddas.
Exempel:
I min labbmiljö har jag en label group som heter Begränsad. Under den har jag flera etiketter, till exempel Alla anställda och Specifika personer. De har samma informationsklass, men underetiketterna används för att styra vem som får åtkomst till innehållet.
På guidens första sida (Label details) anger du grundläggande information om etiketten, till exempel namn, visningsnamn, prioritet, beskrivning och färg.
Namnet används främst för att identifiera etiketten i Purview-portalen. Det är visningsnamnet som visas för användarna i Office-apparna.
💡 Tips: Namnet går inte att ändra i efterhand, så välj det med omsorg. Visningsnamnet kan du däremot ändra senare om du vill.
På nästa sida (Scope) väljer du var etiketten ska kunna användas. Eftersom den här guiden fokuserar på grunderna väljer jag Files & other data assets och Emails.
Etiketter kan även användas för möten, grupper och webbplatser, men det får jag återkomma till i en senare artikel.
Därefter är det dags att välja om du vill styra åtkomst, eller lägga till sidhuvud, sidfot eller vattenstämpel på dokument som använder etiketten.
Jag väljer att aktivera Control access men väntar med Apply content marking.
💡 Tips: Vill du bara använda etiketten som en märkning, utan att styra åtkomst, lämnar du Control access avmarkerad.
Den tredje kryssrutan, Protect Teams meetings and chats, är utgråad för mig eftersom den kräver en Teams Premium-licens.
Den här funktionen låter dig göra inställningar för Teams-möten och chattar, till exempel vem som får presentera, om mötet får spelas in eller hur mötet krypteras.
Eftersom jag kryssade i Control access är nästa steg att välja vilka behörigheter som ska gälla. Det går till exempel att ställa in vilka användare som ska få öppna, läsa eller ändra dokument som använder etiketten.
Eller så kan man låta användare själva ange behörigheter när de väljer etiketten i Office-appen. Då visas istället en dialog där användaren får ange vilka som ska få läsa, ändra eller ha full kontroll.
Om användaren ska ange behörigheterna själv behöver du också välja hur mejl ska skyddas.
Mejl fungerar lite annorlunda än Office-dokument. I Outlook visas inte samma dialogruta där användaren kan välja behörigheter fritt. I stället får du välja mellan färdiga alternativ som styr vad mottagaren får göra med mejlet.
Do Not Forward
Mottagaren kan läsa mejlet men varken vidarebefordra, skriva ut eller kopiera innehållet.
Encrypt Only
Mejlet krypteras, men utan de begränsningar som Do Not Forward innebär. Mottagaren kan till exempel vidarebefordra och skriva ut mejlet.
På nästa sida (Auto-labeling for files and emails) kan du välja om etiketten ska läggas till automatiskt om visst innehåll upptäcks. Det gör du genom att lägga till en regel, till exempel en Sensitive info type eller en Trainable classifier.
Om Office-appen hittar innehåll som matchar regeln kan den antingen lägga till etiketten automatiskt eller rekommendera den för användaren.
På sidan Define protection settings for groups and sites finns möjlighet att konfigurera åtkomst till Teams och SharePoint-webbplatser.
Eftersom jag valde bort Groups & sites tidigare är alla val utgråade. De här inställningarna är utanför scope för den här artikeln, men jag får återkomma till Teams och SharePoint i en senare artikel.
På sista sidan (Review your settings and finish) granskar du inställningarna och klickar på Create label för att slutföra guiden.
Är etiketten redo att användas nu?
Nja, inte riktigt. När etiketten är skapad behöver den också publiceras i en Label policy innan användarna kan börja använda den.
Det är i en label policy du styr vilka användare som ska se etiketten i Office-apparna och vilka regler som ska gälla, till exempel om en etikett ska vara obligatorisk eller om det ska finnas en standardetikett.
Gå till Information Protection i Microsoft Purview-portalen.
Klicka på Policies och välj Label publishing policies.
Klicka på Publish label för att starta guiden.
Guiden är ganska självförklarande, så jag går inte igenom alla detaljer här. Då skulle den här artikeln snabbt bli alldeles för lång 😅
Istället kommer nästa artikel handla om hur du publicerar etiketter med label policies.
Vilka etiketter ska jag skapa?
Det här kan vara en av de klurigaste delarna i arbetet med känslighetsetiketter. Att skapa och publicera dem är ganska enkelt, men att bygga en bra struktur kräver att man tänker till.
Det som fungerar för en organisation passar inte nödvändigtvis en annan. Därför är det svårt att ge ett färdigt svar på vilka etiketter som behövs.
Som jag skrev tidigare måste du veta vad du vill skydda och hur informationen får hanteras. Etiketterna behöver spegla hur organisationen arbetar med informationsskydd och de informationsklasser som redan finns.
Finns det ingen rutin för hur information ska klassas blir det svårare att komma igång med känslighetsetiketter. Då behöver du dessutom förklara för verksamheten vad etiketterna betyder, när de ska användas och varför det är viktigt.
Med det sagt finns det ändå några generella tips som är bra att tänka på:
Börja enkelt. Det är lätt att vilja bygga en struktur för alla tänkbara scenarier, men för många etiketter gör det svårare för användarna att välja rätt. Börja hellre med några få nivåer som är enkla att förstå och bygg vidare när det finns tydliga behov.
Microsofts standardetiketter kan vara en bra utgångspunkt om du vill se hur en enkel struktur kan byggas upp. Tabellen nedan är en förenklad svensk variant inspirerad av den strukturen.
Informationsklass
Exempel på användning
Personlig
Privat information som inte hör till verksamheten.
Öppen
Godkänd för publik användning.
Intern
Information som normalt är avsedd för internt bruk, men som kan delas externt vid behov.
Konfidentiell
Innehåller känslig information. Delning ska begränsas till behöriga.
Mycket konfidentiell
Innehåller mycket känslig information. Kräver åtkomstkontroll och skydd.
💡 Tips: Under vissa informationsklasser kan du använda underetiketter för att styra hur informationen får delas eller skyddas.
Använd label groups på ett genomtänkt sätt. En label group bör beskriva den övergripande informationsklassen, till exempel Intern, Begränsad eller Konfidentiell. Underetiketterna kan sedan användas för att styra hur informationen ska hanteras eller skyddas. Blanda inte olika informationsklasser i samma grupp, då blir strukturen snabbt svår att förstå.
Tänk på användarna. Namn och beskrivningar behöver vara enkla, kortfattade och tydliga. Användaren ska snabbt förstå vad etiketten betyder och när den ska användas.
Skilj på märkning och skydd. Alla etiketter behöver inte kryptera innehåll eller begränsa åtkomst. Ibland räcker det att etiketten visar hur informationen ska hanteras.
Tänk också på att kryptering kan få ganska stora konsekvenser för hur informationen kan användas. Det kan till exempel påverka system som behöver öppna och läsa dokument, AI-verktyg eller samarbete med externa parter.
⚠️ Viktigt: Använd skydd där det faktiskt behövs.
Testa innan du rullar ut. Låt gärna en mindre grupp användare prova etiketterna först. Då märker du snabbt om namnen är otydliga, om någon etikett saknas eller om strukturen behöver justeras.
Vanliga frågor och svar
Vilken behörighet behövs för att skapa känslighetsetiketter?
För att administrera Microsoft Purview används ofta rollen Compliance Administrator.
Väl inne i Purview-portalen går det att konfigurera mer specifika rollgrupper, till exempel Information Protection Admins för den som bara ska arbeta med informationsskydd.
Hur öppnar jag ett skyddat dokument eller mejl?
När du skyddar ett dokument väljer du vem eller vilka som kan läsa innehållet. För att mottagaren ska kunna öppna filen behöver personen vara inloggad i Microsoft Office med det konto som fått behörighet.
När det gäller mejl beror det på vilken e-postlösning mottagaren använder. Om mottagaren också använder Microsoft 365 kan skyddade mejl ofta läsas direkt i Outlook.
I andra fall kan mottagaren behöva identifiera sig och läsa innehållet via Microsofts portal för krypterade mejl.
Vad händer om jag ändrar en etikett? Uppdateras alla dokument som använder den etiketten med den nya konfigurationen?
Nej, inte automatiskt, och det här är viktigt att tänka på! Etiketten lagras som metadata i dokumentet när det sparas. Om du till exempel ändrar skyddet kommer befintliga dokument inte uppdateras direkt. Beroende på var de lagras kan de behöva öppnas och sparas om med det nya skyddet.
Kan jag ändra eller ta bort en etikett i efterhand?
Ja, om du är ägare eller har rätt behörighet kan du ändra eller ta bort en etikett i efterhand. Men tänk på att ändringen inte påverkar kopior av dokument eller mejl som du redan skickat iväg.
En kollega som har slutat har skapat skyddade dokument som jag inte kan öppna. Vad gör jag?
Det här är viktigt att tänka på. Om den som skapade dokumentet har slutat, och inga andra har fått rätt behörighet, kan dokumenten vara svåra att öppna.
Det finns en särskild funktion som kallas super user. Den kan användas för att återställa åtkomst till skyddade dokument, men eftersom det är en väldigt kraftfull funktion bör den bara användas vid särskilda behov och med tydliga rutiner.
Nästa steg
Det här blev en ganska lång genomgång, men förhoppningsvis ger den en bra bild av var man kan börja. Känslighetsetiketter är bara en del av Purview, men de är en väldigt bra startpunkt för att få bättre kontroll på informationen.
I nästa artikel tittar jag närmare på Label policies och hur du publicerar etiketterna till användarna.
I förra inlägget, Kom igång med Microsoft 365, satte vi upp grunden för en fungerande Microsoft 365-miljö. Nu är det dags att ta nästa steg – att stärka säkerheten och skydda din organisation mot attacker.
Security Defaults – snabbt och enkelt grundskydd
Security Defaults är en uppsättning förkonfigurerade säkerhetsinställningar som ger dig ett bra grundskydd. När du aktiverar det får du:
Krav på MFA för alla användare – alla måste registrera sig och använda multifaktorautentisering.
Blockering av legacy authentication – gamla inloggningsmetoder som inte stödjer MFA blockeras (t ex IMAP, POP och SMTP).
Skydd av administrativa aktiviteter – användare som utför privilegierade aktiviteter måste använda MFA.
💡 Tips: Security Defaults är en bra lösning för organisationer som inte har möjlighet att själva underhålla Conditional Access-policies. Du får ett starkt grundskydd på bara några minuter, utan att behöva konfigurera egna regler.
Längst ner på sidan hittar du inställningen Manage security defaults.
Klicka på Enable security defaults och välj Save.
💡 Tips: Det kan ta en liten stund innan Security Defaults slår igenom för alla användare.
När Security Defaults inte räcker till
Security Defaults är en bra grund, men det har sina begränsningar. Funktionen är “allt eller inget” – alla användare får samma skyddsfunktioner, och de går inte att anpassa. Ibland behöver man helt enkelt lite mer kontroll.
Vanliga exempel jag har stött på är att man vill:
Kräva MFA för alla användare, men göra undantag för särskilda konton (t.ex. servicekonton)
Endast tillåta inloggningar från säkra, och av organisationen hanterade enheter
Styra åtkomst baserat på plats, t ex tillåta åtkomst från kontoret utan MFA men kräva MFA vid distansinloggning
🛡️ Säkerhetstips: Det sista exemplet är vanligt, men ingenting jag rekommenderar. Bara för att någon sitter på kontoret betyder det inte automatiskt att nätverket är säkert. Jag tycker att man alltid ska använda MFA.
Så här konfigurerar du Conditional Access-policies
Gå till ID Protection > Risk-based Conditional Access.
Klicka på New policy för att skapa en ny policy.
Om du vill ha hjälp att komma igång finns det färdiga mallar för de grundläggande policies som Microsoft rekommenderar. Välj då New policy from template istället.
Konfigurera åtminstone de policies som motsvarar grundskyddet i Security Defaults:
Require multifactor authentication for admins
Require multifactor authentication for all users
Block legacy authentication
Require multifactor authentication for Azure management
⚠️ Varning: Du kan inte ha både Security Defaults och Conditional Access aktiverat samtidigt. Om du vill använda Conditional Access måste du först stänga av Security Defaults.
Säkra administratörskonton
Administratörskonton är angriparnas främsta mål. Om någon får kontroll över ett globalt administratörskonto är det game over. Då kan angriparen ändra inställningar, stänga ute riktiga admins och ta över hela miljön.
Skapa separata administratörskonton – ha aldrig rollen Global Administrator på ett vanligt användarkonto. Använd i stället ett separat konto som bara används för administration.
Tilldela roller efter behov – de flesta behöver inte fulla rättigheter. Använd t ex Exchange Administrator eller Teams Administrator i stället för Global Administrator.
Använd Privileged Identity Management (PIM) – om ni har licenser som inkluderar PIM är detta en riktigt bra säkerhetsfunktion. Med PIM kan du höja dina behörigheterna under en begränsad tid. På så vis kan du jobba med ditt vanliga konto och bara aktivera administrativa roller när det verkligen behövs.
Kräv stark MFA – använd t ex Microsoft Authenticator eller en fysisk säkerhetsnyckel (FIDO2).
Skapa ett ”break glass”-konto – ett särskilt administratörskonto utan MFA eller Conditional Access som bara används i nödfall. Skydda kontot med starkt lösenord, loggning och mycket begränsad åtkomst.
💡 Tips: Microsoft 365 Business Premium inkluderar Entra ID P1, vilket räcker för de flesta scenarion. För funktioner som Privileged Identity Management (PIM) eller Identity Protection behöver du däremot Entra ID P2. Den kan köpas som tilläggslicens och behöver bara tilldelas de administratörer som ska använda dessa funktioner.
Använd Microsoft Secure Score som guide
När de viktigaste säkerhetsinställningarna är på plats är det bra att få en överblick över hur din miljö faktiskt mår. Det är här Microsoft Secure Score kommer in.
Secure Score är ett verktyg som analyserar din Microsoft 365-miljö och ger en poäng baserat på vilka säkerhetsfunktioner du har aktiverat.
Att sätta upp Microsoft 365 från grunden kan kännas som en utmaning, särskilt om du aldrig gjort det tidigare. Men det är också ett väldigt lärorikt och roligt projekt. Du får bygga upp en plattform som inte bara hanterar e-post och dokument, utan också blir navet för identitet, samarbete och säkerhet i din organisation.
I den här första delen av bloggserien går vi igenom de viktigaste stegen för att komma igång. Och självklart med fokus på säkerhet redan från början.
Välj rätt licens – grunden för säkerhet
Börja med att bestämma vilken licensmodell som passar din organisation. Här är de vanligaste jag brukar stöta på:
Business Standard – Bra för produktivitet. Inkluderar Office-appar, e-post och Teams, men saknar säkerhetsverktyg som Entra ID, Intune, Defender och Purview.
Business Premium – Allt i Standard, plus grundläggande säkerhetsverktyg. Passar små och medelstora organisationer (upp till 300 användare) som tar säkerhet på allvar.
Enterprise E3 – En bra grund för större organisationer. Innehåller vissa säkerhetsverktyg men saknar avancerade funktioner som Endpoint Detection and Response (EDR), Defender for Identity och Defender for Office.
Enterprise E5 – Det mest kompletta paketet. Inkluderar avancerade verktyg för säkerhet, compliance och analys. Perfekt för organisationer med höga krav på säkerhet eller regelefterlevnad, eller de som vill ha det bästa skyddet.
Funktion
Business Standard
Business Premium
Enterprise E3
Enterprise E5
Office-appar & e-post
✔
✔
✔
✔
Möten, samtal och chatt (Teams)
✔
✔
Tillägg
Tillägg
Identitets- och åtkomsthantering (Entra ID)
❌
✔
✔
✔
Enhetshantering (Intune)
❌
✔
✔
✔
Defender for Endpoint
❌
✔
✔
✔
Defender for Identity
❌
❌
❌
✔
Defender for Office 365
❌
✔
❌
✔
Informations-skydd (Purview)
❌
Grundläggande
✔
✔ (Avancerad)
💡 Tips: Business-planerna är tillgängliga för organisationer med upp till 300 användare. Är ni fler än så behöver ni välja en av Enterprise-planerna istället.
I den här serien kommer jag att använda Business Premium, en prisvärd plan som innehåller många av de funktioner du hittar i Enterprise E5, men till ett betydligt lägre pris.
Skapa din Microsoft 365-tenant
Nästa steg är att skapa din tenant, alltså själva grunden till din Microsoft 365-miljö.
Välj vilken licens du vill börja med och klicka på ’Köp nu’ eller ’Prova kostnadsfritt’.
Välj antal användare, prenumerationens längd och hur du vill bli fakturerad.
💡 Tips: Att betala per år är billigare, men att välja per månad ger mer flexibilitet (perfekt om du vill testa dig fram). Du kan då enkelt avbryta efter en månad eller byta licens om du vill prova något annat.
Eftersom jag sätter upp en labbmiljö väljer jag att köpa en licens och betala per månad. När du väl vet vilken licens som passar bäst är det smart att gå över till årsprenumeration för att spara pengar.
Fyll i din e-postadress. Om du inte har en egen domän för e-post kan du istället använda en privat adress, till exempel en Gmail- eller Outlook.com-adress.
Därefter behöver du fylla i uppgifter om ditt företag, till exempel namn, hur många anställda, kontaktinformation med mera.
Sedan skapar du din första användare genom att fylla i användarnamn och lösenord. Samtidigt väljer du också domännamnet till din Microsoft 365-miljö, i formatet dittföretag.onmicrosoft.com.
💡 Tips: Denna domän går inte att ändra i efterhand. Däremot kan du alltid lägga till din egen domän senare (t.ex. dittföretag.se) och använda den som standard för alla användare.
Till sist lägger du till betalningsmetod. Fyll i kortuppgifter och klicka på Spara.
Nu är din Microsoft 365-tenant skapad och redo att användas. Vid din första inloggning kommer Microsoft att be dig konfigurera multifaktorautentisering (MFA).
Konfigurera multifaktorautentisering (MFA)
När du loggar in första gången kommer Microsoft automatiskt att be dig ställa in multifaktorautentisering (MFA). På sidan ”Let’s keep your account secure” klickar du på Nästa för att starta guiden.
🛡️ Säkerhetstips: Om det finns någon säkerhetsfunktion jag vill lyfta fram extra, så är det multifaktorautentisering (MFA). Det är det enskilt viktigaste skyddet du kan aktivera i din Microsoft 365-miljö.
Installera Microsoft Authenticator-appen på din mobiltelefon (om du inte redan har den).
Öppna appen och välj Lägg till konto > Arbets- eller skolkonto. Om appen frågar om att tillåta notiser så rekommenderar jag att du aktiverar detta, det gör inloggningen både smidigare och snabbare.
I installationsguiden visas en QR-kod på skärmen. Skanna den med Authenticator-appen för att koppla ihop kontot. Sedan är du klar!
Ditt konto är nu skyddat med MFA och nästa gång du loggar in i Microsoft 365 visas en engångskod som du måste ange i Authenticator-appen för att bekräfta inloggningen.
Lägg till din egen domän
Nästa steg är att lägga till din egen domän så att du kan använda e-post och Teams med @dittföretag.se istället för dittföretag.onmicrosoft.com.
💡 Tips: Om inte Settings visas i menyn kan du behöva klicka på Show all för att se alla funktioner.
Skriv in din domän (t.ex. dittföretag.se) och följ guiden. Microsoft kommer att be dig lägga till en TXT-post i din DNS för att bekräfta att du äger domänen.
💡 Tips: På bilden nedan visas hur man lägger till en TXT-post via Loopia. Gränssnittet kan se annorlunda ut beroende på vilken DNS-leverantör du använder, men principen är densamma.
När domänen är verifierad behöver du även lägga till övriga poster (MX, CNAME, SPF) för att e-post och andra tjänster ska fungera korrekt.
💡 Tips: Glöm inte att ange din egen domän som standard.
🛡️ Säkerhetstips:
Konfigurera SPF redan från början för att förhindra att obehöriga skickar e-post i ditt namn.
Lägg till DKIM och DMARC så fort som möjligt – det ger ännu starkare skydd mot phishing och e-postförfalskning.
Skapa användare
När din tenant och domän är konfigurerade kan du lägga till användare:
Gå till Users > Active users i adminportalen.
Klicka på Add a user och fyll i namn, användarnamn och välj domän (t.ex. @dittföretag.se).
🛡️ Säkerhetstips: Skapa ett separat konto som du bara använder för administration, och behåll ditt vanliga konto för det dagliga arbetet. På så sätt minskar du risken om ditt ordinarie konto skulle bli hackat. När administratörskontot är på plats bör du ta bort rollen Global admin från ditt vanliga konto.
Fyll i plats och tilldela en licens.
💡 Tips: I mitt fall sätter jag upp en labbmiljö och kommer bara använda detta konto för administration. Därför väljer jag ”Create user without product license (not recommended)”. I en produktionsmiljö är det däremot bra att även tilldela administratörskontot en licens, så att det kan skicka och ta emot mejl vid behov.
🛡️ Säkerhetstips:
Aktivera MFA för alla användare så snart som möjligt.
Ge inte fler administratörsrättigheter än nödvändigt. Använd rollbaserad åtkomst (RBAC) – till exempel Exchange Admin, Teams Admin – i stället för att ge alla Global Admin.
Grattis 🎉 Nu har du satt upp en helt ny Microsoft 365-miljö från grunden! Du har valt rätt licens, skapat en tenant, aktiverat multifaktorautentisering, kopplat din egen domän och lagt till de första användarna.
