Conditional Access afgør, om brugeren må komme ind. Purview afgør, hvad der må ske derefter. De fleste organisationer har kun bygget det første halve hus.
Det klassiske hul
En medarbejder logger ind hjemmefra på sin private pc. Conditional Access kræver MFA, det leverer hun, og hun er inde. Derefter kan hun downloade hele kontraktarkivet til en enhed, ingen har kontrol over. Adgangskontrollen gjorde præcis, som den skulle – og risikoen er alligevel realiseret.
Bro 1: App control i sessionstilstand
Conditional Access kan sende sessionen gennem Defender for Cloud Apps, når enheden ikke er Intune-compliant. I sessionstilstand kan I tillade visning i browseren, men blokere download, print og kopiering. Brugeren kan arbejde, men data bliver, hvor de hører til.
Kombineret med Purview-labels bliver det granuleret: dokumenter mærket Intern må downloades, Fortroligt må kun vises.
Bro 2: Labels som betingelse i adgangspolitikker
Følsomhedsmærker kan sættes på selve SharePoint-sitet, ikke kun på dokumenterne. Et site-label kan kræve, at brugeren kommer fra en compliant enhed, forbyde gæsteadgang og fjerne sitet fra bred søgning. Det er den enkleste måde at koble adgang og dataklassificering.
Bro 3: Risikosignaler den anden vej
Insider risk-niveauer fra Purview kan bruges som betingelse i Conditional Access via adaptive protection. Konkret: en bruger, hvis adfærd hæver risikoniveauet – masseeksport, aktivitet uden for arbejdstid op til en opsigelse – får automatisk skærpede adgangskrav eller mister download-muligheden, indtil sagen er vurderet.
Det er den mest interessante integration i hele stakken, og en af de mindst brugte.
En anbefalet rækkefølge
- Få styr på device compliance i Intune – uden det virker ingen af de andre betingelser.
- Indfør app control i sessionstilstand for ikke-compliante enheder.
- Rul følsomhedsmærker ud, både på dokumenter og på sites.
- Aktivér adaptive protection, når insider risk-politikkerne er tunet.
Læs mere om den samlede model på unified sikkerhed med Purview, Entra, Defender, Sentinel og Intune, eller se vores Intune-side.
