Zero trust för småföretag — vad det betyder i praktiken

Zero trust är en säkerhetsmodell som utgår från att ingen enhet, användare eller nätverkssegment automatiskt ska betraktas som pålitlig — inte ens de som befinner sig innanför din egen brandvägg. Principen sammanfattas ofta som "never trust, always verify".

Den traditionella säkerhetsmodellen utgick från en hård perimeter: brandväggen var gränsen, och allt innanför var tryggt. Det fungerade när alla medarbetare satt på kontoret och alla system var lokala. Distansarbete, molntjänster och mobila enheter har gjort den modellen föråldrad. En angripare som en gång kommit in — via stulen inloggning, phishing eller insider-hot — kan röra sig fritt.

Zero trust säger: behandla varje inloggning, varje åtkomstförfrågan och varje enhet som potentiellt komprometterad. Verifiera identitet varje gång. Begränsa åtkomst till det absoluta minimum som krävs för arbetsuppgiften ("least privilege").

För ett litet svenskt företag (5–50 anställda) innebär zero trust-principerna konkret:

Multifaktorautentisering på allt. E-post, affärssystem, molntjänster — ingen inloggning ska godkännas med bara lösenord. Microsoft 365 och Google Workspace stöder MFA inbyggt. Aktivera det.

Delad minsta behörighet. En bokföringsassistent behöver inte tillgång till kundregistret. En säljare behöver inte systemadmin. Sätt upp rollbaserade behörigheter och granska dem kvartalsvis.

Enhetshantering. Vet du vilka enheter som har tillgång till era system? Ett MDM-system (Mobile Device Management) — t.ex. Microsoft Intune (ingår i M365 Business Premium, 235 kr/användare/månad) eller Jamf (Mac/iOS) — låter dig ställa krav: uppdaterat OS, krypterad disk, skärmlås.

Nätverkssegmentering. Ha separata WiFi-nät för kontorets IoT-enheter (skrivare, smarta kaffemaskiner) och för medarbetarnas datorer. En komprometterad skrivare ska inte kunna nå era affärssystem.

Loggning och övervakning. Logga inloggningsförsök och flagga ovanliga mönster — inloggning från nytt land, massvis med filåtkomst mitt i natten. Microsoft Sentinel och Cloudflare Access erbjuder detta på SME-prisnivå.

Zero trust är inte ett enskilt verktyg utan ett synsätt. Du behöver inte implementera allt på en gång — prioritera MFA och minsta behörighet först, och bygg därifrån.