Hur Conditional Access hjälper i följande scenario.

En av dina medarbetare använder samma lösenord på jobbet som på en nätshoppingsajt. Den sajten utsätts för ett dataintrång – och plötsligt finns inloggningsuppgifterna ute på ett kriminellt forum. Angriparen loggar in på ert Microsoft 365-konto en tisdag kväll, från Rumänien, och börjar metodiskt gå igenom e-post, filer och Teams-konversationer.

Ingen larm utlöses. Ingen ser något. Inte förrän skadan redan är skedd.

Det här är inte ett hypotetiskt scenario. Det är den vanligaste ingångspunkten för cyberattacker mot företag idag. Och det är exakt det som Conditional Access är byggt för att förhindra.

Siffrorna talar sitt tydliga språk

Enligt Microsofts Digital Defense Report för 2025 är över 97 % av alla identitetsattacker lösenordsattacker. Under första halvåret 2025 ökade den typen av angrepp med 32 procent jämfört med samma period förra året. Och i en undersökning från Cisco uppgav 56 % av svenska företagsledare att deras verksamhet drabbats av minst en cyberattack under det senaste året.

Det som är extra oroande är att metoden sällan är sofistikerad. Angripare testar systematiskt läckta lösenordsdatabaser mot kända tjänster – ett automatiserat och billigt angrepp. Det kallas credential stuffing, och det fungerar alldeles för ofta. Conditional Access bryter den kedjan.

Vad saknas i Microsoft 365 Business Standard?

Microsoft 365 Business Standard ger dig e-post, Teams, SharePoint och Office-applikationerna. Det är ett bra paket – men det saknar ett kritiskt lager: kontroll över själva inloggningen.

Med Standard kan du aktivera MFA, vilket är ett viktigt grundskydd. Men du kan inte styra under vilka förutsättningar en inloggning ska tillåtas. Du kan inte blockera inloggningar från högriskländer. Du kan inte kräva extra verifiering när någon försöker logga in från en ny enhet eller ett okänt nätverk.

Det är precis det som Conditional Access via Microsoft Entra ID P1 löser – och det ingår i Microsoft 365 Business Premium utan extra kostnad.

Vad är Conditional Access – och hur fungerar det?

Conditional Access är ett regelbaserat system i Microsoft Entra ID P1 som utvärderar varje inloggningsförsök i realtid. Tänk på det som en intelligent grindvakt som inte bara frågar "vem är du?" – utan också "varifrån loggar du in, med vilken enhet, vid vilken tidpunkt, och mot vilket system?"

Stämmer kontexten med era regler – märker användaren ingenting. Avviker något – reagerar Conditional Access automatiskt.

Några exempel på regler ni kan konfigurera:

• Geografisk begränsning – Inloggningsförsök från länder ni aldrig verkar i blockeras automatiskt eller kräver extra verifiering. Medarbetare i Sverige märker ingenting.
• Enhetskrav – Conditional Access kräver att enheten är hanterad och uppfyller era säkerhetskrav. En privat dator utan uppdateringar nekas tillgång eller hänvisas till ett begränsat läge.
• Riskbaserad inloggning – Entra ID P1 analyserar kontexten och tilldelar en risknivå. En inloggning som avviker kraftigt från det normala – ny plats, ny enhet, ovanlig tid – blockeras eller kräver ytterligare verifiering.
• Applikationsspecifika regler – Sätt strängare Conditional Access-krav för känsliga system som ekonomiverktyg eller HR-plattformar, utan att påverka Teams eller e-post.
• Tidsstyrd åtkomst – Begränsa inloggning till affärskritiska system utanför arbetstid helt automatiskt.

Så här hade Conditional Access stoppat attacken

Låt oss gå tillbaka till scenariot i början. Angriparen har köpt inloggningsuppgifterna på ett kriminellt forum och försöker logga in på ert Microsoft 365-konto. Det är tisdag kväll. Platsen är Rumänien. Enheten är okänd – aldrig sedd i er miljö tidigare.

Utan Conditional Access händer ingenting. Lösenordet stämmer, inloggningen godkänns.

Med Conditional Access aktiverat ser det ut såhär:

• Inloggningsförsöket flaggas omedelbart – ny enhet, okänd plats, utanför normal arbetstid.
• Systemet kräver ytterligare verifiering, eller blockerar försöket direkt beroende på er policy.
• Angriparen kan inte komma vidare. Utan den fysiska telefonen som er medarbetare bär i fickan – finns det inget sätt att ta sig igenom.
• Medarbetaren märker ingenting. Ni märker ingenting. Men attacken stoppades ändå.

Det är skillnaden mellan att hoppas att inloggningen är legitim – och att faktiskt veta det.

MFA är bra. Men Conditional Access är nästa steg.

En vanlig missuppfattning är att MFA löser problemet. MFA är ett viktigt grundskydd – och det blockerar en stor andel av automatiserade inloggningsförsök. Men MFA ensamt skyddar inte mot en angripare som lyckas lura en medarbetare att godkänna en inloggningsbegäran (MFA fatigue), och det ger dig ingen kontroll över var och hur inloggningen sker.

Conditional Access kompletterar MFA med kontextuell intelligens. Det räcker inte längre med rätt lösenord och ett godkänt MFA-steg – inloggningen måste också uppfylla era definierade villkor. Tillsammans skapar MFA och Conditional Access ett skydd som är svårt att kringgå – och som inte belastar medarbetarna i deras dagliga arbete.

Conditional Access ingår i Microsoft 365 Business Premium

Conditional Access via Microsoft Entra ID P1 ingår som en del av Microsoft 365 Business Premium – utan extra kostnad utöver licensen. Det innebär att om ni idag använder Business Standard är uppgraderingen till Business Premium det enda steget ni behöver ta för att aktivera Conditional Access i er miljö.

Vi på AdMane hjälper er att kartlägga nuläget, identifiera var ni har exponerade åtkomstpunkter och konfigurera Conditional Access på ett sätt som passar er verksamhet – utan att störa vardagen för era användare.

Vanliga frågor om Conditional Access

Vad är skillnaden mellan Conditional Access och MFA?

MFA kräver att du bekräftar din identitet med ett extra steg vid inloggning – exempelvis via en app på mobilen. Conditional Access går ett steg längre och utvärderar hela kontexten kring inloggningsförsöket: var du befinner dig, vilken enhet du använder, vilken tid det är och vilket system du försöker nå. MFA skyddar inloggningen – Conditional Access styr om den ens ska tillåtas.

Måste vi köpa ett separat tillägg för Conditional Access?

Nej. Conditional Access via Microsoft Entra ID P1 ingår i Microsoft 365 Business Premium utan extra kostnad. Om ni idag använder Business Standard är en uppgradering till Business Premium det enda ni behöver göra.

Märker medarbetarna av Conditional Access i vardagen?

I de allra flesta fall – nej. Loggar en medarbetare in från sin vanliga dator, på kontoret eller hemifrån via ett bekant nätverk, märker de ingenting. Conditional Access reagerar bara när något avviker från det normala, till exempel en inloggning från ett okänt land eller en ohanterad enhet.

Kan vi sätta olika regler för olika system?

Ja. En av styrkorna med Conditional Access är att ni kan konfigurera granulära regler per applikation. Ni kan till exempel kräva striktare verifiering för åtkomst till ekonomisystemet, medan Teams och e-post hanteras med enklare villkor. Det ger er flexibilitet utan att försämra användarupplevelsen i vardagen.

Fungerar Conditional Access även för distansarbete och mobila enheter?

Ja – och det är faktiskt just i de scenarierna som Conditional Access är som mest värdefullt. När medarbetare arbetar hemifrån, på resande fot eller från en ny enhet ökar risken för obehörig åtkomst. Conditional Access utvärderar varje inloggningsförsök oavsett var det sker och ser till att bara legitima inloggningar godkänns.

Hur snabbt kan Conditional Access sättas upp?

Med rätt partner går det fort. Vi på AdMane kartlägger er miljö, definierar regler som passar er verksamhet och konfigurerar Conditional Access utan att det stör det dagliga arbetet. Ofta kan grundkonfigurationen vara på plats inom en till två dagar – och ni märker direkt skillnaden i kontroll och trygghet.

Vill du veta om Conditional Access är rätt för er?

Om ni använder Microsoft 365 och hanterar känslig information, kund- eller persondata, eller har medarbetare som arbetar hemifrån eller på resande fot – ja, det är det.

Vi på AdMane hjälper er att kartlägga nuläget, identifiera var ni har exponerade åtkomstpunkter och konfigurera Conditional Access på ett sätt som passar er verksamhet – utan att störa vardagen för era användare.

Ett inledande möte kostar ingenting, och ni riskerar inget annat än att få en tydligare bild av var ni står.