Skip to main content

Stikkord: microsoft365

SPF, DKIM og DMARC: e-postsikkerhet uten mystikk

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til SPF, DKIM og DMARC: e-postsikkerhet uten mystikk

E-post er fortsatt en av de viktigste arbeidsflatene i små virksomheter. Den brukes til tilbud, fakturaer, kundehenvendelser, passordreset, møter, dokumenter og intern avklaring. Derfor blir e-post også misbrukt.

Et vanlig problem er at en svindler prøver å sende e-post som ser ut til å komme fra et kjent domene. Det kan være et forsøk på phishing, fakturasvindel eller innloggingstyveri. SPF, DKIM og DMARC er tre tekniske tiltak som gjør dette vanskeligere.

De løser ikke all e-postsikkerhet alene. De stopper ikke alle falske meldinger, og de erstatter ikke tofaktor, opplæring eller godt spamfilter. Men de gir mottakende e-postsystemer bedre grunnlag for å vurdere om en melding faktisk er sendt på vegne av domenet ditt.

Først: avsenderfeltet i e-post kan lyve

E-post ble ikke opprinnelig laget med sterk identitetskontroll. En melding kan vise en avsenderadresse som ser riktig ut, selv om meldingen teknisk kommer fra et annet sted.

Det betyr ikke at alle e-poster er upålitelige. Det betyr at domenet trenger noen ekstra kontroller. De viktigste er:

  • SPF: hvilke systemer har lov til Ã¥ sende e-post for domenet?
  • DKIM: er meldingen signert av et system som har nøkkel for domenet?
  • DMARC: hva skal mottakere gjøre nÃ¥r SPF eller DKIM ikke stemmer med avsenderdomenet?

Tenk på dette som tre lag. SPF peker på godkjente sendekilder. DKIM signerer meldingen. DMARC knytter kontrollene til domenet mottakeren faktisk ser i Fra-feltet.

SPF: en liste over godkjente sendekilder

SPF står for Sender Policy Framework. I praksis er det en DNS-post som forteller hvilke servere eller tjenester som kan sende e-post for domenet.

For en virksomhet som bruker Microsoft 365, vil SPF ofte inneholde Microsoft sin e-postplattform. Hvis virksomheten også sender fra et nyhetsbrevverktøy, et regnskapssystem, en nettbutikk eller et kontaktskjema, må det vurderes om disse også er legitime sendekilder.

SPF handler derfor ikke bare om å lime inn en standardtekst. Det handler om å vite hvor e-post faktisk sendes fra.

Vanlige feil med SPF er:

  • domenet har ingen SPF-post
  • domenet har flere SPF-poster i stedet for én samlet
  • gamle tjenester stÃ¥r fortsatt som godkjente
  • nye tjenester mangler og fÃ¥r leveringsproblemer
  • hoveddomenet brukes til mange tredjepartstjenester uten ryddig oversikt

SPF er nyttig, men ikke komplett. Blant annet sjekker SPF den tekniske konvoluttavsenderen, ikke nødvendigvis domenet brukeren ser i Fra-feltet. Derfor trengs også DKIM og DMARC.

DKIM: en signatur på meldingen

DKIM står for DomainKeys Identified Mail. Med DKIM signeres utgående e-post kryptografisk. Mottakeren kan kontrollere signaturen mot en offentlig nøkkel som ligger i DNS.

Poenget er å vise at meldingen er sendt gjennom en løsning som har lov til å signere for domenet, og at viktige deler av meldingen ikke er endret underveis.

I Microsoft 365 krever DKIM for eget domene vanligvis at det legges inn CNAME-poster i DNS, og at DKIM aktiveres i riktig administrasjonsportal. Andre e-postleverandører har egne fremgangsmåter.

DKIM er spesielt nyttig fordi det tåler enkelte situasjoner bedre enn SPF, for eksempel når e-post videresendes. Men DKIM alene er heller ikke nok. En angriper kan signere e-post med et annet domene og likevel vise et annet navn i meldingen. DMARC hjelper med å kontrollere sammenhengen.

DMARC: policyen som binder det sammen

DMARC står for Domain-based Message Authentication, Reporting and Conformance. Det er også en DNS-post.

DMARC gjør to viktige ting:

  • den kontrollerer at domenet i SPF eller DKIM henger sammen med domenet mottakeren ser som avsender
  • den sier hva mottakende systemer bør gjøre nÃ¥r kontrollene feiler

DMARC kan settes opp gradvis. Mange starter med p=none, som gir rapportering uten at meldinger blokkeres. NÃ¥r man har oversikt over legitime sendekilder, kan policyen strammes inn til quarantine eller reject.

For små virksomheter er dette viktig: ikke gå rett til streng blokkering hvis dere ikke vet hvilke systemer som faktisk sender e-post. Da kan kontaktskjema, fakturasystem, booking, nettbutikk eller gamle varsler plutselig slutte å levere.

Hvorfor dette betyr noe for små virksomheter

Små virksomheter tenker ofte at dette er et problem for store selskaper. Det stemmer ikke. Et lite domene kan være attraktivt nettopp fordi mottakere stoler på det lokalt.

Hvis domenet misbrukes i falsk e-post, kan konsekvensen bli:

  • kunder fÃ¥r svindelmeldinger som ser ut til Ã¥ komme fra virksomheten
  • ansatte blir lurt av meldinger som ser interne ut
  • e-post havner oftere i søppelpost
  • leverandører og kunder mister tillit
  • oppryddingen tar tid selv om virksomheten ikke ble teknisk kompromittert

God e-postautentisering handler derfor både om sikkerhet og om leveringskvalitet. Det hjelper andre e-postsystemer å skille legitim e-post fra misbruk.

Start med kartlegging, ikke DNS-endring

Den tryggeste starten er å lage en enkel liste over alle steder virksomheten sender e-post fra.

Sjekk særlig:

  • Microsoft 365, Google Workspace eller annen primær e-postløsning
  • webhotell eller gammel mailserver
  • kontaktskjema pÃ¥ nettsiden
  • WordPress, WooCommerce eller andre publiseringssystemer
  • regnskap, faktura og betalingsløsninger
  • nyhetsbrev og markedsføringsverktøy
  • CRM, supportsystem og booking
  • skrivere, skannere, overvÃ¥king og varsling

For hvert punkt bør dere spørre:

  • sender systemet e-post med vÃ¥rt domene som avsender?
  • sender det direkte, via Microsoft 365, via webhotellet eller via en tredjepart?
  • finnes det dokumentasjon fra leverandøren om SPF, DKIM eller DMARC?
  • kan tjenesten heller sende fra et eget underdomene?

Denne kartleggingen er ofte mer verdifull enn selve DNS-endringen. Den viser også hvor det finnes gamle løsninger ingen lenger eier tydelig.

Ikke bruk hoveddomenet ukritisk til alt

Hvis mange tredjepartstjenester sender som firma.no, blir SPF og DMARC fort vanskeligere å kontrollere. For nyhetsbrev, kampanjer eller systemutsending kan det være bedre å bruke et underdomene, for eksempel nyheter.firma.no eller post.firma.no.

Det beskytter hoveddomenet bedre. Hvis en ekstern utsending feiler, påvirker det ikke nødvendigvis den vanlige e-posten fra ansatte like mye.

Dette må planlegges. Et underdomene som sender e-post trenger også riktig SPF, DKIM og DMARC. Poenget er ikke å skjule noe, men å skille ulike typer e-post tydeligere.

Vær forsiktig med gamle og doble DNS-poster

E-postproblemer oppstår ofte fordi DNS har blitt endret mange ganger over flere år. En virksomhet kan ha byttet webhotell, flyttet e-post til Microsoft 365, beholdt et kontaktskjema, lagt til et nyhetsbrevverktøy og senere glemt hva som fortsatt er i bruk.

Typiske faresignaler er:

  • flere TXT-poster som starter med v=spf1
  • SPF-poster med gamle leverandører ingen kjenner igjen
  • DMARC satt til p=none uten at noen leser rapportene
  • manglende DKIM for eget domene
  • tjenester som sender e-post uten Ã¥ være dokumentert
  • ingen vet hvor DNS faktisk administreres

Rydding bør gjøres kontrollert. Ta vare på nåværende verdier før endring, og test sending fra viktige systemer etterpå.

En praktisk rekkefølge

For en liten virksomhet er en god rekkefølge ofte:

  1. Finn hvor DNS administreres.
  2. Lag liste over alle systemer som sender e-post.
  3. Kontroller eksisterende MX, SPF, DKIM og DMARC.
  4. Rett åpenbare feil, men ikke fjern ukjente sendekilder før de er vurdert.
  5. Aktiver eller kontroller DKIM hos primær e-postleverandør.
  6. Sett opp DMARC med rapportering.
  7. Følg med på rapporter og leveringsproblemer.
  8. Stram inn DMARC-policyen gradvis når legitime sendere er kartlagt.
  9. Dokumenter hvem som har ansvar for fremtidige endringer.

Dette er ikke et engangsprosjekt som aldri må sees på igjen. Hver gang virksomheten tar i bruk et nytt system som sender e-post, bør e-postautentisering vurderes.

Hva bør ikke gjøres i blinde?

Unngå disse snarveiene:

  • ikke kopier SPF fra en tilfeldig guide uten Ã¥ vite egne sendekilder
  • ikke legg inn flere SPF-poster
  • ikke sett DMARC rett til reject uten kartlegging
  • ikke fjern gamle DNS-poster før du vet om de fortsatt brukes
  • ikke anta at webhotell, DNS og e-post ligger hos samme leverandør
  • ikke glem kontaktskjema, fakturasystem, nettbutikk og skannere

Det er også lurt å skille mellom e-postautentisering og innholdssikkerhet. SPF, DKIM og DMARC gjør domenemisbruk vanskeligere, men de garanterer ikke at en melding er trygg. En legitim konto kan fortsatt bli misbrukt hvis passordet er stjålet.

Kort oppsummert

SPF, DKIM og DMARC er grunnmuren for tryggere e-postdomener.

SPF sier hvilke systemer som kan sende. DKIM signerer meldinger. DMARC binder kontrollene til avsenderdomenet og gir en policy for hva mottakere bør gjøre når noe ikke stemmer.

For små virksomheter er beste start å kartlegge alle sendekilder, rydde gamle DNS-poster forsiktig, aktivere DKIM hos e-postleverandøren og bruke DMARC gradvis. Da blir domenet vanskeligere å misbruke, samtidig som legitim e-post får bedre sjanse til å komme frem.

Videre lesing

Illustrasjon av data som flyttes fra Europa til en amerikansk sky

Kan man lagre GDPR‑data i amerikanske skyløsninger?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Kan man lagre GDPR‑data i amerikanske skyløsninger?

Mange virksomheter antar at det er helt uproblematisk å lagre personopplysninger i tjenester som Microsoft 365, Google Workspace eller andre amerikanske skyløsninger. De brukes jo av «alle». Men juridisk og teknisk er situasjonen langt mer komplisert.

Spørsmålet mange stiller er enkelt: Er det faktisk lovlig å lagre GDPR‑data i amerikanske skytjenester?

Det korte svaret er at dette er svært problematisk. Flere juridiske vurderinger i Europa konkluderer med at overføring av personopplysninger til amerikanske selskaper kan være i strid med GDPR fordi amerikansk lovgivning kan gi myndigheter tilgang til dataene.

Hvorfor USA skaper problemer for GDPR

GDPR stiller et grunnleggende krav: Personopplysninger skal bare overføres til land utenfor EU/EØS dersom personvernet er tilstrekkelig beskyttet.

USA har i mange år vært en utfordring på dette området.

Årsaken er ikke først og fremst teknologien, men lovverket. Amerikanske myndigheter kan i flere tilfeller kreve tilgang til data som lagres hos amerikanske selskaper – selv når dataene fysisk ligger i Europa.

Dette betyr at en europeisk virksomhet i praksis kan miste full kontroll over personopplysninger som lagres i slike systemer.

Schrems II endret spillereglene

I 2020 kom EU‑domstolens avgjørelse i Schrems II. Den slo fast at den daværende avtalen mellom EU og USA for dataoverføring – Privacy Shield – ikke ga tilstrekkelig beskyttelse.

Domstolen pekte spesielt på amerikansk overvåkingslovgivning og manglende rettigheter for europeiske borgere dersom dataene deres ble hentet ut av amerikanske myndigheter.

Konsekvensen var at mange av de juridiske mekanismene som tidligere ble brukt for å overføre data til USA ble kraftig svekket.

Resultatet er at virksomheter må gjøre langt strengere vurderinger før de bruker amerikanske skyløsninger.

CLOUD Act og tilgang til data

Et annet viktig element i debatten er CLOUD Act.

Denne amerikanske loven gjør det mulig for amerikanske myndigheter å kreve tilgang til data fra amerikanske selskaper – uavhengig av hvor dataene fysisk er lagret.

Det betyr i praksis at data som ligger på en server i Europa fortsatt kan være tilgjengelige for amerikanske myndigheter dersom leverandøren er et amerikansk selskap.

Dette er vanskelig å forene med GDPRs krav om kontroll over personopplysninger.

«EU‑servere» løser ikke nødvendigvis problemet

Leverandører som Microsoft og Google fremhever ofte at data kan lagres i europeiske datasentre.

Det høres betryggende ut, men det løser ikke nødvendigvis de juridiske utfordringene.

Så lenge leverandøren er et amerikansk selskap, kan amerikansk lov fortsatt gjelde for selskapet – og dermed indirekte for dataene.

Dermed handler spørsmålet ikke bare om hvor dataene ligger, men også om hvem som kontrollerer infrastrukturen.

Dette er et sentralt tema i artikkelen [hvem kontrollerer egentlig dataene dine].

Hva sier Datatilsyn og europeiske myndigheter?

Flere europeiske tilsynsmyndigheter har uttrykt bekymring rundt bruk av amerikanske skytjenester.

Eksempler inkluderer:

  • nederlandske vurderinger av Microsoft 365
  • tyske vurderinger av Google Workspace
  • diskusjoner i flere europeiske datatilsyn

Fellesnevneren er usikkerheten rundt amerikansk lovgivning og tilgang til data.

Det betyr ikke nødvendigvis at alle slike tjenester automatisk er ulovlige å bruke, men det betyr at risikoen og de juridiske kravene er betydelige.

For mange virksomheter er det derfor vanskelig å dokumentere full GDPR‑etterlevelse.

Alternativet: europeiske eller self‑hosted løsninger

På grunn av disse utfordringene ser mange virksomheter etter alternativer.

Et alternativ er europeiske skyleverandører som opererer under EU‑jurisdiksjon.

Et annet er såkalte self‑hosted skyløsninger, der virksomheten selv kontrollerer infrastrukturen.

Plattformer som Nextcloud gjør det mulig å bygge en privat sky der data lagres på servere virksomheten selv kontrollerer.

Dette kan gjøre det enklere å dokumentere kontroll over personopplysninger og redusere avhengigheten av globale teknologiselskaper.

Problemet handler egentlig om kontroll

Debatten om amerikanske skyløsninger handler i bunn og grunn om ett spørsmål:

Hvem har faktisk kontroll over dataene?

Hvis infrastrukturen eies av et selskap underlagt amerikansk lov, vil det alltid eksistere en juridisk risiko for tilgang fra amerikanske myndigheter.

For virksomheter som håndterer sensitive personopplysninger kan dette være vanskelig å forene med GDPRs krav til kontroll, ansvar og dokumentasjon.

Hva bør virksomheter gjøre?

Virksomheter som bruker eller vurderer amerikanske skyløsninger bør minst gjøre følgende:

  1. Kartlegge hvilke personopplysninger som lagres
  2. Vurdere juridisk risiko ved dataoverføring
  3. Dokumentere vurderinger knyttet til Schrems II
  4. Vurdere europeiske eller self‑hosted alternativer

Dette handler ikke bare om teknologi – men om juridisk ansvar.

FAQ

Er Microsoft 365 automatisk GDPR‑ulovlig?

Ikke nødvendigvis. Mange virksomheter bruker fortsatt slike løsninger. Problemet er at juridiske vurderinger etter Schrems II gjør det vanskelig å dokumentere at personopplysninger er fullt beskyttet mot tilgang fra amerikanske myndigheter.

Holder det at data lagres i Europa?

Ikke alltid. Hvis leverandøren er et amerikansk selskap kan amerikansk lov fortsatt gi myndigheter tilgang til dataene.

Hva er det tryggeste alternativet?

Løsninger der data lagres hos leverandører under EU‑jurisdiksjon – eller systemer virksomheten selv kontrollerer – gjør det ofte enklere å dokumentere GDPR‑etterlevelse.

Illustrasjon av globale datasentre som lagrer Microsoft 365-data

Hvor lagres dataene i Microsoft 365?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Hvor lagres dataene i Microsoft 365?

Mange virksomheter bruker Microsoft 365 hver dag til e-post, dokumenter, møter og samarbeid. Men et spørsmål dukker ofte opp når man begynner å se nærmere på datasikkerhet: Hvor lagres egentlig dataene?

Svaret er mer sammensatt enn mange tror. Selv om data ofte lagres i europeiske datasentre, betyr ikke det nødvendigvis at dataene kun er under europeisk kontroll.

Microsofts datasentre

Microsoft driver et stort globalt nettverk av datasentre. Når en virksomhet i Norge bruker Microsoft 365, vil data normalt lagres i Microsofts europeiske regioner. Disse kan blant annet være lokasjoner i Norge, Nederland, Irland, Tyskland eller andre europeiske datasentre.

Dette gjelder for tjenester som:

  • Exchange Online (e-post)
  • SharePoint og OneDrive (filer og dokumenter)
  • Microsoft Teams

Microsoft forsøker i stor grad å lagre data i samme geografiske region som kunden tilhører. For norske virksomheter betyr dette som regel Europa.

Men dette er bare én del av bildet.

Regionlagring betyr ikke nødvendigvis europeisk kontroll

Selv om data fysisk ligger i et datasenter i Europa, er det ikke nødvendigvis europeisk jurisdiksjon som gjelder.

Microsoft er et amerikansk selskap. Dermed omfattes selskapet av amerikansk lovgivning, uansett hvor serverne fysisk befinner seg.

Dette er en av grunnene til at temaet datasuverenitet har fått mer oppmerksomhet de siste årene.

I artikkelen hvem kontrollerer egentlig dataene dine forklares dette nærmere, men kort fortalt handler det om hvem som faktisk kan kreve tilgang til data.

CLOUD Act og tilgang til data

Et sentralt begrep i denne diskusjonen er den amerikanske loven CLOUD Act.

Denne loven åpner for at amerikanske myndigheter kan kreve tilgang til data fra amerikanske selskaper – også når dataene er lagret utenfor USA.

Det betyr at et selskap som Microsoft i enkelte situasjoner kan være juridisk forpliktet til å utlevere data, selv om de ligger på en server i Europa.

Dette er bakgrunnen for støtteartikkelen CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt.

Schrems II og overføring av data

Et annet viktig punkt i denne diskusjonen er EU-dommen kjent som Schrems II.

Denne dommen satte i praksis en stopper for Privacy Shield-avtalen mellom EU og USA. Begrunnelsen var nettopp bekymringer rundt amerikansk overvåkingslovgivning.

Konsekvensen er at overføring av persondata til amerikanske leverandører har blitt et mer komplisert juridisk spørsmål.

Du kan lese mer om dette i artikkelen Hva betyr Schrems II for skylagring.

Speiling, backup og global infrastruktur

En annen ting som ofte overses, er hvordan moderne skyløsninger faktisk lagrer data.

Data lagres sjelden kun ett sted. For å sikre stabil drift speiles informasjon ofte mellom flere datasentre. I tillegg tas det jevnlig backup.

Dette gjør systemene svært robuste mot feil og nedetid.

Samtidig betyr det også at data kan være distribuert på flere lokasjoner innenfor samme region.

Microsoft publiserer ikke alltid detaljert informasjon om nøyaktig hvilke datasentre som brukes for hver kunde til enhver tid, nettopp fordi infrastrukturen er dynamisk.

Hva betyr dette i praksis for norske virksomheter?

For mange virksomheter fungerer Microsoft 365 svært godt i praksis. Plattformen gir høy stabilitet, god integrasjon mellom tjenester og minimal teknisk drift.

Det er derfor ikke overraskende at svært mange organisasjoner bruker den.

Men virksomheter som arbeider med sensitiv informasjon bør likevel stille noen grunnleggende spørsmål:

  • Hvem kontrollerer infrastrukturen dataene ligger på?
  • Hvilket lands lovgivning gjelder for leverandøren?
  • Hvem kan i ytterste konsekvens kreve tilgang til data?

Dette er ikke nødvendigvis et teknisk spørsmål – det er i stor grad et juridisk og strategisk spørsmål.

Alternativer: mer kontroll over data

For virksomheter som ønsker større kontroll over hvor data lagres, finnes det også andre modeller.

En løsning kan være såkalt self-hosted skylagring, der virksomheten selv kontrollerer infrastrukturen eller bruker en lokal leverandør.

Dette betyr ikke nødvendigvis at slike løsninger alltid er bedre. Men de gir ofte mer kontroll over både lagringssted, tilgang og jurisdiksjon.

Dette diskuteres nærmere i artikkelen [Self-hosted skylagring – hva betyr det egentlig].

Det viktigste spørsmålet

Når man diskuterer hvor data lagres i Microsoft 365, er det lett å fokusere kun på fysisk plassering.

Men det mest avgjørende spørsmålet er ofte ikke hvor serveren står.

Det viktigste spørsmålet er hvem som kontrollerer infrastrukturen – og hvilket lovverk leverandøren er underlagt.

For mange virksomheter blir dette først et tema når man begynner å stille et enkelt spørsmål:

Hvem kontrollerer egentlig dataene dine?

illustrasjon som viser forskjellen mellom Nextcloud og Microsoft 365 og kontroll over data

Nextcloud vs Microsoft 365 – hvem kontrollerer egentlig dataene?

Skrevet av Svein Tore den . Publisert i Teknologi. Ingen kommentarer til Nextcloud vs Microsoft 365 – hvem kontrollerer egentlig dataene?

Hva er Microsoft 365

Microsoft 365 er en komplett skyløsning levert av Microsoft. Plattformen inkluderer tjenester som e‑post, dokumentbehandling, Teams, SharePoint og skylagring via OneDrive. For mange bedrifter er dette en svært praktisk løsning fordi alt leveres ferdig konfigurert i skyen. Det betyr også at infrastrukturen driftes av Microsoft i deres datasentre. Brukere får tilgang til tjenestene via nettleser eller apper, mens dataene lagres i Microsofts skyplattform. Fordelen er enkelhet. Oppsettet er raskt, oppdateringer skjer automatisk og administrasjonen er relativt enkel for små og mellomstore virksomheter. Ulempen er at kontrollen over infrastrukturen ligger hos leverandøren. Selv om virksomheten eier sine egne data juridisk, er det Microsoft som kontrollerer plattformen dataene lagres i.

Hva er Nextcloud

Nextcloud er en open source‑plattform for filsynkronisering, samarbeid og skylagring. Den kan i stor grad gjøre mange av de samme tingene som kommersielle skyløsninger, men med én viktig forskjell: løsningen kan hostes og kontrolleres av virksomheten selv. Nextcloud kan installeres på egne servere, i privat sky eller hos en leverandør som tilbyr dedikert hosting. Det betyr at organisasjonen selv bestemmer hvor dataene lagres, hvordan systemet konfigureres og hvilke sikkerhetstiltak som skal brukes. I tillegg er koden åpen. Det gjør at sikkerhetseksperter kan inspisere hvordan plattformen fungerer, og det gir større transparens enn lukkede systemer. Hvis du vil forstå plattformen bedre kan du lese mer i artikkelen «Hva er Nextcloud – og hvordan fungerer det?».

Den viktigste forskjellen: kontroll over infrastrukturen

Den største forskjellen mellom Nextcloud og Microsoft 365 handler ikke om funksjoner, men om kontroll. Med Microsoft 365 ligger infrastrukturen i Microsofts globale sky. Selv om selskapet har strenge sikkerhetsrutiner og høy driftssikkerhet, er det fortsatt leverandøren som kontrollerer plattformen. Med Nextcloud kan virksomheten selv kontrollere infrastrukturen. Det betyr at servere kan plasseres i eget datasenter, hos en lokal leverandør eller i et miljø som er underlagt nasjonale lover og regler. For noen organisasjoner spiller dette liten rolle. For andre – særlig virksomheter som håndterer sensitive data – kan det være avgjørende.

Personvern og datasuverenitet

Et tema som stadig oftere diskuteres er datasuverenitet. Dette handler om hvem som faktisk har jurisdiksjon over dataene. Store internasjonale skyløsninger opererer på tvers av mange land, og data kan i praksis være underlagt ulike lovverk. For europeiske virksomheter har dette blitt spesielt relevant etter diskusjoner rundt internasjonale dataoverføringer. Self‑hosted løsninger som Nextcloud gir i mange tilfeller mer kontroll over hvor dataene fysisk lagres. Det kan gjøre det enklere å følge lokale krav til personvern og datasikkerhet. Denne problemstillingen er også sentral i fagartikkelen «Hvem kontrollerer egentlig dataene dine?», som går dypere inn i hvordan digitale plattformer påvirker kontroll over informasjon.

Funksjoner og samarbeidsverktøy

Når det gjelder funksjonalitet er Microsoft 365 svært omfattende. Plattformen inkluderer velkjente verktøy som Word, Excel, PowerPoint og Teams, som mange virksomheter allerede er vant til. Nextcloud har også utviklet et økosystem av apper. Dette inkluderer dokumentredigering, kalender, oppgavehåndtering, videosamtaler og filsynkronisering. Mange av disse funksjonene leveres gjennom integrasjoner med andre open source‑prosjekter. Forskjellen ligger ofte i hvor mye som er ferdig integrert fra start. Microsoft 365 er designet som en komplett kommersiell pakke, mens Nextcloud er mer modulært og kan tilpasses etter behov.

Når Microsoft 365 kan være riktig valg

For små virksomheter uten tekniske ressurser kan Microsoft 365 være et svært godt valg. Løsningen er enkel å ta i bruk, krever lite drift og gir tilgang til et bredt sett av verktøy som fungerer godt sammen. For mange bedrifter er det nettopp denne enkelheten som gjør skyløsninger attraktive.

Så lenge bedriften ikke lagrer data som er sensetiv så er det greit. Men husk at all data hos Microsoft er tiljengelig for tredjepart uansett datasenter. Med Microsoft har du ikke data suvereniteten i behold!

Når Nextcloud kan være et bedre alternativ

Nextcloud blir ofte valgt av organisasjoner som ønsker mer kontroll over data, infrastruktur og sikkerhet. Det gjelder blant annet virksomheter med høye krav til personvern, offentlige organisasjoner eller bedrifter som ønsker å redusere avhengigheten av globale teknologiselskaper. En annen fordel er fleksibiliteten. Fordi plattformen er open source kan den tilpasses, integreres med andre systemer og utvides etter behov. Hvis du også vurderer andre skyløsninger kan det være nyttig å lese sammenligningen «Nextcloud vs Google Drive«.

Hva bør virksomheter egentlig velge

Det finnes ikke ett riktig svar som passer for alle. Valget mellom Nextcloud og Microsoft 365 handler først og fremst om prioriteringer. Hvis enkelhet, ferdig integrerte verktøy og minimal drift er viktigst, vil Microsoft 365 ofte være det mest praktiske valget. Hvis kontroll over data, fleksibilitet og uavhengighet fra globale skyløsninger er viktigere, kan Nextcloud være et mer strategisk alternativ. Det viktigste er at virksomheter faktisk tenker gjennom hvem som kontrollerer infrastrukturen de lagrer dataene sine i. Før du tar et endelig valg kan det derfor være nyttig å forstå et mer grunnleggende spørsmål: hvem kontrollerer egentlig dataene dine?.