Skip to main content

Delte lenker i skyen: hvem kan egentlig se filene dine?

En delingslenke er også en tilgang. Her er hva små virksomheter bør sjekke før OneDrive-, Nextcloud- eller andre skylagringslenker blir liggende åpne for lenge.

| Svein Tore |
Laptop med skyfiler, mapper og sjekkliste for trygg deling av lenker.

Det tar bare noen sekunder å dele en fil fra OneDrive, Nextcloud, Google Drive, Dropbox eller en annen skylagringstjeneste.

Det er nettopp derfor delte lenker ofte blir liggende lenger enn de burde.

En lenke sendes i en e-post. En mappe deles med en kunde. Et dokument åpnes for redigering før et møte. Noen lager en hurtiglenke fordi vedlegget er for stort. Alt dette kan være helt greit. Problemet oppstår når ingen senere vet hvem som fortsatt har tilgang.

Her er en praktisk gjennomgang av hva små virksomheter bør sjekke før delte skylagringslenker blir en stille risiko.

En delingslenke er også en tilgang

Mange tenker på deling som noe midlertidig. I praksis er en delingslenke en tilgang som må håndteres.

Forskjellen er at den ofte ikke føles like formell som en brukerkonto. Den ligger kanskje i en gammel e-post, i en chat, i et prosjektverktøy eller hos en ekstern mottaker. Likevel kan den gi tilgang til filer virksomheten ikke ville lagt åpent på nett.

Derfor bør spørsmålet ikke bare være “fikk mottakeren åpnet filen?”. Spør heller:

  • hvem kan bruke lenken?
  • kan mottakeren videresende den?
  • gir lenken visning eller redigering?
  • gjelder den én fil eller en hel mappe?
  • har lenken utløpsdato?
  • kan den fjernes når behovet er over?

Hvis ingen vet svaret, er delingen for uklar.

“Alle med lenken” betyr ikke bare mottakeren

En av de viktigste forskjellene er hvem lenken er laget for.

Noen delinger er knyttet til bestemte personer. Da må mottakeren gjerne logge inn med riktig konto. Andre delinger kan åpnes av alle som har lenken, avhengig av hvordan løsningen og organisasjonen er satt opp.

“Alle med lenken” kan være praktisk når en fil skal deles raskt med noen uten konto. Men det betyr også at kontrollen ofte flyttes fra identitet til selve lenken. Hvis lenken videresendes, lagres i feil system eller havner i en gammel e-posttråd, kan flere få tilgang enn dere tenkte.

Det betyr ikke at slike lenker aldri skal brukes. Det betyr at de bør brukes bevisst, og helst til innhold som tåler den formen for deling.

Visning og redigering er to ulike risikoer

Det er stor forskjell på at noen kan lese en fil og at de kan endre den.

Visning kan være nok for tilbud, referater, rapporter eller bilder som bare skal gjennomgås. Redigering bør være mer bevisst, særlig når flere jobber i samme dokument.

Redigering kan gi praktiske problemer:

  • noen overskriver viktig innhold
  • en gammel versjon blir videreført
  • kommentarer eller interne notater blir synlige
  • mottakeren laster opp filer i feil mappe
  • tilgangen blir stående etter at samarbeidet er ferdig

Hvis mottakeren bare skal lese, ikke gi redigering. Hvis noen skal laste opp filer, vurder om løsningen støtter en egen opplastingsmappe eller filinnlevering der mottakeren ikke ser alt annet.

Mapper er farligere enn enkeltfiler

Enkeltfiler er lettere å forstå. Mapper er mer risikable fordi innholdet kan endre seg etter at lenken ble delt.

En delt mappe kan starte uskyldig med tre dokumenter. Senere legger noen inn nye filer, gamle notater, bilder, eksport fra systemer eller materiale som egentlig ikke skulle deles. Mottakeren får da tilgang fordi mappen allerede var delt.

Sjekk særlig delte mapper som brukes over tid:

  • kundemapper
  • prosjektmapper
  • tilbudsmapper
  • mapper for regnskap eller dokumentasjon
  • bilder og filer fra mobil eller PC-oppsett
  • mapper som ble delt med tidligere ansatte eller leverandører

En enkel regel er å dele smalere enn du tror du trenger. Del én fil når én fil er nok. Del en egen prosjektmappe når samarbeid faktisk krever mappe. Unngå å dele rotmapper, skrivebord, hele dokumentområder eller gamle samlemappestrukturer.

Utløpsdato og passord er ikke pynt

Mange skylagringsløsninger har innstillinger som kan redusere risikoen. Det kan være utløpsdato på lenker, passordbeskyttelse, begrensning til bestemte personer, bare visning, blokkering av nedlasting eller krav om innlogging.

Hvilke valg som finnes varierer mellom tjenester, abonnement og administratoroppsett. Microsoft beskriver for eksempel hvordan OneDrive-lenker kan deles og hvordan tilgang kan stoppes eller endres. Nextcloud har egne valg for offentlige lenker, mapper, opplasting og rettigheter.

Poenget er ikke at alle må bruke alle funksjoner. Poenget er at virksomheten bør vite hvilke sikkerhetsvalg som finnes i løsningen de faktisk bruker.

For filer som bare skal deles en kort periode, bør utløpsdato være standard. For innhold som inneholder personopplysninger, kundedata eller interne vurderinger, bør “alle med lenken” sjelden være førstevalg.

Delte lenker bør ryddes, ikke bare opprettes

Det vanligste problemet er ikke at én lenke opprettes. Det vanligste problemet er at gamle lenker aldri ryddes.

Lag en enkel vane:

  • gå gjennom delinger etter avsluttet prosjekt
  • fjern eksterne lenker som ikke lenger trengs
  • sjekk hvilke mapper som er delt ut av organisasjonen
  • fjern tilgang for tidligere ansatte og gamle leverandører
  • bruk utløpsdato der løsningen støtter det
  • noter hvor viktige prosjektfiler egentlig skal ligge

Dette trenger ikke være et stort prosjekt. Start med de viktigste mappene: kunder, økonomi, tilbud, personal, prosjekter og filer som ofte sendes eksternt.

Når noen slutter, må delinger også sjekkes

Brukere og delte filer henger sammen.

Når en ansatt slutter, er det ikke nok å sperre e-post eller få tilbake PC-en. Bedriften bør også sjekke filer og delinger:

  • eier personen viktige mapper?
  • ligger arbeidsfiler i en personlig skylagring?
  • er mapper delt med eksterne mottakere?
  • finnes det delte lenker som bør stenges?
  • må filer flyttes til et felles område?
  • er filene dekket av backup?

Dette henger tett sammen med forskjellen på synkronisering og backup. En fil som er delt og synkronisert er ikke nødvendigvis trygt bevart hvis den slettes, flyttes eller mister riktig eier. Se også Ponett-artikkelen Synkronisering er ikke backup.

Personopplysninger gjør deling mer alvorlig

Hvis filene inneholder personopplysninger, blir deling mer enn et praktisk IT-spørsmål.

Datatilsynet forklarer at personopplysninger er opplysninger som kan knyttes til en person, direkte eller indirekte. Det kan være navn, e-postadresse, telefonnummer, bilder, brukerdata, kundeopplysninger eller kombinasjoner av detaljer som gjør personen identifiserbar.

Da bør virksomheten være ekstra bevisst på:

  • hvem som har tilgang
  • hvor lenge tilgangen varer
  • om mottakeren faktisk trenger hele filen
  • om filen kan anonymiseres eller begrenses
  • om lenken kan videresendes
  • om delingen logges eller kan dokumenteres

Hvis du ikke ville sendt filen åpent på e-post til en ukjent mottaker, bør du heller ikke lage en åpen delingslenke uten kontroll.

Ikke bruk skylagring som tilfeldig arkiv

Skylagring er et arbeidsverktøy, ikke automatisk en arkivplan.

For små virksomheter blir mapper ofte til underveis. Noe ligger i OneDrive, noe i Nextcloud, noe på skrivebordet, noe i e-postvedlegg, noe i et fagsystem og noe i gamle delte mapper.

Da blir det vanskelig å vite hva som er gjeldende, hva som er delt, hva som er backup, og hva som bare er en kopi. Kunnskapsrom-artikkelen Hvordan velge riktig skyløsning for bedriften går mer nøytralt inn på valg av skyløsning, sikkerhet, kontroll og behov.

Uansett løsning bør dere ha en enkel regel for hvor viktige filer skal ligge. Deling bør skje fra riktig sted, ikke fra tilfeldige personlige mapper.

En enkel sjekkliste før du deler

Bruk denne før du sender lenken:

  • Inneholder filen personopplysninger, kundedata eller interne vurderinger?
  • Trenger mottakeren hele filen eller bare et utdrag?
  • Skal mottakeren kunne redigere, eller holder det med visning?
  • Er lenken begrenset til bestemte personer?
  • Har lenken utløpsdato hvis den bare trengs midlertidig?
  • Er det tryggere å dele én fil i stedet for en mappe?
  • Vet dere hvordan lenken fjernes senere?

Hvis svaret er uklart på flere punkter, bør delingen strammes inn før den sendes.

En enkel sjekkliste etter prosjektet

Når prosjektet, møtet eller leveransen er ferdig, sjekk dette:

  • hvilke filer og mapper ble delt?
  • hvem har fortsatt tilgang?
  • finnes det åpne lenker som bør slettes?
  • ligger sluttversjonen på riktig sted?
  • er arbeidskopier og gamle eksporter ryddet?
  • er filer som må bevares inkludert i backup eller arkiv?

Dette er særlig nyttig ved tilbud, kundeprosjekter, styrearbeid, regnskapsarbeid, byggesaker, arrangementer og andre samarbeid der mange filer flyttes mellom personer.

Små virksomheter trenger en kort delingsregel

En delingsregel trenger ikke være lang. Den må bare gjøre hverdagen enklere.

Et praktisk minimum kan være:

  • Del bare fra godkjent skylagring, ikke private kontoer.
  • Bruk personspesifikk deling når filen ikke bør kunne videresendes fritt.
  • Gi bare redigering når mottakeren faktisk skal redigere.
  • Bruk utløpsdato på midlertidige eksterne lenker.
  • Del mapper bare når det er nødvendig.
  • Rydd delinger når prosjektet er ferdig.
  • Spør før du deler filer med personopplysninger eller kundedata.

Samme tankegang gjelder når ansatte bruker KI-verktøy. Ikke del mer data enn nødvendig, og ikke legg inn innhold før du vet hva det inneholder. Ponett har også skrevet om hva du trygt kan lime inn i KI-verktøy.

Kort oppsummert

Delte lenker er praktiske, men de er også tilganger.

Små virksomheter bør vite hvem som kan åpne lenkene, om mottakeren kan redigere, om mapper deles for bredt, og hvordan gamle delinger fjernes. Bruk utløpsdato og personspesifikk deling der det passer. Del smalt. Rydd etterpå.

Det handler ikke om å gjøre deling tungvint. Det handler om å gjøre den trygg nok til at filer, kunder, ansatte og prosjekter ikke blir liggende åpent lenger enn nødvendig.

Videre lesing

Back to Homepage

You might find this interesting to read:

Tech