Utvalg
Alle 357 kommuner, hentet fra Kartverkets kommuneregister, og 110 statlige virksomheter vi har valgt ut: departementene (som deler regjeringen.no), Stortinget, domstolene, direktorater, tilsyn, etater, regionale helseforetak, de største universitetene og noen statlige selskaper. For hver organisasjon skannet vi hoveddomenet.
Hva vi samlet inn
- DNS: navnetjenere, MX, SPF, DMARC, DKIM og verifiseringsposter som viser hvilke skytjenester domenet er koblet til. I tillegg TLS-rapporter (_smtp._tls), MTA-STS, SRV-poster for Teams og CAA-poster, som viser hvilke sertifikatutstedere domenet tillater.
- Microsoft-tenant: Microsofts åpne påloggingstjeneste svarer på om domenet hører til en Entra-tenant, hvilken region tenanten er registrert i, og om innloggingen går videre til en annen tjeneste, for eksempel egen ADFS eller Okta. En levende tenant bekrefter at en MS=-verifiseringspost er i bruk. Selvbetjente tenanter som ingen administrerer, regnes ikke med.
- Kjente Microsoft-poster: autodiscover, lyncdiscover, enterpriseenrollment og enterpriseregistration, som avslører Exchange Online, Teams, Intune og Entra ID.
- Drift og nettverk: IP-adresser, hvem som eier nettverket (ASN, via Team Cymru) og CNAME-kjeder til drifts- og CDN-leverandører. Når ingen kjent e-postleverandør står i MX, klassifiseres e-postserveren etter hvem som eier nettverket den står i.
- Sertifikat: hvem som har utstedt TLS-sertifikatet.
- Nettsider: forsiden, opptil fem sentrale undersider og tredjepartsskript, analysert for eksterne kilder. Forsiden lastes også i en ekte nettleser (headless Chromium), og alle forespørslene den gjør blir klassifisert. Det fanger opp tjenester som en tag manager eller et skript legger til etter at siden er lastet.
- Subdomener: kandidater fra sertifikatlogger og en ordliste, klassifisert etter hvor de driftes.
- Personvernerklæring: erklæringen og tilhørende sider, funnet via lenker fra forsiden. Der behandlingsprotokollen er publisert i Samsvar, leste vi systemene som er krysset av for hver behandling. Teksten sammenlignes med en liste over kjente produkter og leverandører.
Funn fra personvernerklæringen vises i egen seksjon i hver rapport og teller ikke i eksponeringsindeksen. At en leverandør er nevnt, betyr ikke at tjenesten er i bruk.
Funnene klassifiseres etter leverandørens hovedkontor og eierskap. Europa betyr her EU/EØS, Sveits og Storbritannia, som alle har et personvernnivå EU har godkjent. Alt annet med kjent hjemland regnes som utenfor Europa. Åpen kildekode uten en bestemt leverandør, og tjenester med ukjent opphav, telles ikke.
I denne kartleggingen kom 99 prosent av funnene utenfor Europa fra amerikanske leverandører. Resten kom fra Japan, Canada og Australia.
Eksponeringsindeksen
Funnene grupperes i 12 områder. Hvert område har en vekt etter hvor kritisk det er for organisasjonen. Indeksen er summen av vektene for områdene der vi fant minst én avhengighet utenfor Europa. Områder med bare avhengigheter vi anbefaler å beholde og dokumentere, teller 25 prosent.
| Område | Vekt | Typisk fase |
|---|---|---|
| Identitet og tilgang | 14 | 3. Plattform og identitet |
| Fjerntilgang | 4 | 2. Infrastruktur og tjenester |
| Kontor og samhandling | 16 | 3. Plattform og identitet |
| E-postplattform | 12 | 3. Plattform og identitet |
| E-postutsending og e-postsikkerhet | 4 | 2. Infrastruktur og tjenester |
| Enhetsstyring | 8 | 3. Plattform og identitet |
| Nettsted: drift, CDN og DNS | 10 | 2. Infrastruktur og tjenester |
| Tredjepartsinnhold på nettsidene | 6 | 1. Raske gevinster |
| Sporing og analyse | 8 | 1. Raske gevinster |
| TLS-sertifikater | 2 | 1. Raske gevinster |
| KI-tjenester | 8 | 2. Infrastruktur og tjenester |
| Fagsystemer og andre skytjenester | 8 | 2. Infrastruktur og tjenester |
Innsats. Hvert funn får en innsats for å avslutte avhengigheten. En verifiseringspost eller et sertifikat får alltid innsats lav. Posten kan slettes, eller utstederen kan byttes. Andre funn får innsatsen vi har satt for tjenesten.
Nivåene er lav (0 til 24), moderat (25 til 49), høy (50 til 74) og svært høy (75 til 100). Indeksen teller hvilke områder som er berørt, ikke hvor mange tjenester. Ti sporingsskript gir ikke høyere score enn ett.
Synlighet
En lav indeks kan bety to ting. Organisasjonen bruker få leverandører utenfor Europa. Eller kartleggingen så lite. Derfor viser hver rapport i hvor mange av de 12 områdene vi så en leverandør i det hele tatt, uansett land.
En rapport er lite synlig når vi så en leverandør i færre enn 5 av 12 områder. Grensen er valgt ut fra dataene. Den fanger de virksomhetene der kartleggingen så klart mindre enn hos de andre. I kartleggingen 20.10.2026 gjelder det 2 kommuner og 5 statlige virksomheter. De er grå på indekskartet.
Synligheten endrer ikke indeksen.
Begrensninger
- Vi ser bare utsiden. Fagsystemer, interne nettverk, avtaler og tjenester ansatte bruker i nettleseren, er ikke synlige, med mindre organisasjonen selv nevner dem i personvernerklæringen.
- Verifisering er ikke bruk. En verifiseringspost viser at en konto er opprettet. Den kan være gammel.
- Før samtykke. Nettleseren laster bare forsiden og godtar ikke informasjonskapsler. Sporing som først starter etter samtykke, er ikke med.
- Tenantregion er ikke jurisdiksjon. En tenant i Microsofts region for Europa lagrer data i Europa, men leveres fortsatt av et amerikansk selskap.
- Øyeblikksbilde. DNS og nettsider endres. Kartet viser situasjonen 20.10.2026.
- Hovedkontor er ikke alt. Klassifiseringen sier ikke noe om hvor data lagres, og en europeisk region hos en leverandør utenfor Europa regnes som utenfor Europa.
- Indeksen er ikke en karakter. En høy indeks kan være et bevisst og dokumentert valg. En lav indeks betyr ikke at risikoen er styrt.
Retting
Et teknisk spor kan endre seg mellom skanninger. Send en melding til Thomas Heggelund på LinkedIn med lenke til rapporten og hva som bør kontrolleres.