Mikilvægustu öryggisstillingar í Microsoft 365

Reikningur eins starfsmanns getur opnað leið að tölvupósti, samningum, greiðsluupplýsingum og sameiginlegum skrám alls fyrirtækisins. Þess vegna eru mikilvægustu öryggisstillingar Microsoft 365 ekki bara verkefni fyrir tæknideildina. Þær eru bein vörn fyrir rekstur, orðspor og getu fyrirtækisins til að halda áfram þegar árás eða mistök eiga sér stað.

Microsoft 365 býður upp á öflugar öryggisstýringar, en þær skila aðeins árangri ef þær eru stilltar rétt, fylgst er með þeim og þær passa við vinnulag fyrirtækisins. Of strangar reglur geta stöðvað eðlilega vinnu. Of opnar reglur gera árásarmönnum lífið auðvelt. Markmiðið er að draga úr áhættu án þess að gera starfsfólki óþarflega erfitt fyrir.

Byrjið á fjölþáttaauðkenningu

Fjölþáttaauðkenning, eða MFA, er ein áhrifaríkasta vörnin gegn því að stolin lykilorð leiði til innbrots. Lykilorð leka í gagnabrotum, verða veidd með fölskum innskráningarsíðum eða enda óvart í röngum höndum. Þegar notandi þarf einnig að staðfesta innskráningu með auðkenningarforriti, öryggislykli eða öðrum þætti nægir lykilorðið eitt og sér ekki.

MFA ætti að vera krafa fyrir alla notendur, en sérstaklega fyrir stjórnendur, fjármálateymi og þá sem hafa aðgang að viðkvæmum gögnum. SMS-staðfesting er betri en engin vörn, en auðkenningarforrit eða líkamlegir öryggislyklar veita almennt betri mótstöðu gegn vefveiðum.

Það þarf þó að útfæra þessa breytingu af skynsemi. Starfsfólk þarf einfaldar leiðbeiningar, skilgreint ferli þegar sími týnist og stuðning fyrstu vikurnar. Einnig þarf að fjarlægja eldri innskráningaraðferðir sem geta komist fram hjá MFA. Annars verður nýja reglan aðeins hálfgerð vörn.

Verjið reikninga stjórnenda sérstaklega

Reikningar með stjórnendaréttindi eiga ekki að vera sömu reikningar og notaðir eru fyrir daglegan tölvupóst og Teams. Ef slíkur reikningur lendir í vefveiðum getur tjónið orðið mun meira en þegar venjulegur notandareikningur verður fyrir árás.

Hafið sérstaka stjórnendareikninga, gefið réttindi aðeins þeim sem þurfa og notið sterkustu auðkenningarleiða fyrir þá. Farið reglulega yfir hverjir hafa alþjóðleg stjórnendaréttindi, hvort utanaðkomandi aðilar þurfi enn aðgang og hvort gömul þjónustureikningsaðgangur sé enn virkur. Stjórnendaréttindi sem enginn man eftir eru algeng áhætta.

Notið skilyrtan aðgang í Microsoft 365

Skilyrtur aðgangur gerir fyrirtækinu kleift að setja reglur um hvenær og hvernig notendur mega skrá sig inn. Í stað þess að treysta eingöngu á notandanafn og lykilorð er hægt að meta til dæmis staðfestingu með MFA, stöðu tækis, staðsetningu og áhættumerki í innskráningu.

Góð grunnregla er að krefjast MFA utan traustra undantekninga, loka á eldri sannvottunaraðferðir og takmarka stjórnendainnskráningar við samþykkt eða samhæfð tæki. Fyrirtæki með starfsfólk á ferðinni eða í fjarvinnu ættu að hugsa sérstaklega um hvað gerist þegar reynt er að skrá sig inn úr óþekktu landi, á óstýrðu einkatæki eða í gegnum nafnlausa tengingu.

Hér gildir þó ekki ein regla fyrir alla. Starfsfólk í alþjóðlegum verkefnum getur þurft lögmæta aðganga frá mörgum löndum. Þá er skynsamlegra að setja áhættumiðaðar reglur og viðvaranir en að loka sjálfkrafa á alla erlenda innskráningu. Stillingarnar þurfa að endurspegla raunverulegt vinnulag, ekki bara ósk um fullkomið öryggi á pappír.

Herðið vörnina gegn vefveiðum í tölvupósti

Tölvupóstur er enn algengasta leiðin inn í fyrirtæki. Fölsuð greiðslubeiðni, deiliskrá sem lítur út fyrir að koma frá samstarfsaðila eða skilaboð frá „forstjóra“ geta verið næg til að fá starfsmann til að afhenda innskráningarupplýsingar eða greiða rangan reikning.

Í Microsoft 365 þarf að stilla vörn gegn ruslpósti, spilliforritum og vefveiðum þannig að hún taki mið af áhættu fyrirtækisins. Virkið vernd gegn fölsun á ytra léni og birtingarnafni, skoðun á vefslóðum og viðhengjum og skýrar aðgerðir þegar grunsamleg skilaboð berast. Starfsfólk ætti að geta tilkynnt grunsamlegan tölvupóst með einföldum hætti, en ekki þurfa að velta því fyrir sér hvert eigi að senda skjáskot.

Tæknileg síun leysir ekki allt. Árásir sem líkja eftir raunverulegum viðskiptasamskiptum geta farið í gegnum bestu síur. Þess vegna þurfa greiðsluferlar einnig að vera traustir. Breyting á bankaupplýsingum eða óvenjuleg greiðslubeiðni á alltaf að staðfesta í öðrum samskiptamáta, til dæmis með símtali í þekkt númer.

Verndið gögnin, ekki aðeins innskráninguna

Óheimill aðgangur er ekki eina áhættan. Starfsmaður getur sent viðkvæmt skjal á rangt netfang, deilt möppu of víða eða eytt gögnum sem fyrirtækið þarf síðar. Réttar stillingar fyrir samnýtingu í SharePoint, OneDrive og Teams skipta því miklu máli.

Takmarkið nafnlausa deilingu ef hún er ekki nauðsynleg og setjið tímamörk á aðgang utanaðkomandi aðila þar sem það á við. Farið yfir hvort allir sem eru í gömlum Teams-hópum þurfi enn að sjá gögnin. Verkefni klárast, samstarfsaðilar skipta um hlutverk og aðgangslistinn verður fljótt úreltur ef enginn ber ábyrgð á honum.

Gagnatapavarnir geta einnig greint eða hindrað að viðkvæmar upplýsingar fari út fyrir fyrirtækið. Slíkar reglur geta til dæmis brugðist við greiðslukortaupplýsingum, persónuupplýsingum eða fjárhagsgögnum. Byrjið þó með eftirliti og viðvörunum áður en þið lokið sjálfkrafa á allt. Þannig má mæla raunverulegt flæði gagna og stilla reglurnar án þess að stöðva lögmæta vinnu.

Flokkun gagna styður betri ákvarðanir

Ekki eru öll skjöl jafn viðkvæm. Þegar fyrirtæki skilgreinir einfaldar merkingar, til dæmis almennt, innanhúss, trúnaðarmál og mjög trúnaðarmál, verður auðveldara að beita réttri vernd. Hægt er að setja dulkóðun, takmarka áframsendingu eða krefjast sérstakrar meðferðar á skjölum sem innihalda viðkvæm gögn.

Þetta virkar best þegar flokkunin er einföld og tengd raunverulegum vinnuferlum. Ef starfsfólk þarf að velja úr tugum flokka við hverja skráningu verður kerfið hunsað. Fáar, skýrar reglur skila meiri árangri.

Hafið tækin undir stjórn

Örugg Microsoft 365 uppsetning nær ekki langt ef innskráning fer fram úr óuppfærðri fartölvu sem hefur enga dulkóðun eða skýra aðgangsstýringu. Tæki sem tengjast fyrirtækjagögnum þurfa að vera skráð, uppfærð og með grunnvernd í lagi.

Setjið kröfur um skjálæsingu, dulkóðun diska, uppfærslur stýrikerfis og vernd gegn spilliforritum. Skilyrtur aðgangur getur síðan takmarkað aðgang að fyrirtækjagögnum frá tækjum sem standast ekki þessar kröfur. Fyrir sum fyrirtæki er rétt að leyfa einkatæki með takmörkuðum aðgangi. Fyrir önnur, einkum þar sem unnið er með viðkvæm gögn, er skynsamlegra að krefjast stýrðra fyrirtækistækja.

Tryggið afrit, varðveislu og endurheimt

Ruslafata og varðveisla í Microsoft 365 eru gagnlegar, en þær eru ekki sama og heildstæð afritunar- og endurheimtaráætlun. Rangar eyðingar, skemmdar samstillingar, illgjörn dulkóðun eða kröfur um varðveislu geta kallað á hraða og nákvæma endurheimt gagna.

Skilgreinið hvaða gögn þarf að geta endurheimt, hversu hratt það þarf að gerast og hver ber ábyrgð þegar eitthvað fer úrskeiðis. Prófið endurheimt reglulega. Afrit sem hefur aldrei verið prófað er von, ekki rekstraröryggi.

Einnig þarf að skilgreina varðveislureglur fyrir tölvupóst, skjöl og samskipti. Sum fyrirtæki þurfa að varðveita upplýsingar vegna samninga, laga eða innri rekjanleika. Önnur þurfa að eyða gögnum eftir ákveðinn tíma til að minnka áhættu. Rétta svarið fer eftir starfsemi, samningsskyldum og þeim gögnum sem unnið er með.

Fylgist með merkjunum og endurskoðið reglurnar

Öryggisstillingar eru ekki verkefni sem klárast einu sinni. Nýtt starfsfólk kemur inn, notendur fá breytt hlutverk, nýjar þjónustur tengjast kerfinu og árásaraðferðir þróast. Regluleg yfirferð á innskráningum, stjórnendaréttindum, deilingum og öryggisviðvörunum hjálpar fyrirtækinu að finna frávik áður en þau verða að atviki.

Það er líka mikilvægt að hafa skýrt ferli þegar starfsmaður hættir. Aðgangur þarf að lokast tímanlega, gögn að færast til réttra ábyrgðaraðila og sjálfvirkar framsendingar að vera yfirfarnar. Þetta er einfalt í orði, en vanræksla hér getur haldið aðgangi opnum langt eftir að ráðningarsambandi lýkur.

Fyrirtæki sem hafa ekki eigin sérfræðing til að sinna þessu daglega þurfa ekki endilega að ráða heilt teymi. Með réttri stjórnun, reglulegu eftirliti og ábyrgum rekstraraðila má halda Microsoft 365 öruggu án þess að flækja vinnudaginn. Hjá nexIT hjálpum við fyrirtækjum að meta stöðuna, laga það sem vantar og fylgja örygginu eftir svo tæknin styðji reksturinn í stað þess að verða ný áhætta.

Góð byrjun er að velja eina viku til að fara yfir MFA, stjórnendaréttindi, ytri deilingu og endurheimt. Þessi fjögur atriði gefa oft skýrasta mynd af því hvar áhættan liggur – og hvar fyrirtækið fær mest öryggi fyrir næsta vinnustund.