De vigtigste sikkerhedsindstillinger i Microsoft 365
En enkelt medarbejders konto kan åbne vejen til e-mails, kontrakter, betalingsoplysninger og delte filer for hele virksomheden. Derfor er de vigtigste sikkerhedsindstillinger i Microsoft 365 ikke kun en opgave for IT-afdelingen. De er en direkte beskyttelse af virksomhedens drift, omdømme og evne til at fortsætte, når et angreb eller en fejl opstår.
Microsoft 365 tilbyder kraftfulde sikkerhedskontroller, men de giver kun resultater, hvis de er korrekt konfigureret, overvåget og passer til virksomhedens arbejdsgange. For strenge regler kan stoppe normalt arbejde. For åbne regler gør angribere livet let. Målet er at reducere risikoen uden at gøre det unødigt svært for medarbejderne.
Begynd med multifaktorgodkendelse
Multifaktorgodkendelse, eller MFA, er en af de mest effektive beskyttelser mod, at stjålne adgangskoder fører til indbrud. Adgangskoder lækker i databrud, bliver fanget med falske login-sider eller ender utilsigtet i de forkerte hænder. Når en bruger også skal bekræfte login med en godkendelsesapp, en sikkerhedsnøgle eller en anden faktor, er adgangskoden alene ikke nok.
MFA bør være et krav for alle brugere, men især for administratorer, finansielle teams og dem, der har adgang til følsomme data. SMS-bekræftelse er bedre end ingen beskyttelse, men godkendelsesapps eller fysiske sikkerhedsnøgler giver generelt bedre modstand mod phishing.
Denne ændring skal dog implementeres med fornuft. Medarbejdere har brug for enkle instruktioner, en defineret proces, når en telefon mistes, og support i de første uger. Ældre login-metoder, der kan omgå MFA, skal også fjernes. Ellers bliver den nye regel kun en halvhjertet beskyttelse.
Beskyt administrator konti særligt
Konti med administratorrettigheder bør ikke være de samme konti, der bruges til daglig e-mail og Teams. Hvis en sådan konto falder for phishing, kan skaden blive meget større end når en almindelig brugerkonto bliver angrebet.
Hav separate administrator konti, giv kun rettigheder til dem, der har brug for dem, og brug de stærkeste godkendelsesmetoder for dem. Gennemgå regelmæssigt, hvem der har globale administratorrettigheder, om eksterne parter stadig har brug for adgang, og om gamle servicekonti stadig er aktive. Administratorrettigheder, som ingen husker, er en almindelig risiko.
Brug betinget adgang i Microsoft 365
Betinget adgang giver virksomheden mulighed for at fastsætte regler for, hvornår og hvordan brugere må logge ind. I stedet for udelukkende at stole på brugernavn og adgangskode kan man for eksempel evaluere godkendelse med MFA, enhedens status, placering og risikomærker ved login.
En god grundregel er at kræve MFA uden for betroede undtagelser, blokere ældre godkendelsesmetoder og begrænse administratorlogins til godkendte eller kompatible enheder. Virksomheder med medarbejdere på farten eller i fjernarbejde bør især overveje, hvad der sker, når der forsøges login fra et ukendt land, på en ukontrolleret privat enhed eller via en anonym forbindelse.
Her gælder der dog ikke én regel for alle. Medarbejdere i internationale projekter kan have brug for lovlig adgang fra mange lande. Så er det mere fornuftigt at indføre risikobaserede regler og advarsler end automatisk at blokere for al udenlandsk login. Indstillingerne skal afspejle den reelle arbejdsgang, ikke kun et ønske om fuldstændig sikkerhed på papiret.
Styrk forsvaret mod phishing via e-mail
E-mail er stadig den mest almindelige vej ind i virksomheden. Falske betalingsanmodninger, en delt mappe, der ser ud til at komme fra en samarbejdspartner, eller en besked fra "direktøren" kan være nok til at få en medarbejder til at udlevere loginoplysninger eller betale en forkert regning.
I Microsoft 365 skal beskyttelse mod spam, malware og phishing konfigureres, så den tager højde for virksomhedens risiko. Aktivér beskyttelse mod forfalskning af eksterne domæner og visningsnavne, kontrol af webadresser og vedhæftede filer samt klare handlinger, når der modtages mistænkelige beskeder. Medarbejdere bør kunne indberette mistænkelig e-mail på en enkel måde, uden at skulle spekulere på, hvor de skal sende skærmbilleder hen.
Teknisk filtrering løser ikke alt. Angreb, der efterligner reel forretningskommunikation, kan slippe igennem de bedste filtre. Derfor skal betalingsprocesser også være robuste. Ændringer i bankoplysninger eller usædvanlige betalingsanmodninger bør altid bekræftes via en anden kommunikationskanal, for eksempel et opkald til et kendt nummer.
Beskyt dataene, ikke kun login
Uautoriseret adgang er ikke den eneste risiko. En medarbejder kan sende et følsomt dokument til en forkert e-mailadresse, dele en mappe for bredt eller slette data, som virksomheden senere får brug for. Korrekte indstillinger for deling i SharePoint, OneDrive og Teams er derfor meget vigtige.
Begræns anonym deling, hvis det ikke er nødvendigt, og sæt tidsbegrænsninger på adgang for eksterne parter, hvor det er relevant. Gennemgå, om alle i gamle Teams-grupper stadig har brug for at se dataene. Projekter afsluttes, samarbejdspartnere skifter rolle, og adgangslisten bliver hurtigt forældet, hvis ingen har ansvaret for den.
Datatabssikring kan også registrere eller forhindre, at følsomme oplysninger forlader virksomheden. Sådanne regler kan for eksempel reagere på kreditkortoplysninger, personlige oplysninger eller finansielle data. Start dog med overvågning og advarsler, før I lukker alt ned automatisk. På den måde kan I måle det faktiske dataflow og justere reglerne uden at stoppe lovligt arbejde.
Dataklassificering understøtter bedre beslutninger
Ikke alle dokumenter er lige følsomme. Når en virksomhed definerer enkle mærkater, for eksempel generelt, internt, fortroligt og strengt fortroligt, bliver det lettere at anvende den rette beskyttelse. Kryptering, begrænsning af videresendelse eller krav om særlig behandling kan anvendes på dokumenter, der indeholder følsomme data.
Dette fungerer bedst, når klassificeringen er enkel og knyttet til reelle arbejdsprocesser. Hvis medarbejderne skal vælge mellem dusinvis af kategorier ved hver registrering, vil systemet blive ignoreret. Få, klare regler giver større succes.
Hold enhederne under kontrol
En sikker Microsoft 365-installation rækker ikke langt, hvis login sker fra en uopdateret bærbar computer, der mangler kryptering eller klar adgangskontrol. Enheder, der opretter forbindelse til virksomhedsdata, skal være registreret, opdateret og have grundlæggende beskyttelse på plads.
Indfør krav om skærmlås, diskkryptering, operativsystemopdateringer og beskyttelse mod malware. Betinget adgang kan derefter begrænse adgangen til virksomhedsdata fra enheder, der ikke opfylder disse krav. For nogle virksomheder er det korrekt at tillade private enheder med begrænset adgang. For andre, især hvor der arbejdes med følsomme data, er det mere fornuftigt at kræve styrede virksomhedsenheder.
Sørg for backup, opbevaring og gendannelse
Papirkurven og opbevaring i Microsoft 365 er nyttige, men de er ikke det samme som en omfattende backup- og gendannelsesplan. Forkerte sletninger, beskadigede synkroniseringer, ondsindet kryptering eller krav om opbevaring kan kræve hurtig og præcis gendannelse af data.
Definer, hvilke data der skal kunne gendannes, hvor hurtigt det skal ske, og hvem der bærer ansvaret, når noget går galt. Test gendannelsen regelmæssigt. En backup, der aldrig er blevet testet, er et håb, ikke driftssikkerhed.
Der skal også defineres opbevaringsregler for e-mails, dokumenter og kommunikation. Nogle virksomheder skal opbevare oplysninger på grund af aftaler, love eller intern sporbarhed. Andre skal slette data efter en bestemt periode for at mindske risikoen. Det rette svar afhænger af virksomhedens drift, kontraktlige forpligtelser og de data, der arbejdes med.
Overvåg mærkaterne og revider reglerne
Sikkerhedsindstillinger er ikke en opgave, der afsluttes én gang. Nyt personale kommer til, brugere får ændrede roller, nye tjenester tilsluttes systemet, og angrebsmetoder udvikles. Regelmæssig gennemgang af logins, administratorrettigheder, delinger og sikkerhedsadvarsler hjælper virksomheden med at finde afvigelser, før de bliver til en hændelse.
Det er også vigtigt at have en klar proces, når en medarbejder stopper. Adgang skal lukkes rettidigt, data skal overføres til de rette ansvarlige, og automatiske videresendelser skal gennemgås. Dette er simpelt i teorien, men forsømmelse her kan holde adgangen åben længe efter, at ansættelsesforholdet er ophørt.
Virksomheder, der ikke har deres egen specialist til at håndtere dette dagligt, behøver ikke nødvendigvis at ansætte et helt team. Med den rette styring, regelmæssig overvågning og en ansvarlig driftsoperatør kan Microsoft 365 holdes sikkert uden at komplicere arbejdsdagen. Hos nexIT hjælper vi virksomheder med at vurdere situationen, rette det, der mangler, og følge op på sikkerheden, så teknologien understøtter driften i stedet for at blive en ny risiko.
En god start er at vælge en uge til at gennemgå MFA, administratorrettigheder, ekstern deling og gendannelse. Disse fire punkter giver ofte det tydeligste billede af, hvor risikoen ligger – og hvor virksomheden får mest sikkerhed for den næste arbejdstime.
