Najważniejsze ustawienia bezpieczeństwa w Microsoft 365

Konto jednego pracownika może otworzyć dostęp do poczty e-mail, umów, informacji o płatnościach i wspólnych plików całej firmy. Dlatego najważniejsze ustawienia bezpieczeństwa Microsoft 365 to nie tylko zadanie dla działu IT. Są one bezpośrednią ochroną działalności, reputacji i zdolności firmy do kontynuowania pracy w przypadku ataku lub błędu.

Microsoft 365 oferuje potężne mechanizmy kontroli bezpieczeństwa, ale przynoszą one korzyści tylko wtedy, gdy są prawidłowo skonfigurowane, monitorowane i dopasowane do sposobu pracy firmy. Zbyt restrykcyjne zasady mogą zakłócić normalną pracę. Zbyt otwarte zasady ułatwiają życie atakującym. Celem jest zmniejszenie ryzyka bez niepotrzebnego utrudniania pracy personelowi.

Zacznij od uwierzytelniania wieloskładnikowego

Uwierzytelnianie wieloskładnikowe, czyli MFA, jest jedną z najskuteczniejszych metod ochrony przed włamaniami spowodowanymi kradzieżą haseł. Hasła wyciekają w wyniku naruszeń danych, są przechwytywane przez fałszywe strony logowania lub przypadkowo trafiają w niepowołane ręce. Kiedy użytkownik musi dodatkowo potwierdzić logowanie za pomocą aplikacji uwierzytelniającej, klucza bezpieczeństwa lub innego czynnika, samo hasło nie wystarcza.

MFA powinno być wymagane dla wszystkich użytkowników, a w szczególności dla administratorów, zespołów finansowych i tych, którzy mają dostęp do wrażliwych danych. Weryfikacja SMS jest lepsza niż brak ochrony, ale aplikacje uwierzytelniające lub fizyczne klucze bezpieczeństwa zazwyczaj zapewniają lepszą odporność na phishing.

Należy jednak wdrożyć tę zmianę w sposób przemyślany. Personel potrzebuje prostych instrukcji, określonej procedury na wypadek zgubienia telefonu oraz wsparcia w pierwszych tygodniach. Należy również usunąć starsze metody logowania, które mogą omijać MFA. W przeciwnym razie nowa zasada będzie tylko połowiczną ochroną.

Chroń konta administratorów w szczególności

Konta z uprawnieniami administratora nie powinny być tymi samymi kontami, których używa się do codziennej poczty e-mail i Teams. Jeśli takie konto padnie ofiarą phishingu, szkody mogą być znacznie większe niż w przypadku ataku na zwykłe konto użytkownika.

Używaj oddzielnych kont administratora, nadawaj uprawnienia tylko tym, którzy ich potrzebują, i stosuj dla nich najsilniejsze metody uwierzytelniania. Regularnie sprawdzaj, kto ma globalne uprawnienia administratora, czy zewnętrzni podmioty nadal potrzebują dostępu i czy stare konta usługowe są nadal aktywne. Uprawnienia administratora, o których nikt nie pamięta, stanowią powszechne ryzyko.

Używaj dostępu warunkowego w Microsoft 365

Dostęp warunkowy umożliwia firmie ustalanie zasad dotyczących tego, kiedy i w jaki sposób użytkownicy mogą się logować. Zamiast polegać wyłącznie na nazwie użytkownika i haśle, można ocenić na przykład uwierzytelnianie za pomocą MFA, stan urządzenia, lokalizację i wskaźniki ryzyka podczas logowania.

Dobrą zasadą jest wymaganie MFA poza zaufanymi wyjątkami, blokowanie starszych metod uwierzytelniania i ograniczanie logowań administratorów do zatwierdzonych lub zgodnych urządzeń. Firmy z pracownikami w podróży lub pracującymi zdalnie powinny szczególnie rozważyć, co się stanie, gdy ktoś spróbuje zalogować się z nieznanego kraju, na niezarządzanym urządzeniu prywatnym lub przez anonimowe połączenie.

Jednak tutaj nie ma jednej zasady dla wszystkich. Pracownicy zaangażowani w międzynarodowe projekty mogą potrzebować legalnego dostępu z wielu krajów. W takim przypadku rozsądniejsze jest ustalenie zasad opartych na ryzyku i ostrzeżeń niż automatyczne blokowanie wszystkich zagranicznych logowań. Ustawienia muszą odzwierciedlać rzeczywisty sposób pracy, a nie tylko życzenie idealnego bezpieczeństwa na papierze.

Wzmocnij obronę przed phishingiem w poczcie elektronicznej

Poczta elektroniczna jest nadal najczęstszą drogą do firmy. Fałszywe prośby o płatność, udostępniony plik wyglądający na pochodzący od partnera lub wiadomość od „dyrektora generalnego” mogą wystarczyć, aby skłonić pracownika do podania danych logowania lub zapłacenia fałszywego rachunku.

W Microsoft 365 należy skonfigurować ochronę przed spamem, złośliwym oprogramowaniem i phishingiem, aby uwzględniała ryzyko firmy. Włącz ochronę przed fałszowaniem domen zewnętrznych i nazw wyświetlanych, analizę adresów URL i załączników oraz jasne działania w przypadku otrzymania podejrzanych wiadomości. Pracownicy powinni mieć możliwość łatwego zgłaszania podejrzanych wiadomości e-mail, bez konieczności zastanawiania się, dokąd wysłać zrzut ekranu.

Filtrowanie techniczne nie rozwiązuje wszystkiego. Ataki naśladujące rzeczywistą komunikację biznesową mogą przejść przez najlepsze filtry. Dlatego procesy płatności również muszą być solidne. Zmianę danych bankowych lub nietypową prośbę o płatność należy zawsze potwierdzić innym kanałem komunikacji, na przykład telefonicznie pod znanym numerem.

Chroń dane, nie tylko logowanie

Nieautoryzowany dostęp nie jest jedynym ryzykiem. Pracownik może wysłać poufny dokument na niewłaściwy adres e-mail, udostępnić folder zbyt szeroko lub usunąć dane, których firma będzie potrzebować później. Dlatego właściwe ustawienia udostępniania w SharePoint, OneDrive i Teams mają kluczowe znaczenie.

Ogranicz anonimowe udostępnianie, jeśli nie jest to konieczne, i ustaw terminy dostępu dla stron trzecich, tam gdzie ma to zastosowanie. Sprawdź, czy wszyscy członkowie starych grup Teams nadal potrzebują dostępu do danych. Projekty się kończą, partnerzy zmieniają role, a lista dostępu szybko staje się nieaktualna, jeśli nikt za nią nie odpowiada.

Ochrona przed utratą danych może również wykrywać lub blokować wyciek poufnych informacji poza firmę. Takie zasady mogą na przykład reagować na dane kart płatniczych, dane osobowe lub dane finansowe. Zacznij jednak od monitorowania i ostrzeżeń, zanim w pełni zablokujesz wszystko. W ten sposób można zmierzyć rzeczywisty przepływ danych i dostosować zasady bez przerywania legalnej pracy.

Klasyfikacja danych wspiera lepsze decyzje

Nie wszystkie dokumenty są równie wrażliwe. Kiedy firma definiuje proste etykiety, na przykład ogólne, wewnętrzne, poufne i ściśle poufne, łatwiej jest zastosować odpowiednią ochronę. Można zastosować szyfrowanie, ograniczyć przekazywanie lub wymagać specjalnego traktowania dokumentów zawierających wrażliwe dane.

Działa to najlepiej, gdy klasyfikacja jest prosta i powiązana z rzeczywistymi procesami pracy. Jeśli pracownicy muszą wybierać spośród kilkudziesięciu kategorii przy każdym wpisie, system zostanie zignorowany. Niewiele jasnych zasad przynosi lepsze rezultaty.

Miej urządzenia pod kontrolą

Bezpieczna konfiguracja Microsoft 365 nie wystarczy, jeśli logowanie odbywa się z nieaktualnego laptopa, który nie ma szyfrowania ani wyraźnej kontroli dostępu. Urządzenia łączące się z danymi firmowymi muszą być zarejestrowane, aktualne i mieć podstawową ochronę na odpowiednim poziomie.

Ustaw wymagania dotyczące blokady ekranu, szyfrowania dysku, aktualizacji systemu operacyjnego i ochrony przed złośliwym oprogramowaniem. Dostęp warunkowy może następnie ograniczyć dostęp do danych firmowych z urządzeń, które nie spełniają tych wymagań. Dla niektórych firm właściwe jest zezwolenie na urządzenia osobiste z ograniczonym dostępem. Dla innych, zwłaszcza tam, gdzie przetwarza się wrażliwe dane, rozsądniej jest wymagać zarządzanych urządzeń firmowych.

Zapewnij kopie zapasowe, przechowywanie i odzyskiwanie

Kosz i przechowywanie w Microsoft 365 są przydatne, ale nie zastępują kompleksowego planu tworzenia kopii zapasowych i odzyskiwania. Błędne usunięcia, uszkodzone synchronizacje, złośliwe szyfrowanie lub wymagania dotyczące przechowywania mogą wymagać szybkiego i dokładnego odzyskania danych.

Określ, jakie dane muszą być możliwe do odzyskania, jak szybko musi się to odbyć i kto ponosi odpowiedzialność, gdy coś pójdzie nie tak. Regularnie testuj odzyskiwanie. Kopia zapasowa, która nigdy nie została przetestowana, to nadzieja, a nie bezpieczeństwo operacyjne.

Należy również określić zasady przechowywania poczty e-mail, dokumentów i komunikacji. Niektóre firmy muszą przechowywać informacje ze względu na umowy, przepisy prawa lub wewnętrzny ślad audytowy. Inne muszą usuwać dane po określonym czasie, aby zmniejszyć ryzyko. Właściwa odpowiedź zależy od działalności, zobowiązań umownych i danych, z którymi się pracuje.

Monitoruj etykiety i przeglądaj zasady

Ustawienia bezpieczeństwa nie są zadaniem jednorazowym. Przychodzą nowi pracownicy, użytkownicy zmieniają role, nowe usługi są podłączane do systemu, a metody ataków ewoluują. Regularne przeglądy logowań, uprawnień administratora, udostępnień i alertów bezpieczeństwa pomagają firmie znaleźć anomalie, zanim staną się incydentem.

Ważne jest również, aby mieć jasny proces na wypadek odejścia pracownika. Dostęp musi zostać zamknięty na czas, dane przekazane właściwym osobom odpowiedzialnym, a automatyczne przekierowania sprawdzone. Jest to proste w teorii, ale zaniedbanie w tym zakresie może spowodować, że dostęp pozostanie otwarty długo po zakończeniu stosunku pracy.

Firmy, które nie mają własnego specjalisty do codziennego zajmowania się tym, nie musząkoniecznie zatrudniać całego zespołu. Przy odpowiednim zarządzaniu, regularnym nadzorze i odpowiedzialnym administratorze można utrzymać bezpieczeństwo Microsoft 365 bez komplikowania dnia pracy. W nexIT pomagamy firmom ocenić sytuację, naprawić braki i monitorować bezpieczeństwo, aby technologia wspierała działalność, zamiast stawać się nowym ryzykiem.

Dobrym początkiem jest wybranie jednego tygodnia na przegląd MFA, uprawnień administratora, udostępniania zewnętrznego i odzyskiwania danych. Te cztery elementy często dają najjaśniejszy obraz tego, gdzie leży ryzyko – i gdzie firma uzyska najwięcej bezpieczeństwa za następną godzinę pracy.