Microsoft 365 jest dziś dla wielu małych i średnich firm podstawowym środowiskiem pracy: poczta, Teams, pliki w OneDrive i SharePoint oraz konta użytkowników działają w jednym ekosystemie. To wygodne, ale oznacza też, że przejęcie jednego konta może otworzyć napastnikowi dostęp do dużej części firmowych danych.
Bezpieczeństwo Microsoft 365 nie sprowadza się więc do ustawienia mocnego hasła. Potrzebna jest konfiguracja, która ogranicza skutki phishingu, błędów użytkowników i nieautoryzowanego dostępu. Poniżej przedstawiamy dziewięć praktycznych obszarów, które warto sprawdzić w każdej firmie korzystającej z Microsoft 365.
1. Włącz MFA dla wszystkich użytkowników
Uwierzytelnianie wieloskładnikowe (MFA) jest jednym z najważniejszych zabezpieczeń kont. Nawet jeśli hasło pracownika zostanie wyłudzone, napastnik nadal musi przejść drugi etap logowania.
W praktyce warto objąć MFA wszystkich użytkowników, a szczególnie rygorystycznie konta administracyjne. Dobrze też preferować aplikację uwierzytelniającą lub metody odporne na phishing zamiast opierania ochrony wyłącznie na kodach SMS.
2. Oddziel konta administratorów od zwykłej pracy
Konto z uprawnieniami administracyjnymi nie powinno służyć do codziennego czytania poczty, przeglądania internetu czy pracy z dokumentami. Administrator powinien mieć osobne konto do czynności uprzywilejowanych i zwykłe konto użytkownika do bieżącej pracy.
To prosta zasada, która zmniejsza ryzyko, że udany phishing lub złośliwy załącznik od razu da atakującemu najwyższe uprawnienia.
3. Wyłącz niepotrzebne starsze metody uwierzytelniania
Starsze protokoły i sposoby logowania mogą omijać część nowoczesnych mechanizmów ochrony. Jeżeli firma nie korzysta z aplikacji, które rzeczywiście ich wymagają, należy ograniczyć lub wyłączyć takie metody.
Przed zmianą warto jednak zinwentaryzować urządzenia i aplikacje. Stary skaner wysyłający pocztę, system ERP albo urządzenie wielofunkcyjne może korzystać z konfiguracji, o której nikt już nie pamięta.
4. Uporządkuj dostęp po odejściu pracownika
Offboarding powinien być procedurą, a nie improwizacją. Po zakończeniu współpracy trzeba zablokować logowanie, unieważnić aktywne sesje, zabezpieczyć pocztę i pliki, usunąć lub zmienić przypisane uprawnienia oraz zdecydować, kto przejmuje dane i korespondencję.
Warto także regularnie sprawdzać nieużywane konta. Pozostawione aktywne konto byłego pracownika to niepotrzebna powierzchnia ataku i często również zbędny koszt licencji.
5. Kontroluj udostępnianie plików poza firmę
OneDrive i SharePoint ułatwiają współpracę z klientami oraz partnerami, ale link typu „każdy, kto ma link” może zostać przekazany dalej. Dlatego ustawienia udostępniania powinny odpowiadać realnym potrzebom organizacji.
Dobrą praktyką jest ograniczenie anonimowego udostępniania, stosowanie terminów wygaśnięcia linków oraz okresowy przegląd zasobów dostępnych dla użytkowników zewnętrznych.
6. Zadbaj o ochronę poczty przed phishingiem i podszywaniem się
Większość ataków na firmy nadal zaczyna się od wiadomości e-mail. Sam filtr spamu nie wystarcza. Trzeba zadbać zarówno o konfigurację ochrony w Microsoft 365, jak i o poprawne ustawienia domeny pocztowej, w tym SPF, DKIM i DMARC.
Warto też zwrócić uwagę na scenariusze podszywania się pod zarząd, księgowość lub kontrahenta. Wiadomość „zmieniliśmy numer rachunku” albo „proszę pilnie kupić karty podarunkowe” nie musi zawierać żadnego złośliwego załącznika, aby spowodować realną stratę.
7. Nie traktuj Microsoft 365 jako jedynego backupu
Mechanizmy retencji, kosz i historia wersji są bardzo przydatne, ale nie należy automatycznie utożsamiać ich z niezależną kopią zapasową. Firma powinna świadomie określić, jakie dane trzeba odtworzyć po przypadkowym usunięciu, błędzie użytkownika, incydencie bezpieczeństwa albo celowym skasowaniu informacji.
Jeżeli ciągłość działania zależy od poczty, OneDrive, SharePoint czy Teams, warto rozważyć niezależny backup Microsoft 365 i regularnie testować odtwarzanie danych. Kopia, której nigdy nie próbowano odtworzyć, daje jedynie pozorne poczucie bezpieczeństwa.
8. Monitoruj logowania i nietypową aktywność
Incydent bezpieczeństwa rzadko zaczyna się od komunikatu „konto zostało przejęte”. Sygnałem może być logowanie z nietypowej lokalizacji, nagła zmiana reguł skrzynki pocztowej, masowe pobieranie plików albo nietypowe działania administracyjne.
Dlatego monitoring powinien obejmować nie tylko serwery i sieć lokalną, ale również usługi chmurowe. Ważne jest przy tym ustalenie, kto reaguje na alert i w jakim czasie. Alert bez procesu obsługi nie rozwiązuje problemu.
9. Stosuj zasadę najmniejszych uprawnień
Użytkownik powinien mieć dostęp tylko do danych i funkcji potrzebnych do wykonywania swojej pracy. Dotyczy to SharePointa, skrzynek współdzielonych, grup, aplikacji oraz ról administracyjnych.
Uprawnienia z czasem narastają: pracownik zmienia dział, uczestniczy w projekcie, dostaje tymczasowy dostęp i nikt później go nie odbiera. Dlatego przegląd dostępów warto wykonywać cyklicznie, a nie dopiero po incydencie.
Bezpieczny Microsoft 365 to proces, nie jednorazowa konfiguracja
Największym błędem jest założenie, że po uruchomieniu Microsoft 365 temat bezpieczeństwa został zamknięty. Zmieniają się pracownicy, urządzenia, aplikacje, uprawnienia i metody ataków. Konfigurację trzeba więc regularnie przeglądać, a najważniejsze zdarzenia monitorować.
Dla małej lub średniej firmy nie oznacza to konieczności budowania rozbudowanego działu bezpieczeństwa. Znacznie ważniejsze są właściwe priorytety: MFA, porządek w kontach i uprawnieniach, ochrona poczty, kontrola udostępniania, backup oraz sprawny proces reakcji na incydenty.
Potrzebujesz uporządkować Microsoft 365 w swojej firmie?
SmartLan pomaga firmom w administracji Microsoft 365, bezpieczeństwie, backupie i bieżącej obsłudze IT. Jeśli chcesz sprawdzić konfigurację swojej organizacji i ograniczyć najważniejsze ryzyka, skontaktuj się ze SmartLan.
Zdjęcie: Ed Hardie / Unsplash.