Microsoft 365 dla firm: od czego zacząć wdrożenie?
Dla małych i średnich firm Microsoft 365 nie powinien zaczynać się od zakupu licencji. Powinien zaczynać się od odpowiedzi na znacznie ważniejsze pytanie: jak ma wyglądać środowisko pracy organizacji, kto ma mieć dostęp do danych, z jakich urządzeń, na jakich zasadach i jak firma będzie reagować, gdy coś pójdzie nie tak?
Dopiero później przychodzi czas na wybór licencji, migrację poczty, konfigurację Microsoft Teams, SharePoint i OneDrive, zabezpieczenie tożsamości, urządzeń oraz danych. Niestety wiele firm tak nie robi przez co jest duże niezrozumienie w przypadku incydentów bezpieczeństwa i mylnej świadomości, że przecież Microsoft miał nas ochronić a licencje jakie mieliśmy to tylko Business Basic lub Standard.
W Security Masters patrzymy na Microsoft 365 właśnie w taki sposób. Nie jako na pakiet Office z pocztą, ale jako na centralne cyfrowe środowisko pracy organizacji , w którym znajdują się użytkownicy, komunikacja, dokumenty, urządzenia, dane biznesowe i mechanizmy bezpieczeństwa.
Jeżeli firma jest na początku tej drogi, rekomendowana kolejność wygląda następująco:
- Poznać stan obecny (Audyt/Ocena): użytkowników, pocztę, domeny, dane, urządzenia, uprawnienia i obecne zabezpieczenia
- Zaprojektować środowisko docelowe: zanim zaczniemy cokolwiek migrować.
- Dobrać licencje do rzeczywistych potrzeb i ryzyka , a nie odwrotnie.
- Zaplanować migrację poczty i danych bez przenoszenia starego chaosu do nowego środowiska lub tworzenie od nowa w zależności od tego w jakim miejscu jest organizacja. W przypadku działających już środowiska Audyt i realizacja planu naprawczego.
- Zabezpieczyć tożsamość, urządzenia, pocztę i dane od pierwszego dnia.
- Przygotować użytkowników i dział IT do aktualnego sposobu pracy.
- Po wdrożeniu rozwijać i monitorować środowisko, ponieważ Microsoft 365 nie jest projektem jednorazowym i nigdy nie będzie, wymaga prac rozwojowych, aktualizacyjnych jak każde inne rozwiązanie IT. To nie jest zamknięty pudełko tylko żywy organizm, który trzeba też monitorować, badań, naprawiać
To podejście wynika nie tylko z dobrych praktyk. Wynika przede wszystkim z doświadczeń zdobytych przez nas podczas wdrożeń, audytów Microsoft 365 oraz obsługi rzeczywistych incydentów bezpieczeństwa.
Czym jest Microsoft 365 w kontekście firmowego środowiska pracy
Dla użytkownika Microsoft 365 to najczęściej Outlook, Word, Excel, PowerPoint, Teams i OneDrive. Z biznesowego punktu widzenia jest to jednak znacznie więcej.
Microsoft 365 jest dziś platformą, na której może działać znaczna część organizacji.
Microsoft Exchange Online odpowiada za pocztę i kalendarze. Microsoft Teams za komunikację i współpracę. SharePoint Online przechowuje wiedzę i dane zespołowe. OneDrive zapewnia użytkownikom przestrzeń roboczą. Microsoft Entra ID zarządza tożsamością i dostępem. Microsoft Intune pozwala zarządzać urządzeniami. Microsoft Defender odpowiada za wiele elementów ochrony przed zagrożeniami, a Microsoft Purview wspiera ochronę i klasyfikację informacji.
Te elementy nie działają w oderwaniu od siebie.
Konto jednego pracownika może umożliwiać dostęp do poczty, Teams, dokumentów SharePoint, OneDrive, aplikacji biznesowych i innych usług powiązanych z Entra ID. Komputer pracownika może zawierać dostęp do danych kilku działów. Skrzynka członka Zarządu może zawierać informacje finansowe, umowy, korespondencję z klientami i dane wymagające szczególnej ochrony.
Dlatego bezpieczeństwo Microsoft 365 bezpośrednio wpływa na bezpieczeństwo całej firmy.
To jedna z najważniejszych zmian w sposobie myślenia o tej platformie.
Jeszcze kilka lat temu wdrożenie Microsoft 365 mogło kojarzyć się przede wszystkim z migracją poczty i pakietem Office. Dziś organizacja buduje cyfrowe środowisko pracy obejmujące tożsamość, urządzenia, dane, komunikację, współpracę, bezpieczeństwo oraz procesy związane z dostępem.
Właśnie dlatego pytanie „jaki pakiet Microsoft 365 kupić?” powinno pojawić się dopiero po pytaniu:
„Jakiej architektury pracy i bezpieczeństwa potrzebuje nasza organizacja?”
Microsoft 365 powinien być projektowany jako jeden ekosystem
W Security Masters dzielimy ten ekosystem na kilka połączonych ze sobą obszarów.
- Pierwszym jest tożsamość. To użytkownicy, administratorzy, konta serwisowe, uwierzytelnianie, MFA, Conditional Access oraz sposób nadawania i odbierania uprawnień.
- Drugim są urządzenia. Komputery i telefony muszą być odpowiednio skonfigurowane, aktualizowane i zarządzane. W środowiskach wykorzystujących Microsoft Intune możemy centralnie wdrażać polityki bezpieczeństwa, aplikacje i zasady zgodności urządzeń.
- Trzecim są dane i współpraca. Teams, SharePoint i OneDrive muszą mieć określonych właścicieli, zasady udostępniania oraz logiczną strukturę.
- Czwartym jest bezpieczeństwo — ochrona poczty, kont, urządzeń i informacji oraz zdolność organizacji do wykrycia incydentu i odpowiedniej reakcji.
Jeżeli każdy z tych elementów jest wdrażany osobno, bez jednej architektury, firma może mieć wiele nowoczesnych produktów i jednocześnie nadal posiadać poważne luki organizacyjne i bezpieczeństwa.
Dla jakich firm Microsoft 365 będzie najlepszym wyborem
Microsoft 365 sprawdza się szczególnie dobrze w firmach, które chcą mieć pocztę, dokumenty, komunikację, współpracę, urządzenia i zarządzanie użytkownikami w jednym ekosystemie.
Nie oznacza to jednak, że jest rozwiązaniem wyłącznie dla dużych przedsiębiorstw.
Największą zmianę widzimy często w organizacjach, które wyrosły z prostego modelu IT.
Na początku firmy poczta może znajdować się u zewnętrznego dostawcy hostingu. Dokumenty leżą na dysku sieciowym. Dostępy przydziela się ręcznie. Komputery konfiguruje się pojedynczo. Użytkownicy przesyłają sobie dokumenty jako załączniki.Przy kilku czy kilkunastu osobach taki model może jeszcze działać.
Następnie firma rośnie, pojawiają się kolejne działy, nowe urządzenia, pracownicy zdalni, współpracownicy zewnętrzni, nowe projekty i coraz większa liczba danych.
Ktoś odchodzi z organizacji i trzeba szybko odebrać mu dostęp. Ktoś chce pracować z telefonu. Dział finansowy otrzymuje wiadomość wyglądającą jak korespondencja od prawdziwego kontrahenta. Klient zaczyna pytać o MFA, backup, ochronę informacji albo zgodność z wymaganiami bezpieczeństwa.
Wtedy prosty model przestaje wystarczać. Dobrze zaprojektowany Microsoft 365 pozwala stopniowo uporządkować te obszary, a i nie każda firma musi jednak od razu wdrażać najbardziej rozbudowane mechanizmy.
W Security Masters jesteśmy zwolennikami budowania bezpieczeństwa etapami. Najpierw tworzymy stabilny fundament. Kolejne technologie wdrażamy wtedy, gdy rozwiązują rzeczywisty problem biznesowy albo ograniczają konkretne ryzyko.
Dla wielu małych i średnich organizacji bardzo dobrym punktem wyjścia może być Microsoft 365 Business Premium. W naszym modelu bezpieczeństwa, zależnie od poziomu ryzyka i potrzeb organizacji, architektura może zostać rozszerzona m.in. o Microsoft Entra ID Plan 2, uwierzytelnianie odporne na phishing z wykorzystaniem sprzętowych kluczy bezpieczeństwa oraz dodatkową warstwę ochrony poczty. W bardziej wymagających środowiskach rozwijamy architekturę dalej, wykorzystując możliwości wyższych planów Microsoft 365.
Kluczowa zasada pozostaje jednak taka sama: licencja powinna wynikać z architektury i potrzeb organizacji, a nie architektura z przypadkowo kupionej licencji.
Jakie obszary trzeba zaplanować przed wdrożeniem?
Dobre wdrożenie Microsoft 365 zaczyna się od poznania obecnego środowiska.
Zanim utworzymy pierwszą politykę Conditional Access, przeniesiemy pierwszą skrzynkę albo stworzymy pierwszą witrynę SharePoint, chcemy wiedzieć, jak firma funkcjonuje dzisiaj.
Jak wygląda poczta? Gdzie znajdują się dokumenty? Ile jest domen? Kto ma uprawnienia administratora? Czy istnieją konta byłych pracowników? Jak działa praca zdalna? Jakie urządzenia mają dostęp do danych? Które informacje są krytyczne dla działalności organizacji?
Dopiero wtedy można odpowiedzialnie zaprojektować środowisko docelowe.
Poczta i domena
Poczta elektroniczna jest jednym z najbardziej krytycznych elementów środowiska firmy i jednocześnie jednym z najczęściej wykorzystywanych kanałów ataku.
Dlatego migracja do Exchange Online nie powinna polegać tylko na skopiowaniu wiadomości ze starej skrzynki do nowej.
Przed migracją analizujemy domeny, rekordy DNS, użytkowników, aliasy, skrzynki współdzielone, grupy, delegacje, przekierowania, archiwa oraz aplikacje korzystające z poczty.
Szczególnej uwagi wymagają mechanizmy odpowiedzialne za ochronę domeny i wiarygodność poczty m.in. SPF, DKIM oraz DMARC.
Równie ważny jest sam scenariusz migracji.
Przeniesienie kilku prostych kont z hostingu jest zupełnie innym projektem niż migracja z lokalnego Exchange, środowiska wielodomenowego albo organizacji posiadającej duże archiwa i skomplikowane uprawnienia.
Trzeba ustalić moment przełączenia, plan awaryjny, sposób postępowania z historyczną pocztą oraz wsparcie dla pracowników w pierwszych godzinach i dniach po zmianie.
Poczta powinna być także zabezpieczona od początku. Ochrona przed phishingiem, kontrola załączników i linków, ograniczenie niebezpiecznych przekierowań oraz możliwość szybkiego zgłaszania podejrzanych wiadomości nie powinny być projektem odkładanym na później.
W części projektów stosujemy dodatkową warstwę zabezpieczenia poczty poza mechanizmami dostępnymi standardowo w Microsoft 365. Decyzja o jej zastosowaniu wynika jednak z analizy ryzyka i architektury konkretnego klienta.
Jeżeli firma planuje zmianę obecnego systemu pocztowego, osobnym etapem powinno być przygotowanie migracji do Microsoft 365.
Pliki, OneDrive, SharePoint i Teams
Jednym z najczęstszych błędów jest potraktowanie migracji plików jak zwykłego kopiowania danych.
Firma posiada przez wiele lat serwer plików. Znajdują się na nim stare projekty, foldery po byłych pracownikach, kopie dokumentów, katalogi bez właściciela oraz uprawnienia nadawane doraźnie przez wiele lat.
Technicznie można przenieść wszystko, tylko po co przenosić cały stary problem do nowego środowiska?
Przed migracją danych warto zdecydować, które informacje pozostają aktywne, które powinny zostać zarchiwizowane, kto jest ich właścicielem i kto rzeczywiście powinien mieć do nich dostęp.
Istotne jest również zrozumienie różnicy między usługami.
- OneDrive jest przede wszystkim przestrzenią roboczą konkretnego użytkownika.
- SharePoint Online powinien przechowywać dane zespołowe i firmowe, które nie mogą zależeć od konta jednego pracownika.
- Microsoft Teams jest warstwą komunikacji i współpracy, wykorzystującą m.in. SharePoint do przechowywania dokumentów.
Brak tej architektury bardzo szybko prowadzi do sytuacji, w której ta sama informacja znajduje się w kilku miejscach, a organizacja nie wie, która wersja jest aktualna ani kto posiada do niej dostęp.
Dlatego podczas wdrożenia warto zaplanować strukturę SharePoint, model uprawnień, zasady tworzenia Teams, właścicieli przestrzeni, udostępnianie zewnętrzne oraz cykl życia zespołów i danych.
Przy bardziej wymagających organizacjach dochodzi klasyfikacja informacji, etykiety poufności, DLP, retencja oraz ograniczenia związane z pobieraniem danych czy pracą na urządzeniach niezaufanych.
Trzeba również oddzielić synchronizację danych od kopii zapasowej Microsoft 365. To dwa różne zagadnienia. Organizacja powinna mieć świadomie określony model odzyskiwania danych i wiedzieć, co stanie się po przypadkowym skasowaniu, celowym usunięciu albo incydencie bezpieczeństwa.
Bezpieczeństwo i tożsamość w MS365
Tożsamość użytkownika jest dziś cyfrowym kluczem do firmy.
Konto w Microsoft Entra ID może otwierać dostęp do poczty, dokumentów, Teams, SharePoint, OneDrive oraz aplikacji biznesowych.
Dlatego ochrona tożsamości jest jednym z pierwszych obszarów, które projektujemy.
Podstawą jest MFA, ale współczesne podejście do bezpieczeństwa nie może kończyć się wyłącznie na włączeniu dodatkowego składnika uwierzytelniania.
W zależności od środowiska wykorzystujemy również Conditional Access, osobne konta administracyjne, ograniczenie uprawnień, konta awaryjne Break Glass, analizę ryzyka logowań oraz dla wybranych użytkowników i administratorów — metody uwierzytelniania odporne na phishing.
Dostęp powinien być oceniany w kontekście użytkownika, urządzenia, aplikacji, lokalizacji i ryzyka.
To właśnie tutaj zaczyna się praktyczne podejście do modelu Zero Trust: nie zakładamy automatycznie, że każde logowanie jest bezpieczne tylko dlatego, że użytkownik zna hasło.
Nasze doświadczenia z incydentów pokazują, dlaczego ma to znaczenie.
W jednym z obsługiwanych przez Security Masters przypadków cyberprzestępca wykorzystał przejętą skrzynkę zaufanego partnera biznesowego do wysłania phishingu wyglądającego jak legalna korespondencja. Część wiadomości została wykryta przez Microsoft Defender, pozostałe zatrzymała dodatkowa warstwa ochrony poczty. Jeden z użytkowników samodzielnie przywrócił jednak wiadomość z kwarantanny i ją otworzył, co uruchomiło pełną procedurę reagowania na incydent. Wieloosobowy zespół SOC i audytorów Microsoft 365 analizował następnie konfigurację, Exchange Online, aktywność użytkowników, konta administracyjne oraz potencjalne skutki zdarzenia.
W innym analizowanym przez nas środowisku, do którego zostaliśmy zaangażowani już po cyberataku, pogłębiony audyt wykazał m.in. przejęcie konta użytkownika, utworzenie reguł przekierowania poczty, dostęp do skrzynek i danych, utworzenie aplikacji oraz aktywnego tokenu OAuth i oznaki wycieku informacji. Nie wykryto przy tym aktywności malware.
To ważna lekcja: brak złośliwego pliku na komputerze nie oznacza, że środowisko Microsoft 365 nie zostało przejęte.
Właśnie dlatego bezpieczeństwo powinno być projektowane przed incydentem, a nie dopiero po nim.
Z naszych danych własnych wynika również, że od 2020 roku podczas spotkań diagnostycznych dotyczących Microsoft 365 wykryliśmy 309 aktywnych cyberataków, w których organizacje nie miały świadomości, że atak już trwa.
Jeżeli Microsoft 365 funkcjonuje w firmie od dłuższego czasu i nie ma pewności, jak jest skonfigurowany, rozsądnym punktem wyjścia jest Audyt Microsoft 365 albo przegląd konfiguracji bezpieczeństwa Microsoft 365.
Licencje i koszty - koszty związane z MS365 w Twojej firmie
Licencje są ważne, ale nie powinny rozpoczynać rozmowy o architekturze.
Najtańsza licencja nie zawsze jest najtańszym rozwiązaniem.
Jeżeli później trzeba dokupić osobne narzędzia do zarządzania urządzeniami, ochrony poczty, kontroli dostępu czy bezpieczeństwa, pozorna oszczędność bardzo szybko znika.
Z drugiej strony nie ma sensu kupować najbardziej rozbudowanego planu dla każdego użytkownika, jeżeli firma nie wykorzystuje jego możliwości.
W Security Masters dobieramy licencje do ról użytkowników, sposobu pracy, danych, do których mają dostęp, oraz poziomu ryzyka.
Inne potrzeby może mieć pracownik terenowy, inne księgowość, inne HR, inne Zarząd, a jeszcze inne administrator odpowiedzialny za całe środowisko.
W wielu projektach Microsoft 365 Business Premium jest bardzo dobrym fundamentem, ponieważ łączy środowisko pracy z funkcjami bezpieczeństwa i zarządzania urządzeniami. Nie oznacza to jednak, że jest automatycznie właściwy dla każdej firmy.
W środowiskach wymagających zaawansowanej ochrony tożsamości możemy rozszerzać architekturę o Microsoft Entra ID Plan 2. W przypadku użytkowników uprzywilejowanych i wysokiego ryzyka możemy wykorzystywać klucze bezpieczeństwa odporne na phishing. W organizacjach o bardziej złożonych wymaganiach regulacyjnych i bezpieczeństwa naturalnym kolejnym etapem mogą być rozwiązania klasy Enterprise.
Najważniejsze jest, aby najpierw określić wymagania, a później dobrać technologię.
Do budżetu należy również doliczyć nie tylko miesięczną cenę licencji, ale migrację, konfigurację, testy, dokumentację, szkolenia, backup, późniejsze utrzymanie oraz rozwój środowiska.
Dlatego doradztwo i dobór licencji Microsoft 365 powinny być elementem całego projektu, a nie osobną decyzją zakupową.
Wdrożenie samodzielnie czy z partnerem IT - co wybrać przy licencjach MS365?
Microsoft 365 można wdrożyć samodzielnie.
Przy kilku użytkownikach, prostej domenie, niewielkiej liczbie danych i podstawowych wymaganiach bezpieczeństwa część organizacji poradzi sobie z konfiguracją we własnym zakresie.
Trzeba jednak rozróżnić dwie rzeczy:
Microsoft 365, który został uruchomiony, oraz Microsoft 365, który został zaprojektowany.
W dniu migracji różnica może być niewidoczna.
Poczta działa. Teams się uruchamia. Użytkownicy mają licencje. Pliki zostały przeniesione. Problemy pojawiają się później.
Pracownik odchodzi z firmy i trzeba sprawdzić wszystkie jego dostępy. Administrator potrzebuje wyjątkowo szerokich uprawnień „na chwilę”, które pozostają na lata. Powstają kolejne zespoły w Teams. Nikt nie wie, kto odpowiada za konkretną witrynę SharePoint. Firma zatrudnia nowego pracownika i każde urządzenie przygotowuje inaczej. Zarząd pyta o poziom bezpieczeństwa, ale nikt nie ma jednego obrazu całego środowiska.
Wtedy widać, czy wdrożenie było jedynie konfiguracją usług, czy budową architektury.
Partner Microsoft 365 nie powinien być potrzebny po to, aby „przeklikać portal administracyjny”. Jego wartością powinno być doświadczenie pozwalające połączyć technologię, bezpieczeństwo i potrzeby biznesowe.
W Security Masters nasz model zaczyna się od budowy środowiska, ale nie kończy się po migracji.
- Pierwszym etapem jest bezpieczne wdrożenie Microsoft 365: analiza, architektura, konfiguracja, migracja, zabezpieczenie użytkowników, danych i urządzeń oraz przygotowanie środowiska do dalszej pracy.
- Drugim etapem jest Microsoft 365 Concierge, czyli codzienna opieka i rozwój środowiska. Nie traktujemy jej jako zwykłego helpdesku. Użytkownicy otrzymują wsparcie, lokalny dział IT dostęp do ekspertów, a Zarząd rekomendacje dotyczące dalszego rozwoju Microsoft 365.
- Trzecim etapem jest Microsoft 365 Security Operations Center, którego zadaniem jest stały monitoring zdarzeń bezpieczeństwa, analiza alertów i logów, identyfikowanie anomalii oraz rekomendowanie odpowiednich działań.
Nazywamy ten model:
Budujemy. Rozwijamy. Chronimy.
Powstał na bazie wieloletniej pracy z technologiami Microsoft oraz doświadczeń zdobytych podczas projektów, audytów i rzeczywistych incydentów bezpieczeństwa.
Założyciel Security Masters, Damian Wróblewski, posiada ponad 20-letnie doświadczenie w IT, pracował wcześniej w Microsoft w Polsce i Irlandii oraz został wyróżniony tytułem Microsoft Most Valuable Professional w obszarze Microsoft 365.
Jednocześnie nie zastępujemy lokalnego zespołu IT. Naszą rolą jest zapewnienie mu dostępu do wyspecjalizowanych kompetencji z obszarów takich jak Microsoft Entra ID, Intune, Exchange Online, Teams, SharePoint, OneDrive, Defender, Purview, architektura i cyberbezpieczeństwo Microsoft 365.
Najczęstsze błędy na starcie z MS365
Największym problemem podczas wdrożeń Microsoft 365 najczęściej nie jest brak dostępnej technologii.
Problemem jest brak architektury i pośpiech.
- Pierwszy błąd: zakup licencji przed określeniem potrzeb. Firma zaczyna od porównania Basic, Standard, Premium czy E5, zanim odpowie na pytanie, czego potrzebują użytkownicy, jakie dane trzeba chronić i jaki poziom ryzyka jest akceptowalny.
- Drugi błąd: migracja starego środowiska jeden do jednego. Wszystkie foldery, wszystkie konta, wszystkie uprawnienia i wszystkie stare przyzwyczajenia trafiają do chmury. Microsoft 365 zaczyna wyglądać nowocześniej, ale organizacyjnie nadal działa tak samo.
- Trzeci błąd: potraktowanie MFA jako całego programu bezpieczeństwa. MFA jest bardzo ważne, ale nie rozwiązuje wszystkich problemów. Trzeba kontrolować również role administracyjne, sesje, aplikacje, urządzenia, ryzyko logowania i dostęp do danych.
- Czwarty błąd: używanie kont uprzywilejowanych do codziennej pracy. Konto o wysokich uprawnieniach powinno być odpowiednio oddzielone i zabezpieczone. Przejęcie takiego konta ma nieporównywalnie większy wpływ niż przejęcie zwykłego użytkownika.
- Piąty błąd: Teams i SharePoint bez governance. Jeżeli każdy może tworzyć nowe przestrzenie bez określonych zasad, właścicieli i cyklu życia, po kilku miesiącach środowisko zaczyna generować chaos informacyjny.
- Szósty błąd: brak procesu offboardingu. Odebranie licencji nie zawsze oznacza zamknięcie wszystkich ścieżek dostępu. Organizacja powinna mieć określony proces blokowania kont, sesji, urządzeń, dostępu do danych, przekierowań i innych mechanizmów związanych z użytkownikiem.
- Siódmy błąd: brak realnego planu odzyskiwania danych. Organizacja powinna wiedzieć, jak odzyska dane po błędzie użytkownika, usunięciu, awarii albo incydencie oraz gdzie kończą się mechanizmy retencji i wersjonowania, a zaczyna potrzeba niezależnej kopii zapasowej Microsoft 365.
- Ósmy błąd: zakończenie projektu w dniu migracji. Microsoft 365 stale się zmienia. Zmieniają się również ludzie, urządzenia, procesy biznesowe i zagrożenia. Środowisko, które nie jest rozwijane, z czasem zaczyna odbiegać od potrzeb organizacji.
- Dziewiąty błąd: pominięcie użytkowników. Nawet bardzo dobrze skonfigurowana technologia nie pomoże, jeżeli pracownik przywraca z kwarantanny niebezpieczną wiadomość, nie rozumie różnicy między OneDrive i SharePoint albo udostępnia poufny dokument niewłaściwej osobie. Dlatego szkolenia są elementem bezpieczeństwa, a nie dodatkiem marketingowym.
- Dziesiąty błąd: brak jednej odpowiedzialności za całe środowisko. Jeden partner dostarcza licencje, inny migruje pocztę, jeszcze inny zabezpiecza urządzenia, a kolejny pojawia się dopiero po incydencie. Każdy odpowiada za swój fragment, ale nikt nie odpowiada za całość.
To właśnie ten ostatni problem był jednym z powodów stworzenia naszego modelu Modern Work + Security Microsoft 365.
Podsumowanie od eksperta i rekomendowane następne kroki
Microsoft 365 dla firm to znacznie więcej niż poczta, Teams i aplikacje Office.
Jest to środowisko, w którym funkcjonują tożsamości pracowników, urządzenia, komunikacja, dokumenty, dane klientów i wiele kluczowych procesów biznesowych.
Dlatego wdrożenie powinno rozpocząć się od architektury, a nie od licencji.
Jeżeli firma dopiero planuje Microsoft 365, pierwszym krokiem powinno być poznanie obecnego środowiska i przygotowanie architektury docelowej. Następnie można dobrać licencje, zaplanować migrację poczty i danych, przygotować zabezpieczenia oraz harmonogram wdrożenia.
Jeżeli firma korzysta już z Microsoft 365, ale środowisko powstawało stopniowo, warto rozpocząć od przeglądu konfiguracji. Szczególnie istotne są tożsamości, MFA, Conditional Access, administratorzy, Exchange Online, Teams, SharePoint, OneDrive, urządzenia, udostępnianie zewnętrzne, backup i logi bezpieczeństwa.
Jeżeli istnieje podejrzenie, że środowisko może mieć większą liczbę błędów albo organizacja chce poznać rzeczywisty poziom bezpieczeństwa na podstawie danych, rekomendujemy Audyt Microsoft 365.
W Security Masters audyt nie jest checklistą kilkunastu ustawień. Analizujemy konfigurację oraz logi bezpieczeństwa, identyfikujemy ryzyka i podatności, a następnie przygotowujemy rekomendacje oraz plan działań. Rozbudowany raport może zawierać ponad 200 stron szczegółowej analizy, z osobną perspektywą dla Zarządu oraz działu IT.
Jeżeli natomiast organizacja jest już gotowa na zmianę, kolejnym krokiem jest zaplanowanie wdrożenia Microsoft 365 oraz jeżeli jest potrzebna migracji do Microsoft 365.
Najważniejsze jest jednak, aby nie traktować migracji jako końca projektu.
Microsoft 365 rozwija się razem z organizacją. Pojawiają się nowi użytkownicy, urządzenia, aplikacje, dane, wymagania klientów, regulacje oraz nowe cyberzagrożenia.
Dlatego nasze podejście do Microsoft 365 można zamknąć w trzech słowach:
Budujemy. Rozwijamy. Chronimy.
- Najpierw tworzymy właściwy fundament.
- Następnie pomagamy organizacji rozwijać środowisko i wspieramy użytkowników.
- Jednocześnie monitorujemy jego bezpieczeństwo i pomagamy reagować na zagrożenia.
Bo bezpieczny Microsoft 365 nie jest produktem, który kupuje się raz.
Jest procesem, którym trzeba odpowiedzialnie zarządzać przez cały cykl życia środowiska.
Najczęściej zadawane pytania
Od czego zacząć wdrożenie Microsoft 365 w firmie?
Od analizy obecnego środowiska: użytkowników, poczty, domen, plików, urządzeń, uprawnień, zabezpieczeń i licencji. Dopiero na tej podstawie warto przygotować architekturę docelową i plan migracji.
Czy zakup licencji Microsoft 365 oznacza, że środowisko jest bezpieczne?
Nie. Licencja udostępnia określone funkcjonalności, ale poziom bezpieczeństwa zależy od ich poprawnej konfiguracji, sposobu zarządzania użytkownikami i urządzeniami, ochrony danych oraz późniejszego monitorowania środowiska.
Czy Microsoft 365 Business Premium wystarczy firmie?
Dla wielu małych i średnich organizacji może stanowić bardzo dobry fundament. Ostateczny wybór powinien jednak wynikać z liczby użytkowników, sposobu pracy, wymagań bezpieczeństwa, urządzeń, danych oraz wymagań regulacyjnych. W części środowisk potrzebne są dodatkowe rozwiązania lub wyższe plany.
Czy migracja poczty do Microsoft 365 wystarczy do wdrożenia M365?
Nie. Migracja poczty jest tylko jednym z elementów. Pełne wdrożenie może obejmować również tożsamość, Teams, SharePoint, OneDrive, urządzenia, bezpieczeństwo, backup, szkolenia i późniejszą administrację.
Czy Microsoft 365 trzeba monitorować po wdrożeniu?
Tak. Zagrożenia, użytkownicy, urządzenia i konfiguracja środowiska zmieniają się w czasie. Samo wdrożenie zabezpieczeń nie daje pełnego obrazu tego, co dzieje się później. Dlatego ważne są logi, alerty, analiza anomalii i odpowiednio przygotowany proces reagowania.
