Jak zabezpieczyć Microsoft 365 w firmie? Lista najważniejszych ustawień
W Microsoft 365 trafia zwykle wszystko, co w firmie najcenniejsze: poczta, dokumenty, dane klientów, pliki finansowe i kadrowe, rozmowy w Teams, a często także dostęp do aplikacji biznesowych. Jedno przejęte konto pracownika może więc otworzyć atakującemu drogę do dużej części organizacji. Dlatego pytanie, jak zabezpieczyć Microsoft 365, lepiej zadać sobie przed incydentem niż po nim.
Najczęstszy problem zaczyna się wtedy, gdy organizacja kupuje licencje, uruchamia pocztę, dodaje użytkowników i zakłada, że bezpieczeństwem zajął się już Microsoft.
Nie zajął się.
Microsoft odpowiada za bezpieczeństwo swojej platformy, ale to organizacja decyduje, kto ma dostęp do danych, jakie uprawnienia mają administratorzy, kiedy wymagane jest MFA, z jakich urządzeń wolno się logować, czy dokumenty można pobrać na prywatny komputer i co dzieje się z kontem po odejściu pracownika.
Dlatego konfiguracja bezpieczeństwa Microsoft 365 jest równie ważna jak sam wybór licencji.
Najważniejsza zasada
Bezpieczny Microsoft 365 nie powstaje w momencie zakupu licencji. Powstaje wtedy, gdy ktoś świadomie skonfiguruje tożsamość, dostęp, urządzenia, pocztę i dane, a potem regularnie sprawdza, czy te zabezpieczenia nadal działają tak, jak powinny.
Dla małych i średnich firm dobrym fundamentem bywa Microsoft 365 Business Premium. Pakiet zawiera m.in. Microsoft Entra ID P1 z dostępem warunkowym (Conditional Access), Microsoft Intune P1, Microsoft Defender for Business oraz Defender for Office 365 Plan 1. To, że te narzędzia są w licencji, nie oznacza jednak, że ktoś je poprawnie wdrożył.
W skrócie: jak zabezpieczyć Microsoft 365?
Poniższe zestawienie pokazuje najważniejsze obszary z dwóch perspektyw: biznesowej i technicznej.
| Obszar | Biznesowo - dla właściciela i Zarządu | Technicznie - dla IT |
|---|---|---|
| Konta i administratorzy | Ograniczamy sytuację, w której przejęcie jednego konta daje dostęp do całej firmy. Administrator nie powinien pracować codziennie na koncie z najwyższymi uprawnieniami. | Oddzielne konta administracyjne, zasada najmniejszych uprawnień (least privilege), kontrola ról, konta Break Glass, przegląd nieaktywnych kont i uprawnień. |
| MFA i dostęp warunkowy | Samo hasło nie powinno wystarczać do wejścia do firmowej poczty i danych. Firma może ograniczyć logowanie z niepożądanych krajów oraz wymagać bezpiecznego urządzenia. | MFA, Conditional Access, Named Locations, wymaganie urządzenia zgodnego z politykami Intune (compliant device), Authentication Strengths, FIDO2/YubiKey dla kont wysokiego ryzyka. |
| Poczta | Ograniczamy ryzyko phishingu, podszywania się pod kontrahentów i przejmowania płatności lub korespondencji. | SPF, DKIM, DMARC, Defender for Office 365, polityki antyphishingowe, Safe Links, Safe Attachments, kontrola przekierowań poczty i alertów. |
| Komputery i telefony | Firma wie, jakie urządzenia mają dostęp do danych i może reagować po kradzieży laptopa, odejściu pracownika albo wykryciu zagrożenia. | Microsoft Intune, zasady zgodności (compliance policies), Defender for Business, szyfrowanie, aktualizacje, konfiguracja urządzeń, ograniczenie lokalnych administratorów. |
| Dane i udostępnianie | Dokumenty finansowe, HR czy dane klientów nie powinny być dostępne dla każdego tylko dlatego, że są w SharePoint lub Teams. | Uprawnienia w SharePoint i Teams, ograniczenie udostępniania zewnętrznego, klasyfikacja informacji, etykiety poufności, DLP, kontrola linków i dostępu. |
| Backup i monitoring | Firma musi wiedzieć, jak odzyska dane i czy ktoś zauważy podejrzane zachowanie, zanim zamieni się ono w poważny incydent. | Świadoma polityka backupu i retencji, logi, alerty, monitoring Entra, Exchange, Defender i urządzeń oraz procedury reagowania. |
MFA ogranicza ryzyko, ale nie daje 100% ochrony
Microsoft od lat podaje, że MFA blokuje zdecydowaną większość prób przejęcia kont. Nie zamyka to jednak tematu. Mechanizm logowania w Microsoft Entra daje użytkownikowi obecnie około 5 minut (w praktyce nawet 10) na dokończenie logowania i w tym czasie możliwa jest kradzież sesji. Dla administratorów, Zarządu i innych kont wysokiego ryzyka warto więc rozważyć silniejsze metody, takie jak FIDO2 i sprzętowe klucze bezpieczeństwa. Równie ważne jest to, żeby ktoś na bieżąco analizował logowania: specjalista od bezpieczeństwa Microsoft 365 albo zespół SOC.
Dlaczego domyślna konfiguracja Microsoft 365 to za mało?
Microsoft 365 nie startuje zupełnie bez zabezpieczeń. Subskrypcje biznesowe korzystają z podstawowych mechanizmów ochrony, w tym z Security Defaults. To jednak poziom bazowy, który nie daje takiej elastyczności jak dobrze zaprojektowane polityki Conditional Access.
Firma zatrudniająca kilkadziesiąt osób nie powinna stosować tych samych zasad bezpieczeństwa dla recepcji, działu finansowego, Zarządu i administratorów. Każda z tych grup ma dostęp do innych danych, więc i ryzyko jest w każdej inne. Dostęp warunkowy pozwala te różnice uwzględnić:
- Dla administratora można wymagać silnego uwierzytelniania odpornego na phishing.
- Dla pracownika finansów można wymagać firmowego urządzenia zarządzanego przez Intune.
- Można blokować logowania z krajów, z których organizacja nie prowadzi działalności.
- Można ograniczać dostęp z urządzeń niespełniających firmowych polityk bezpieczeństwa.
Licencja to jeszcze nie konfiguracja
Ten problem bardzo często wychodzi podczas audytów. Firma ma Business Premium dla wszystkich pracowników, a mimo to nie korzysta z części funkcji bezpieczeństwa, za które płaci. Najczęściej wygląda to tak:
- komputery nie są zarządzane przez Intune,
- polityki Conditional Access nie zostały przygotowane,
- konta Global Administrator są używane do codziennej pracy,
- udostępnianie w SharePoint jest zbyt szerokie,
- alerty Defender nie są regularnie analizowane,
- firma nie ma spójnego procesu offboardingu.
Prosta analogia
Microsoft 365 bez konfiguracji przypomina alarm, którego nikt nie podłączył. Sprzęt wisi na ścianie, rachunek został zapłacony, a ochrony jak nie było, tak nie ma.
Najważniejsze obszary bezpieczeństwa w M365
Konta użytkowników i administratorów
Przejęcie zwykłego użytkownika jest problemem. Przejęcie administratora może być znacznie poważniejsze, ponieważ konto uprzywilejowane może pozwalać na zmianę konfiguracji, tworzenie użytkowników, nadawanie ról i modyfikowanie zabezpieczeń. Dlatego konto Global Administrator nie powinno służyć do czytania poczty, przeglądania internetu ani codziennej pracy.
Wygląda to tak: Damian pracuje na co dzień na koncie [email protected], a na osobne konto administracyjne loguje się tylko wtedy, gdy potrzebuje podwyższonych uprawnień.
Kolejny krok to ograniczenie liczby administratorów. Jeśli rolę Global Administrator ma kilka osób tylko dlatego, że „czasem coś konfigurują”, zacznij od przeglądu ról i wdrożenia zasady najmniejszych uprawnień.
W środowisku powinny też istnieć przygotowane konta awaryjne Break Glass. W bardziej wymagających organizacjach kolejnym etapem jest Microsoft Entra ID P2 i Privileged Identity Management, który nadaje uprawnienia administracyjne tylko na czas wykonania konkretnego zadania.
Biznesowo
Ograniczamy sytuację, w której jedno przejęte konto administracyjne pozwala atakującemu przejąć kontrolę nad dużą częścią firmy.
Technicznie
Oddzielamy konta, ograniczamy role, zabezpieczamy uprzywilejowanych użytkowników, przygotowujemy Break Glass i kontrolujemy zmiany uprawnień.
MFA i dostęp warunkowy
MFA to dziś absolutne minimum, ale samo stwierdzenie „mamy MFA” niewiele jeszcze mówi. Trzeba sprawdzić, jakiej metody używają pracownicy, kogo MFA faktycznie obejmuje i czy dostęp do danych zależy również od urządzenia, lokalizacji i poziomu ryzyka.
Business Premium daje dostęp do Entra ID P1, a więc również do dostępu warunkowego. Dzięki temu można zbudować politykę, która w uproszczeniu brzmi: „pracownik wchodzi do firmowych danych tylko po MFA i tylko z komputera spełniającego firmowe polityki bezpieczeństwa”.
Intune ocenia zgodność urządzenia, a Conditional Access wykorzystuje tę informację przy decyzji o dostępie. Można też przygotować polityki oparte na lokalizacji i blokować logowania z krajów, z których organizacja się ich nie spodziewa.
Dla administratorów i innych kont wysokiego ryzyka rekomendujemy pójść krok dalej i wdrożyć uwierzytelnianie odporne na phishing, np. klucze FIDO2/YubiKey.
W bardziej rozwiniętym modelu stosujemy Microsoft Entra ID P2. Entra ID Protection analizuje wtedy ryzyko związane z użytkownikiem i samym logowaniem, a polityki Conditional Access reagują na nie automatycznie, np. wymuszając zmianę hasła albo blokując dostęp.
Ochrona poczty i antyphishing
Poczta to jedno z najważniejszych miejsc w Microsoft 365. Tu trafiają faktury, prośby o zmianę numeru rachunku, dokumenty, linki do logowania i cała korespondencja z kontrahentami.
Atakujący nie potrzebuje skomplikowanej luki technicznej, jeśli może wysłać pracownikowi dobrze przygotowaną wiadomość. Dlatego ochrona poczty powinna działać warstwowo:
- Prawidłowa konfiguracja domeny: SPF, DKIM i DMARC.
- Polityki antyspamowe, antyphishingowe i ochrona przed podszywaniem się.
- Analiza linków i załączników, w tym Safe Links i Safe Attachments tam, gdzie są dostępne.
- Świadomy użytkownik, który wie, jak zgłaszać podejrzane wiadomości i czego nie robić z kwarantanną.
- Monitoring i reakcja, gdy pojawi się alert lub nietypowa aktywność.
Przykład z realnego incydentu
W jednym z incydentów obsługiwanych przez Security Masters atakujący wykorzystał przejętą skrzynkę zaufanego partnera do wysyłki phishingu. Część wiadomości zatrzymał Microsoft Defender, część dodatkowa warstwa ochrony poczty. Jeden z użytkowników przywrócił jednak wiadomość z kwarantanny i ją otworzył, a to wystarczyło, żeby uruchomić pełną procedurę analizy incydentu.
Ten przykład dobrze pokazuje, że w Microsoft 365 nie ma jednego przełącznika „włącz bezpieczeństwo”. Potrzebna jest technologia, poprawna konfiguracja, użytkownik, który wie, jak zareagować, i zespół zdolny przeanalizować zdarzenie.
Urządzenia firmowe i prywatne
Hasło i MFA mogą być w porządku, a problem i tak pozostaje, jeśli użytkownik loguje się z komputera, nad którym firma nie ma żadnej kontroli.
Microsoft Intune pozwala zarządzać urządzeniami i określać wymagania, które muszą spełniać. Z informacji o zgodności korzysta Conditional Access: jeśli komputer nie spełnia wymagań organizacji, dostęp do wybranych zasobów zostaje zablokowany. W Intune można egzekwować m.in.:
- szyfrowanie dysku,
- aktualny system operacyjny,
- ochronę antymalware/EDR,
- konfigurację Microsoft Defender,
- ograniczenie lokalnych administratorów,
- wymagany PIN i blokadę ekranu,
- dystrybucję zatwierdzonych aplikacji,
- zdalne zarządzanie urządzeniem.
Osobnym tematem są urządzenia prywatne. Firma powinna zdecydować, czy pracownik może pobierać firmowe dokumenty na prywatny komputer, synchronizować na nim OneDrive i trzymać dane firmowe w prywatnym telefonie. Brak decyzji też jest decyzją, tyle że wtedy zasady ustalają sami użytkownicy.
Dane, udostępnianie i backup
Microsoft 365 bardzo ułatwia dzielenie się dokumentami, dlatego zasady udostępniania w SharePoint, OneDrive i Teams trzeba ustalić świadomie. Warto odpowiedzieć sobie na kilka pytań:
- Kto może udostępniać pliki poza organizację?
- Czy link może działać dla każdego, kto go otrzyma?
- Jak długo dostęp zewnętrzny powinien pozostać aktywny?
- Kto jest właścicielem konkretnej witryny SharePoint?
- Co dzieje się z danymi po odejściu pracownika?
- Czy informacje poufne są klasyfikowane i chronione?
Business Premium daje dostęp do funkcji ochrony informacji, które można rozwijać w kierunku etykiet poufności i DLP. Niezależnie od tego organizacja powinna świadomie zdecydować, jak podchodzi do backupu.
OneDrive, SharePoint i Exchange mają mechanizmy retencji, wersjonowania i odzyskiwania, ale firma powinna dokładnie wiedzieć, przez jaki czas odzyska konkretny rodzaj danych i czy to jej wystarcza. Jeśli potrzebna jest niezależna kopia albo inny scenariusz odtworzenia po incydencie, backup Microsoft 365 trzeba zaprojektować jako osobny element architektury.
Minimalna checklista bezpieczeństwa Microsoft 365
Ta lista nie zastąpi audytu, ale daje dobry punkt startowy do sprawdzenia, czy w najważniejszych obszarach nie ma oczywistych luk.
| Priorytet | Co sprawdzić | Dlaczego |
|---|---|---|
| Krytyczny | MFA dla wszystkich użytkowników | Hasło nie powinno być jedynym zabezpieczeniem konta. |
| Krytyczny | Oddzielne konta administratorów | Ogranicza ryzyko przejęcia wysokich uprawnień podczas zwykłej pracy. |
| Krytyczny | Liczbę Global Administratorów | Każde nadmiarowe konto administracyjne zwiększa powierzchnię ataku. |
| Krytyczny | Konta Break Glass | Pozwalają odzyskać dostęp przy awarii lub błędnej konfiguracji polityk. |
| Wysoki | Conditional Access | Umożliwia określenie warunków dostępu zamiast polegania wyłącznie na podstawowych ustawieniach. |
| Wysoki | Ochronę administratorów FIDO2/YubiKey | Zapewnia silne uwierzytelnianie odporne na phishing dla kont wysokiego ryzyka. |
| Wysoki | Intune i compliance urządzeń | Pozwala określić, jakie urządzenia mogą uzyskać dostęp do danych. |
| Wysoki | Defender for Business | Zapewnia ochronę urządzeń i informacje o wykrytych zagrożeniach. |
| Wysoki | SPF, DKIM i DMARC | Pomagają chronić domenę i prawidłowo uwierzytelniać pocztę. |
| Wysoki | Polityki antyphishingowe | Ograniczają ryzyko dostarczenia niebezpiecznych wiadomości. |
| Wysoki | Zewnętrzne udostępnianie SharePoint/OneDrive | Pozwala sprawdzić, czy dane nie są udostępniane zbyt szeroko. |
| Wysoki | Offboarding | Po odejściu pracownika trzeba odebrać konta, sesje, urządzenia, dostęp i uprawnienia. |
| Średni | Backup i retencję | Firma powinna wiedzieć, co może odzyskać i w jakim czasie. |
| Średni | Alerty i logi bezpieczeństwa | Sam alert nie ma wartości, jeżeli nikt go nie analizuje. |
| Średni | Szkolenia pracowników | Technologia nie zatrzyma każdego błędu użytkownika. |
| Średni | Regularny przegląd konfiguracji | Środowisko, użytkownicy i usługi Microsoft zmieniają się w czasie. |
Najważniejsze
Nie traktuj tej tabeli jak 16 niezależnych checkboxów. Włączenie MFA nie zamyka tematu tożsamości, wdrożenie Intune nie oznacza automatycznie, że urządzenia są zgodne, a licencja na Defendera nie sprawi, że ktoś zacznie analizować zdarzenia. Bezpieczeństwo trzeba oceniać jako cały system.
Co warto wdrożyć w kolejnych etapach
Gdy podstawowy poziom bezpieczeństwa jest już zbudowany, środowisko można rozwijać zgodnie z ryzykiem, z jakim mierzy się organizacja.
Dla firm na Microsoft 365 Business Premium naturalnym kolejnym krokiem bywa Microsoft Entra ID P2. Daje on dostęp do Identity Protection i polityk, które reagują na ryzyko użytkownika i logowania.
Dla administratorów, Zarządu, działu finansów i innych kont wysokiego ryzyka warto wdrożyć MFA odporne na phishing, oparte na kluczach FIDO2/YubiKey. Kolejne etapy mogą obejmować:
- rozbudowane polityki Microsoft Purview,
- klasyfikację danych i etykiety poufności,
- DLP,
- dopracowanie onboardingu i offboardingu,
- dodatkową ochronę poczty,
- niezależny backup,
- regularne szkolenia użytkowników,
- monitoring bezpieczeństwa Microsoft 365,
- procedury reagowania na incydent.
Model Security Masters
Budujemy. Rozwijamy. Chronimy. Najpierw tworzymy dobrze zabezpieczone środowisko, potem rozwijamy je razem z organizacją w ramach Microsoft 365 Concierge, a jego bezpieczeństwo może być stale monitorowane przez Microsoft 365 Security Operations Center.
Kiedy zlecić audyt konfiguracji?
Audyt Microsoft 365 ma szczególnie dużo sensu, gdy firma korzysta z M365 od dłuższego czasu i nikt nie potrafi jednoznacznie powiedzieć, jak wygląda aktualna konfiguracja. Sygnały, że warto go zlecić:
- Microsoft 365 rozwijał się przez kilka lat bez jednego projektu,
- konfigurację wykonywało kilka różnych firm lub administratorów,
- nie wiadomo, ile osób ma uprawnienia administracyjne,
- część użytkowników ma MFA, a część nie,
- firma kupiła Business Premium, ale nie wie, czy wykorzystuje Intune, Defender i Conditional Access,
- istnieją konta byłych pracowników,
- nie wiadomo, kto ma dostęp do danych w Teams i SharePoint,
- nie ma dokumentacji środowiska,
- doszło do phishingu, przejęcia konta lub innego incydentu,
- zmienił się dział IT lub partner odpowiedzialny za Microsoft 365,
- firma przygotowuje się do wymagań klienta, audytu zewnętrznego albo podniesienia poziomu bezpieczeństwa.
Dla Zarządu
Jakie mamy ryzyka, które z nich są najważniejsze i co powinniśmy zrobić najpierw?
Dla IT
Które ustawienia są błędne, czego brakuje i jak konkretnie to naprawić?
W Security Masters Audyt Microsoft 365 obejmuje analizę konfiguracji i logów bezpieczeństwa. Efektem jest lista ryzyk, podatności i błędów oraz plan działań naprawczych. W zależności od środowiska raport może przekroczyć 200 stron szczegółowej analizy i zawiera osobną perspektywę dla Zarządu oraz działu IT.
Po incydencie audyt jest szczególnie ważny. Zamknięcie alertu w Defenderze nie odpowiada na pytanie, czy atakujący utworzył regułę przekierowania poczty, dodał aplikację, uzyskał token, pobrał dane albo zostawił sobie inną furtkę do powrotu do środowiska.
Przykład po incydencie
W jednym ze środowisk analizowanych przez Security Masters wykryto przejęcie konta, reguły przekierowania, dostęp do skrzynek i danych, aplikacje i tokeny OAuth oraz wyciek informacji. Nie było przy tym żadnej aktywności malware. Zdanie „antywirus niczego nie wykrył” nie oznacza więc, że Microsoft 365 jest bezpieczny.
Podsumowanie: od czego zacząć?
Gdybym miał sprowadzić bezpieczeństwo Microsoft 365 do kilku zasad, zacząłbym od pięciu:
- Zabezpieczyć tożsamość użytkowników i administratorów.
- Wdrożyć MFA oraz Conditional Access tam, gdzie pozwala na to model licencyjny.
- Zarządzać urządzeniami, które mają dostęp do danych.
- Chronić pocztę i kontrolować udostępnianie informacji.
- Regularnie analizować konfigurację, alerty i logi.
Największym błędem jest założenie, że zakup Microsoft 365 Business Premium czy innego planu sam rozwiązuje problem bezpieczeństwa. Licencja daje narzędzia, ale ryzyko realnie spada dopiero wtedy, gdy ktoś je dobrze wdroży.
Jeżeli firma korzysta już z Microsoft 365 i nie ma pewności, czy środowisko jest dobrze zabezpieczone, pierwszym krokiem może być Audyt bezpieczeństwa Microsoft 365. Gdy problemy są już znane i trzeba je naprawić, kolejnym etapem jest Optymalizacja środowiska Microsoft 365 wraz z planem zmian.
Bezpłatna konsultacja Microsoft 365
Możesz umówić się ze mną na około 30-minutową konsultację, bez zobowiązań. W trakcie rozmowy wskażę co najmniej 3 konkretne rekomendacje dotyczące Waszego środowiska lub sposobu jego zabezpieczenia. Napisz na [email protected] z tematem „Konsultacja bezpieczeństwa MS365”, odpowiem osobiście.
