Bezpieczna konfiguracja bazowa Twojego tenanta Microsoft 365 zgodna z najlepszymi praktykami Microsoft i CIS Microsoft 365 Foundations Benchmark, aby środowisko nie pozostało w niebezpiecznych ustawieniach domyślnych.
Zgodnie z najlepszymi praktykami Microsoft i CIS Microsoft 365 Foundations Benchmark.
Wymuszamy MFA dla wszystkich użytkowników i administratorów za pomocą zasad Conditional Access, które zastępują podstawowe security defaults nowego tenanta, dając szczegółową, uwzględniającą ryzyko kontrolę.
Wyłączamy starsze/podstawowe protokoły uwierzytelniania (POP, IMAP, SMTP AUTH i starsze klienty), które omijają MFA. Microsoft wycofał już większość basic auth w Exchange Online, a my potwierdzamy, że pozostałe ścieżki, takie jak SMTP AUTH, są nadal wyłączone.
Zasady wymagające MFA, blokujące stare uwierzytelnianie i reagujące na ryzyko logowania i użytkownika (Identity Protection), wraz z kontrolą dostępu opartą na urządzeniu.
Wdrażamy Microsoft Authenticator z dopasowaniem numerów i passkey (FIDO2); usuwamy słabe metody SMS i głosowe.
Pozostawiamy tylko kilku Global Adminów, przypisujemy role o minimalnych uprawnieniach i włączamy PIM dla dostępu administracyjnego just-in-time, bez stałych uprawnień.
Dwa awaryjne konta administracyjne tylko w chmurze, wyłączone z Conditional Access i monitorowane, abyś nigdy nie został zablokowany poza tenantem.
Włączamy SSPR z silnymi metodami, ochronę przed zakazanymi hasłami i smart lockout przeciw atakom password-spray.
Blokujemy użytkownikom rejestrowanie aplikacji, tworzenie tenantów i wyrażanie zgody aplikacjom innych firm; wymagamy zgody administratora lub zweryfikowanego wydawcy (automatyczne blokowanie nieskonfigurowanego OAuth).
Zaostrzamy udostępnianie zewnętrzne w SharePoint/OneDrive oraz zewnętrzny i gościnny dostęp w Teams, aby można było zapraszać tylko uwierzytelnionych gości, ograniczając lub wyłączając anonimowe linki „Anyone".
Włączamy DKIM dla Twoich własnych domen i publikujemy politykę DMARC quarantine/reject, aby atakujący nie mogli podszyć się pod Twoją domenę.
Blokujemy zewnętrzne automatyczne przekazywanie, wyłączamy starsze protokoły poczty dla poszczególnych skrzynek i potwierdzamy, że audyt skrzynek jest włączony.
Stosujemy gotowe zasady bezpieczeństwa Standard/Strict: ochronę przed phishingiem i podszywaniem, Safe Links i Safe Attachments.
Wdrażamy Defender for Business, ustawiamy zasady zgodności Intune i ochrony aplikacji mobilnych oraz wymagamy zgodnych urządzeń przez Conditional Access (Business Premium).
Sensitivity labels i zasady Data Loss Prevention (DLP) dostosowane do Twoich danych wrażliwych, aby klasyfikacja i ochrona odpowiadały temu, jak naprawdę działa Twoja organizacja.
Przed włączeniem Copilota analizujemy nadmierne udostępnianie i stosujemy etykiety oraz DLP, aby AI nie ujawniała danych, których użytkownicy nie powinni widzieć.
Potwierdzamy unified audit log i jego retencję, konfigurujemy zasady alertów dla ryzykownej aktywności i śledzimy Microsoft Secure Score w czasie.
