Checklista bezpieczeństwa Microsoft 365 dla MŚP
Zespół bezpieczeństwa CyberLord Profil autora
Microsoft 365 wdraża się w dwa dni: konta, poczta, Teams, dysk. Potem nikt nie wraca do ustawień, dopóki coś się nie stanie. Dzierżawa działa, więc wygląda na bezpieczną — a domyślna konfiguracja jest nastawiona na wygodę, nie na ochronę. Starsze protokoły uwierzytelniania pozostają włączone, zewnętrzne udostępnianie działa szerzej, niż większość firm zakłada, a role administracyjne dostają osoby, które ich nie potrzebują.
Checklista poniżej porządkuje pracę w kolejności od największego efektu do najmniejszego. Nie wymaga pakietu Enterprise ani osobnego zespołu — wystarczy dostęp do centrum administracyjnego i kilka godzin skupionej pracy. Wszystkie zmiany wykonuj w tenantcie testowym albo poza godzinami pracy, z zapisanym planem wycofania.
Dzierżawa to nie tylko poczta
Większość małych firm widzi w Microsoft 365 pocztę i pakiet Office. Napastnik widzi coś innego: katalog tożsamości, z którego da się przejąć wszystko — dostęp do plików, historię rozmów, kalendarz, rozliczenia i kontakt z klientami. Jedno przejęte konto administratora wystarcza, żeby założyć reguły przekazywania poczty i czytać korespondencję przez wiele tygodni.
Dlatego pierwsza zasada brzmi: zabezpieczaj tożsamość, nie tylko skrzynki. MFA blokuje ponad 99% automatycznych ataków na poświadczenia (Microsoft), a mimo to wciąż jest pierwszym ustawieniem wyłączonym w firmach, w których „przeszkadza w pracy”.
Pierwsza godzina: trzy zmiany, które nic nie kosztują
Jeśli masz tylko sześćdziesiąt minut, zrób trzy rzeczy.
- Włącz Security Defaults w centrum administracyjnym Microsoft Entra, jeśli nie masz jeszcze własnych zasad dostępu warunkowego. To jeden przełącznik, który wymusza MFA dla wszystkich kont i blokuje starsze protokoły.
- Zablokuj starsze uwierzytelnianie (Basic Auth, IMAP, POP, SMTP AUTH) w Exchange Online. To kanał, który omija MFA i jest używany w większości ataków na skrzynki.
- Skonfiguruj SPF, DKIM i DMARC dla swojej domeny, zaczynając od polityki raportowania (p=none), a po dwóch tygodniach przechodząc na quarantine. Bez tego twoja domena może być używana do wysyłki fałszywych wiadomości w twoim imieniu.
Tożsamość w Entra ID
Konta administracyjne powinny być osobne, bez licencji poczty i bez dostępu do internetu w trakcie pracy administracyjnej. Global Administratorów wystarczy dwóch, a każda dodatkowa rola ma własne, wąskie uprawnienie — nadawanie pełnej władzy „na wszelki wypadek” to najczęstszy błąd w małych dzierżawach.
Dalej: wymuś MFA dla wszystkich, włącz blokadę ryzykownych logowań, jeśli licencja ją obejmuje, i zablokuj dostęp z krajów, w których firma nie działa. Dodaj zasadę dostępu warunkowego, która wymaga urządzenia zgodnego z polityką. Wyłącz wygasanie haseł, ustaw minimum piętnaście znaków i włącz listę blokowanych haseł. Raz na kwartał przejrzyj konta gości i konta nieaktywne od dziewięćdziesięciu dni.
Poczta w Exchange Online
Poczta to nadal główny wektor wejścia, a najczęstszy scenariusz to wiadomość podszywająca się pod fakturę, podpis zarządu albo udostępnienie dokumentu. Coraz częściej treść jest generowana przez model językowy i pozbawiona typowych błędów, o czym piszemy w tekście o phishingu napędzanym AI. Włącz politykę antyphishingową, załączniki chronione i sprawdzanie linków w czasie rzeczywistym (Defender for Business), a następnie dostrój ją do własnego ruchu — domyślne progi przepuszczają część wiadomości, które powinny trafić do kwarantanny.
Osobno: zablokuj automatyczne przekazywanie poczty na adresy zewnętrzne, dodaj oznaczenie wiadomości spoza organizacji, ustaw regułę odrzucającą pliki wykonywalne i archiwa z hasłem, ogranicz uprawnienia Send As i pełny dostęp do skrzynek. Włącz dziennik audytu i wydłuż retencję do dziewięćdziesięciu dni.
Urządzenia i aplikacje
Bez zarządzania urządzeniami dostęp warunkowy działa na papierze. W Intune zdefiniuj politykę zgodności: szyfrowanie dysku, minimalna wersja systemu, blokada ekranu, zakaz urządzeń z root lub jailbreak. Dla telefonów prywatnych użyj polityk ochrony aplikacji, które szyfrują dane firmowe w obrębie aplikacji i pozwalają usunąć je bez czyszczenia całego urządzenia.
Na komputerach włącz Defender for Business, wymuś aktualizacje i sprawdź, czy konta lokalne administratora nie są wspólne dla całego biura. Jeden wspólny login „admin” na pięciu laptopach to zaproszenie do ruchu bocznego.
Teams: kanał, który urósł w siłę
Teams przestał być dodatkiem do poczty i stał się miejscem, w którym pracownicy wymieniają pliki i klikają linki. Ogranicz dostęp zewnętrzny do zaufanych domen, przeglądaj listę gości i blokuj aplikacje zewnętrzne, których nikt nie zatwierdził. Włącz ochronę linków w czacie i ustal zasady nagrywania oraz transkrypcji — nagrania zostają w chmurze i mają własny cykl życia.
SharePoint i OneDrive: udostępnianie pod kontrolą
Domyślne ustawienia SharePointa pozwalają utworzyć link „każdy z linkiem”, który działa bez logowania i bez terminu ważności. Zmień poziom udostępniania na „tylko osoby w organizacji”, a dla współpracy z zewnętrznymi wymagaj linków z datą wygaśnięcia i weryfikacją. Wyłącz synchronizację na urządzeniach niezgodnych z polityką — inaczej pliki trafiają na prywatne dyski, poza jakąkolwiek kontrolą.
Włącz wersjonowanie, ustaw retencję kosza na trzydzieści dni i oznacz dane klientów etykietami wrażliwości, jeśli licencja je obejmuje. Warto też ograniczyć gościom pobieranie plików, zostawiając im podgląd w przeglądarce.
Monitoring i alerty
Secure Score jest dobrym punktem startowym, ale nie celem samym w sobie — pokazuje konfigurację, nie realne zagrożenia. Raz w miesiącu przejrzyj wynik i zapisz, które rekomendacje odrzucasz i dlaczego.
Skonfiguruj alerty na zdarzenia, które w małej firmie zawsze oznaczają kłopot: masowe usuwanie plików, nowa reguła przekazywania poczty, logowanie z nietypowej lokalizacji, dodanie konta z uprawnieniami administracyjnymi, wyłączenie MFA. Ustaw je tak, żeby trafiały do osoby, która faktycznie je przeczyta — alert w skrzynce ogólnej jest gorszy niż brak alertu.
Plan na 90 dni
| Tygodnie | Zakres | Efekt |
|---|---|---|
| 1-2 | MFA, blokada starszego logowania, SPF, DKIM, DMARC | Zamknięcie najprostszej drogi przejęcia konta |
| 3-4 | Role administracyjne, konta nieaktywne, goście | Mniejsza powierzchnia ataku w katalogu |
| 5-6 | Defender for Business, polityka antyphishingowa | Skuteczniejszy filtr wiadomości i linków |
| 7-8 | Intune, zgodność urządzeń, szyfrowanie dysków | Kontrola nad tym, skąd wolno się logować |
| 9-10 | Udostępnianie w SharePoint i OneDrive, etykiety | Dane nie wyciekają przez linki |
| 11-12 | Alerty, audyt, ćwiczenie phishingu | Wykrywanie zamiast tylko zapobiegania |
Najczęstsze błędy
- Traktowanie Secure Score jak celu — setka punktów nie zastępuje alertów i przeglądu logów.
- Wyłączanie MFA dla zarządu — jedno takie konto wystarcza do przejęcia skrzynki i faktur.
- Jeden Global Administrator — brak rozdzielenia ról i brak konta awaryjnego w chmurze.
- Goście bez właściciela — dostęp zostaje długo po zakończeniu projektu.
- Przekonanie, że Microsoft robi kopie zapasowe — kosz i wersjonowanie to nie backup.
- Licencja bez Defender i Intune — pakiet Business Basic nie daje narzędzi opisanych wyżej.
Najczęściej zadawane pytania
Od czego zacząć zabezpieczanie Microsoft 365?
Od MFA dla wszystkich kont, blokady starszego uwierzytelniania i rekordów DMARC. Te trzy zmiany zajmują około godziny i zamykają najczęściej wykorzystywane drogi przejęcia skrzynki. Dopiero potem sens mają role administracyjne, Defender i Intune.
Czy pakiet Business Basic wystarczy do bezpiecznej pracy?
Do poczty i Teams tak, do ochrony nie. Business Basic nie zawiera Defendera for Business ani Intune, więc zostają ręczne reguły i brak kontroli nad urządzeniami. W większości małych firm właściwym progiem jest Business Premium.
Czy Microsoft wykonuje kopie zapasowe moich danych?
Microsoft utrzymuje usługę i retencję kosza, ale to nie jest kopia zapasowa w rozumieniu odtwarzania po ataku ransomware. Jeśli dane mają przetrwać zaszyfrowanie dzierżawy, potrzebna jest kopia poza nią, z testem odtworzenia.
Jak ograniczyć udostępnianie plików na zewnątrz?
Ustaw domyślny poziom na „tylko osoby w organizacji”, wymagaj linków z datą wygaśnięcia, wyłącz anonimowe linki i raz na kwartał przeglądaj listę gości wraz z właścicielami dostępu.
Ile trwa wdrożenie tej checklisty?
Pierwsze trzy zmiany mieszczą się w godzinie. Pełny zakres to około 90 dni pracy rozłożonej na sześć etapów, przy założeniu, że zmiany testujesz i dokumentujesz.
Chcesz sprawdzić konfigurację swojej dzierżawy? Porozmawiaj z zespołem.