צ׳קליסט אבטחת Microsoft 365 שכל עסק צריך לבדוק

ברוב העסקים הקטנים Microsoft 365 הוא כבר לא רק תיבת מייל. שם נמצאים המסמכים, השיחות עם לקוחות, הקבצים המשותפים והגישה של העובדים לעבודה היומיומית. בדיוק בגלל זה, הגדרות ברירת המחדל לא מספיקות: הן נוחות לעבודה, אבל לא תמיד בנויות לעצור השתלטות על חשבון, שיתוף מידע בטעות או גישה רחבה מדי.

1. הפעלת אימות דו-שלבי (MFA) לכל המשתמשים

MFA הוא ההגנה הבודדת האפקטיבית ביותר מפני השתלטות על חשבונות. מיקרוסופט מדווחת ש-MFA חוסם למעלה מ-99% מהתקפות אוטומטיות על סיסמאות. ב-Microsoft 365, MFA צריך להיות חובה לכל העובדים – לא רק למנהלים. בלי MFA, סיסמה גנובה מאפשרת למי שתוקף את העסק גישה מלאה לאימייל, קבצים ונתוני העסק שלכם.

התחילו על ידי הפעלת Security Defaults בפורטל הניהול של Microsoft 365. זה מחייב MFA לכל העובדים וחוסם פרוטוקולי אימות ישנים שעוקפים את MFA. לשליטה מדויקת יותר, השתמשו ב-Conditional Access אם התוכנית שלכם כוללת אותו.

2. ביקורת חשבונות מנהלים

חשבונות מנהל רבים מדי הם טעות נפוצה. כל חשבון Global Admin הוא מטרה בעלת ערך גבוה – אם נפרץ, מי שתוקף את העסק יכול לשנות את כל הסביבה של Microsoft 365 שלכם. המלצה לרוב עסקים קטנים: פחות מחמישה חשבונות Global Admin, כל אחד חשבון ייעודי לניהול בלבד, נפרד מחשבון האימייל היומיומי של אותו אדם.

עובדים רגילים שזקוקים מדי פעם להרשאות גבוהות צריכים לקבל אותן באופן זמני דרך Privileged Identity Management, ולא בהקצאה קבועה. בדקו את הקצאות הרשאות הניהול שלכם לפחות אחת לרבעון.

3. בדיקת הגדרות שיתוף חיצוני ב-SharePoint וב-OneDrive

כברירת מחדל, SharePoint ו-OneDrive עשויים לאפשר שיתוף חיצוני נרחב. בדקו את הגדרות השיתוף בפורטל הניהול של SharePoint והגבילו ל'אורחים קיימים' או 'אנשים ספציפיים' במקום 'כל מי שיש לו את הקישור'. זה מונע חשיפה בלתי מכוונת של נתונים כשעובדים משתפים קבצים עם לקוחות.

4. הגדרת מדיניות אנטי-פישינג ואבטחת אימייל

Microsoft Defender for Office 365 מספק הגנה מפישינג, Safe Links ו-Safe Attachments. בדקו את מדיניות אנטי-הפישינג שלכם והפעילו: הגנת התחזות עבור מנהלים בכירים ועבור הדומיין שלכם; זיהוי מבוסס-בינה של תיבות דואר; וסריקת Safe Links לקישורים באימיילים ובמסמכים.

פישינג הוא נקודת הכניסה הנפוצה ביותר להתקפות כופרה ולתרמיות דואר עסקי (BEC) נגד עסקים קטנים ובינוניים בישראל. מדיניות Defender שמוגדרת כראוי תופסת חלק משמעותי מהניסיונות האלה לפני שהם מגיעים לתיבות הדואר.

5. הפעלת יומן הביקורת המאוחד (Unified Audit Log)

יומן הביקורת המאוחד מתעד כניסות, פעולות מנהל, גישה לקבצים ושינויי הגדרות. הוא לא תמיד מופעל כברירת מחדל. בלעדיו, אין לכם נראות לגבי מה קרה במהלך אירוע אבטחה או אחריו. הפעילו אותו מיד בפורטל Microsoft Purview.

6. ביקורת חשבונות פעילים ורישיונות כל חודש

עובדים שעזבו ועדיין יש להם חשבונות פעילים הם סיכון אבטחה שקט. קבעו תהליך לביטול מיידי של חשבונות ביום האחרון של עובד. ערכו ביקורת חודשית של כל העובדים הפעילים והסירו חשבונות שאינם שייכים עוד.

7. שימוש ב-Conditional Access (Microsoft 365 Business Premium ומעלה)

Conditional Access מאפשר לכם לדרוש MFA בהתבסס על מיקום, לחסום כניסות ממכשירים לא תואמים, ולהגביל גישה על בסיס אותות סיכון. לכל הפחות, הגדירו מדיניות בסיסית הדורשת MFA לכל העובדים מכל מיקום.

מאיפה להתחיל בבדיקת Microsoft 365

לא צריך להפוך את Microsoft 365 לפרויקט ענק כדי לשפר משמעותית את רמת ההגנה. התחילו מהחשבונות, ההרשאות והשיתוף החיצוני – אלה המקומות שבהם רוב הסיכון יושב. אם לא ברור לכם מה מוגדר היום ומה חסר, סקירה קצרה של הסביבה תיתן תמונת מצב ברורה ורשימת פעולות מסודרת.