Microsoft 365 administrēšanas ceļvedis uzņēmumam

Kad darbinieks zaudē piekļuvi e-pastam, tiek kļūdaini dzēsta SharePoint mape vai uzbrucējs mēģina izmantot nozagtu paroli, problēma nav tikai tehniska. Tā var apturēt pārdošanu, kavēt klientu apkalpošanu un radīt datu aizsardzības risku. Tāpēc Microsoft 365 administrēšanas ceļvedis uzņēmumam nav instrukcija par pogām administrēšanas portālā. Tas ir pārvaldības modelis, kas nosaka, kurš piekļūst informācijai, kā tiek aizsargāti dati un kas notiek incidenta brīdī.

Mazā un vidējā uzņēmumā Microsoft 365 bieži apvieno kritiskus ikdienas darba rīkus - Exchange Online e-pastu, Teams saziņu, SharePoint dokumentus, OneDrive failus un identitāšu pārvaldību. Jo vairāk darba procesu nonāk šajā vidē, jo mazāk pieļaujama ir pieeja, kur iestatījumi tiek veikti tikai tad, kad kaut kas jau ir noticis.

Microsoft 365 administrēšanas ceļvedis sākas ar atbildību

Pirmais jautājums nav, kur aktivizēt konkrētu politiku. Pirmais jautājums ir, kam uzņēmumā pieder atbildība par vidi. Vadībai jānosaka biznesa īpašnieks, kurš apstiprina piekļuves principus, budžetu un riska līmeni, savukārt tehniskajam administratoram jānodrošina šo lēmumu izpilde un pierādāma kontrole.

Bieža kļūda ir piešķirt globālā administratora tiesības vairākiem cilvēkiem ērtības dēļ. Šādas tiesības ļauj mainīt licences, lietotājus, drošības iestatījumus un atsevišķos gadījumos piekļūt sensitīvai informācijai. Tās ir nepieciešamas tikai ļoti ierobežotam atbildīgo personu lokam. Ikdienas uzdevumiem jāizmanto šaurākas, lomās balstītas tiesības, piemēram, lietotāju pārvaldībai, Exchange vai SharePoint administrēšanai.

Administrēšanai jābūt dokumentētai. Uzņēmumam nepieciešams aktuāls pārskats par administratoriem, viņu lomām, ārējiem IT partneriem, licences īpašnieku un apstiprināto izmaiņu kārtību. Tas ir īpaši svarīgi darbinieku nomaiņas, audita, uzņēmuma pārdošanas vai apvienošanās laikā.

Aizsargājiet identitāti pirms aizsargājat failus

Microsoft 365 drošības pamats ir lietotāja identitāte. Ja uzbrucējs iegūst darbinieka paroli, viņš nereti var piekļūt ne tikai e-pastam, bet arī Teams sarakstēm, OneDrive failiem un koplietotām dokumentu bibliotēkām. Tādēļ paroles vien vairs nav pietiekams aizsardzības mehānisms.

Daudzfaktoru autentifikācija jāievieš visiem lietotājiem, sākot ar administratoriem. Praksē jāizvērtē arī autentifikācijas metode. Lietotne ar apstiprinājumu vai paroles neizmantojoša pierakstīšanās parasti ir drošāka par vienkāršu SMS kodu, tomēr izvēlei jāņem vērā darbinieku darba specifika un pieejamās ierīces.

Nosacītās piekļuves politikas palīdz samazināt risku bez nepamatotas darba sarežģīšanas. Piemēram, uzņēmums var pieprasīt papildu pārbaudi, ja lietotājs pieslēdzas no jaunas valsts, neatpazītas ierīces vai cenšas piekļūt administrēšanas resursiem. Politikas ievieš pakāpeniski, sākumā novērošanas režīmā. Pretējā gadījumā labi iecerēta drošības izmaiņa var liegt piekļuvi arī likumīgam darbiniekam vai kritiskai integrācijai.

Pamatsistēmā jābūt šādiem kontroles punktiem:

• daudzfaktoru autentifikācijai visiem kontiem, īpaši administratoriem;
• atsevišķiem ārkārtas piekļuves kontiem ar stingru uzraudzību;
• aizliegtai mantotu autentifikācijas protokolu izmantošanai, ja tie nav pamatoti nepieciešami;
• regulārai administratoru lomu un privileģēto piekļuves tiesību pārskatīšanai;
• skaidrai kārtībai, kā nekavējoties bloķē kontu aizdomīgas aktivitātes vai darba attiecību pārtraukšanas gadījumā.

Ārkārtas piekļuves konti nav ikdienas darba konti. Tie nepieciešami gadījumam, ja nepareizi konfigurēta politika bloķē parasto administratoru piekļuvi. Šādi konti jāglabā droši, jātestē un jāiekļauj incidentu procedūrā.

Lietotāju dzīves cikls: piekļuve tikai tik ilgi, cik vajadzīgs

Piekļuves pārvaldība sākas jau pirms jaunā darbinieka pirmās darba dienas. Kontam jābūt izveidotam pēc apstiprināta pieprasījuma, ar atbilstošu licenci, grupu dalību un darba lomai nepieciešamajiem resursiem. Ja iespējams, piekļuvi piešķir grupām, nevis individuāliem lietotājiem. Tas samazina kļūdu iespēju un atvieglo pārskatīšanu.

Darbiniekam mainot amatu, jāmaina arī piekļuve. Pretējā gadījumā cilvēks var saglabāt tiesības uz finanšu dokumentiem, personāla informāciju vai klientu datiem, kas jaunajā lomā vairs nav nepieciešami. Šeit būtisks ir princips par minimāli nepieciešamo piekļuvi.

Darba attiecību beigas ir kritisks process. Konta bloķēšanai, aktīvo sesiju atsaukšanai, uzņēmuma datu nodošanai un automātisko pārsūtīšanu pārbaudei jānotiek pēc iepriekš sagatavota scenārija. Vienlaikus nav pareizi automātiski izdzēst visu lietotāja saturu bez biznesa lēmuma. E-pasta vēsture, OneDrive faili un sarakstes var būt nepieciešamas klientu saistību, grāmatvedības vai juridisku jautājumu risināšanai.

Arī viesu konti ir jāvada disciplinēti. Ārējiem partneriem piekļuvi piešķir konkrētam mērķim un termiņam, nevis uz nenoteiktu laiku. Regulāras piekļuves pārskatīšanas palīdz noskaidrot, vai ārējais lietotājs joprojām piedalās projektā.

Licences un ierīces ir izmaksu un riska jautājums

Microsoft 365 licencēšana nav tikai ikmēneša rēķins. Nepareizi izvēlēta licence var nozīmēt, ka uzņēmums maksā par neizmantotām iespējām vai, pretēji, nesaņem drošības funkcijas, kuras tam faktiski nepieciešamas. Pirms licenču maiņas jāizvērtē lietotāju darba veids, ierīču skaits, datu jutīgums, atbilstības prasības un plānotā izaugsme.

Licenču audits jāveic regulāri. Jāmeklē neaktīvi konti, dublētas licences, koplietotas pastkastes, kurām licence var nebūt vajadzīga, un lietotāji ar nepietiekamu funkcionalitāti. Taupīšana nedrīkst mazināt aizsardzību. Piemēram, ja uzņēmums vēlas ieviest progresīvākas piekļuves politikas vai ierīču pārvaldību, lētākais licences plāns ne vienmēr būs ilgtermiņā izdevīgākais.

Ja darbinieki izmanto klēpjdatorus un mobilās ierīces ārpus biroja, jānosaka, kādiem nosacījumiem jāatbilst ierīcei pirms piekļuves uzņēmuma datiem. Pārvaldītās ierīcēs var prasīt diska šifrēšanu, ekrāna bloķēšanu, aktuālus atjauninājumus un iespēju attālināti dzēst uzņēmuma datus. Personīgajām ierīcēm piemērotāka var būt ierobežota piekļuve caur aizsargātām lietotnēm. Pareizā pieeja ir atkarīga no darba kultūras, riska līmeņa un datu veida.

Datu aizsardzība nav tas pats, kas rezerves kopija

Microsoft 365 nodrošina platformas pieejamību un vairākus datu atjaunošanas mehānismus, taču uzņēmumam jāizprot, ko tie sedz un cik ilgi. Dzēstu vienumu glabāšanas periodi, versiju vēsture un saglabāšanas politikas risina atšķirīgus scenārijus. Tie nav automātiska garantija, ka jebkuru failu vai pastkasti varēs atjaunot uzņēmumam vajadzīgajā laikā.

Jānosaka datu klasifikācija: kuri dokumenti ir publiski, kuri ir tikai iekšējai lietošanai, kuri satur personas datus, finanšu informāciju vai komercnoslēpumu. Uz šī pamata var veidot koplietošanas, saglabāšanas un datu noplūdes novēršanas politikas. Pārāk stingra politika radīs apkārtceļus, piemēram, failu sūtīšanu caur privātiem kanāliem. Pārāk vaļīga politika palielina noplūdes iespējamību. Līdzsvars jāmeklē kopā ar procesu īpašniekiem, ne tikai IT komandā.

Neatkarīga rezerves kopija ir pamatota, ja uzņēmumam ir augstas prasības pret datu atjaunošanu, ilgu glabāšanu vai aizsardzību pret ļaunprātīgu dzēšanu. Taču arī rezerves kopija ir jāpārbauda. Neatjaunota kopija nav pierādījums darbības nepārtrauktībai.

Uzraudzība un incidentu gatavība

Drošības notikumu žurnāli, brīdinājumi un regulāras pārskatīšanas palīdz atklāt neparastu darbību agrāk. Uzmanība jāpievērš aizdomīgiem pierakstīšanās mēģinājumiem, masveida failu dzēšanai, negaidītām pārsūtīšanas kārtulām pastkastēs, administratoru lomu izmaiņām un jaunu lietotņu piekrišanām.

Svarīgākais ir nevis savākt maksimāli daudz paziņojumu, bet noteikt, kurš tos izvērtē un cik ātri rīkojas. Incidenta procedūrā jābūt atbildīgajiem, saziņas kārtībai, konta izolēšanas darbībām, pierādījumu saglabāšanai un pakalpojumu atjaunošanas secībai. Šo procedūru ir vērts izmēģināt pirms reāla incidenta, jo krīzes laikā nav piemērots brīdis meklēt administratora piekļuvi vai lēmuma pieņēmēju.

Regulāra pārvaldība pārvērš iestatījumus kontrolē

Microsoft 365 vide mainās nepārtraukti: parādās jauni darbinieki, projekti, ierīces, integrācijas un sadarbības partneri. Tāpēc vienreizējs ieviešanas projekts nav pietiekams. Ieteicams ieviest ikmēneša operatīvo pārskatu par lietotājiem, licencēm, drošības brīdinājumiem un izmaiņām, kā arī ceturkšņa vadības pārskatu par riskiem, atbilstību un uzlabojumu prioritātēm.

Ārējs pārvaldīts IT partneris ir lietderīgs, ja uzņēmumam nav savas specializētas komandas vai ja iekšējam IT vadītājam nepieciešams papildu resurss. KSK IT pieeja šādā situācijā ir savienot ikdienas administrēšanu ar risku, nepārtrauktības un attīstības plānošanu, neaprobežojoties tikai ar lietotāju kontu apkalpošanu.

Labākais nākamais solis ir nevis uzreiz aktivizēt desmitiem politiku, bet veikt strukturētu vides novērtējumu. Noskaidrojiet, kam ir administratora piekļuve, vai visi lietotāji izmanto daudzfaktoru autentifikāciju, kā tiek pārvaldītas ierīces un vai uzņēmums spētu atjaunot kritiskos datus vajadzīgajā termiņā. Šīs atbildes parāda, kur ieguldījums samazinās reālu biznesa risku visātrāk.