Microsoft 365 vo firme: 10 bezpečnostných nastavení, ktoré má vedenie vyžadovať

Krátka odpoveď

Vedenie by malo od IT alebo dodávateľa vyžadovať, aby Microsoft 365 malo zavedených najmenej týchto 10 opatrení: viacfaktorové overenie pre všetkých, blokovanie starších protokolov overovania, oddelené a obmedzené administrátorské účty, núdzové (break-glass) účty, kontrolu súhlasov aplikácií, overenie e-mailovej domény a ochranu pred phishingom, zákaz automatického preposielania mimo firmy, riadené externé zdieľanie, zapnutý audit a upozornenia a zálohovanie s politikami uchovávania. Tieto opatrenia neriešia všetko, ale výrazne znižujú najčastejšie riziká — prevzatie účtu, phishing, únik dát a nemožnosť obnovy. Vedenie ich nemusí vedieť nastaviť, ale má vedieť, že existujú, a pravidelne žiadať report o ich stave.

Komu je článok určený

Vedeniu firiem, ktoré používajú Microsoft 365 (Exchange Online, Teams, SharePoint, OneDrive) a chcú vedieť, čo má byť nastavené — bez technických detailov, ale s možnosťou kontroly.

Prečo práve Microsoft 365

Microsoft 365 je vo väčšine firiem miestom, kde sa stretáva identita (kto sa prihlasuje), komunikácia (e-mail, Teams) a dáta (dokumenty). Kto ovládne účet používateľa, často získa prístup ku všetkému. Preto sa nastavenia M365 oplatí riešiť ako prvé.

10 nastavení

1. Viacfaktorové overenie (MFA) pre všetkých

Každý používateľ a najmä každý administrátor sa prihlasuje s druhým faktorom. Pre administrátorov preferujte metódy odolné voči phishingu (napríklad FIDO2 kľúče alebo passkeys). Výnimky majú byť evidované a schválené.

2. Blokovanie starších protokolov overovania

Staršie protokoly (legacy authentication) nepodporujú MFA a útočníci ich zneužívajú na obchádzanie ochrany. Microsoft odporúča ich blokovať.

3. Oddelené a obmedzené administrátorské účty

• administrátori majú samostatný účet na správu, nie ten, ktorým čítajú e-maily,
• počet globálnych administrátorov je minimálny,
• používajú sa užšie roly (napr. správca používateľov, správca Exchange) namiesto globálneho admina,
• tam, kde to licencia umožňuje, sa oprávnenia aktivujú iba dočasne.

4. Núdzové (break-glass) účty

Aspoň dva núdzové administrátorské účty pre prípad, že zlyhá bežné prihlasovanie. Sú chránené silnými metódami overovania, ich použitie je monitorované a prístupové údaje bezpečne uložené.

5. Kontrola súhlasov aplikácií

Používatelia by nemali môcť bez kontroly udeľovať aplikáciám tretích strán prístup k firemným dátam. Nastavte schvaľovanie a pravidelne kontrolujte, ktoré aplikácie majú aké oprávnenia.

6. Overenie e-mailovej domény a ochrana pred phishingom

• záznamy SPF, DKIM a DMARC pre všetky domény (aj tie, z ktorých sa neposiela),
• DMARC postupne sprísňovať až po politiku odmietnutia podvrhnutých správ,
• zapnuté politiky proti phishingu a škodlivým prílohám a odkazom podľa dostupnej licencie.

7. Zákaz automatického preposielania mimo firmy

Útočníci po prevzatí schránky často nastavia automatické preposielanie na externú adresu a ticho čítajú komunikáciu. Automatické preposielanie mimo organizácie by malo byť predvolene zakázané a výnimky schválené.

8. Riadené externé zdieľanie a hostia

• jasné pravidlá, čo a s kým sa smie zdieľať (SharePoint, OneDrive, Teams),
• odkazy „ktokoľvek s odkazom“ obmedziť alebo vypnúť,
• pravidelná kontrola hosťovských účtov a ich prístupov.

9. Audit a upozornenia

Záznam aktivít (audit log) musí byť zapnutý a niekto musí dostávať upozornenia na podozrivé udalosti — napríklad prihlásenie z neobvyklej krajiny, hromadné sťahovanie či vytvorenie pravidla preposielania.

10. Zálohovanie a politiky uchovávania

Microsoft 365 funguje v modeli zdieľanej zodpovednosti. Posúďte, či potrebujete samostatnú zálohu a aké politiky uchovávania nastaviť, aby ste vedeli obnoviť dáta po chybe, útoku alebo spore.

Bonus: zariadenia

Ak to licencia umožňuje, pristupujte k firemným dátam iba zo spravovaných a aktualizovaných zariadení. Pri súkromných zariadeniach (BYOD) aspoň oddeľte firemné dáta od súkromných.

Ako to vedenie skontroluje

Požiadajte o jednoduchú tabuľku:

Opatrenie	Stav	Výnimky	Termín nápravy
MFA pre všetkých	áno / čiastočne / nie	počet a dôvod	dátum
…	…	…	…

Doplnkovo môžu pomôcť Microsoft Secure Score a verejné benchmarky — CIS Microsoft 365 Foundations Benchmark a CISA SCuBA.

Riziká a trade-offs

• Prísne pravidlá bez komunikácie vyvolajú odpor používateľov. Zavádzajte postupne a vysvetlite prečo.
• Licencie: niektoré opatrenia vyžadujú vyššie plány. Rozhodujte podľa rizika.
• Výnimky sa hromadia. Každá výnimka má mať vlastníka a dátum revízie.
• Jednorazové nastavenie nestačí — Microsoft služby mení, preto treba nastavenia pravidelne kontrolovať.

Najčastejšie slabiny, ktoré sa opakujú

1. MFA „skoro pre všetkých“. Výnimky pre vedenie, servisné účty alebo staré zariadenia sú presne tie miesta, ktoré útočníci hľadajú.
2. Bývalí zamestnanci s aktívnym účtom. Bez procesu pri odchode zamestnanca zostávajú účty, licencie a prístupy aktívne.
3. Globálny administrátor pre pohodlie. Externý dodávateľ alebo IT kolega má najvyššie oprávnenia trvalo, hoci ich potrebuje iba občas.
4. Zdieľanie bez prehľadu. Dokumenty zdieľané „ktokoľvek s odkazom“ pred rokmi sú stále dostupné.
5. Audit nikto nesleduje. Záznamy existujú, ale nikto nedostáva upozornenia — incident sa zistí neskoro.
6. Predpoklad, že Microsoft zálohuje všetko. Odolnosť služby nie je to isté ako možnosť obnoviť dáta po chybe alebo útoku.

Otázky, ktoré vedenie položí IT alebo dodávateľovi

• Koľko máme globálnych administrátorov a prečo práve toľko?
• Koľko používateľov nemá MFA a aký je dôvod?
• Sú staršie protokoly overovania zablokované?
• Máme núdzové účty a kedy sme overili, že fungujú?
• Kto dostáva upozornenia na podozrivé prihlásenia a čo s nimi robí?
• Ako by sme obnovili zmazanú schránku alebo SharePoint po útoku ransomvérom?
• Aké je naše Microsoft Secure Score a ako sa vyvíja?

Ako začať: prvých 30 dní

• 1. týždeň: vyžiadajte si report stavu 10 opatrení a zoznam administrátorov.
• 2. týždeň: MFA pre všetkých a blokovanie starších protokolov — s komunikáciou pre používateľov.
• 3. týždeň: oddelené admin účty, núdzové účty, zákaz automatického preposielania mimo firmy.
• 4. týždeň: kontrola externého zdieľania a hostí, nastavenie upozornení a rozhodnutie o zálohovaní.

Odporúčanie pre vedenie

Ak chcete, aby niekto bezpečnosť Microsoft 365 a ďalších systémov pravidelne riadil a reportoval vedeniu, pozrite si program NEXEL Managed MKB.