Microsoft 365 ist nicht automatisch sicher: Die sieben Stellschrauben

غالباً ما يتم شراء Microsoft 365 كمنصة محمية بالكامل. هذه نصف الحقيقة فقط: Microsoft تدير البنية التحتية بأمان — لكن الهويات، والإعدادات، والبيانات تقع تحت مسؤوليتكم. هذه المسؤولية المشتركة (Shared Responsibility) هي النقطة التي تفشل فيها الأمور في الممارسة العملية. الخبر السار: الإعدادات الحاسمة معروفة وقابلة للإدارة.

1. المصادقة متعددة العوامل دون استثناءات

التحقق متعدد العوامل (MFA) لجميع الحسابات — بما في ذلك الإدارة التنفيذية والموردين الخارجيين. أمر مهم بنفس القدر: تعطيل المصادقة التقليدية (POP، IMAP، المصادقة الأساسية)، لأنها تتجاوز التحقق متعدد العوامل تمامًا وتُعدّ البوابة الأكثر شيوعًا لاختراق الحسابات.

2. فصل حسابات المسؤول

حساب الاستخدام اليومي ليس حساب المسؤول. يعمل المسؤولون بهويتين: واحدة للبريد الإلكتروني والمستندات، وأخرى للإدارة. يحصل حساب المسؤول على صندوق بريد ولا يُستخدم لأي غرض آخر. بهذه الطريقة، لا يؤدي النقر على رسالة تصيّد في الاستخدام اليومي إلى اختراق مركز البيانات.

3. الوصول الشرطي (Conditional Access) بدلاً من الثقة بكلمة المرور

فحص سياسات الوصول يعتمد على السياق وليس كلمة المرور فقط: الأجهزة المُدارة فقط، المواقع المتوقعة فقط، وحظر تسجيلات الدخول عالية الخطورة. من يستخدم هذه السياسات يجعل كلمة المرور المسروقة مجرد مجموعة بيانات عديمة القيمة.

4. تقييد المشاركات الخارجية وصلاحيات الضيوف

تسمح Teams وSharePoint افتراضياً بمشاركة سخية. تحققوا مما يلي: تعطيل الروابط المجهولة، تحديد تواريخ انتهاء صلاحية الضيوف، وإجراء مراجعات وصول دورية. وإلا فستبقى صلاحيات الوصول الخارجية قائمة لسنوات — حتى بعد انتهاء المشروع بكثير.

5. تفعيل سجلات التدقيق والإشعارات

بدون تفعيل المراقبة، لن يلاحظ أحد عندما يتم إنشاء قواعد البريد الوارد أو تنزيل كميات كبيرة من البيانات. السجلات موجودة بالفعل — يجب فقط تشغيلها وتحليلها.

6. النسخ الاحتياطي: مايكروسوفت تحمي المنصة، وليس بياناتك

فترات الحفظ وسلة المهملات هي ليست نسخًا احتياطية. بعد انقضاء المهلة الزمنية، تُحذف رسائل البريد الإلكتروني ودردشات Teams والملفات نهائياً — حتى في حالة الحذف غير المقصود أو هجمات الفدية (Ransomware). النسخ الاحتياطي المستقل لـ Exchange وSharePoint وOneDrive وTeams هو جزء من مسؤوليتكم الخاصة.

7. استغلال وظائف الحماية المدمجة إلى أقصى حد

تُشمل سياسات مكافحة التصيد الاحتيالي، والروابط الآمنة، والمرفقات الآمنة في بعض التراخيص مسبقًا، لكنها تُهيأ بشكل حذر افتراضيًا. من يضبطها بدقة، يُفلتر الجزء الأكبر من الهجمات قبل وصولها إلى صندوق الوارد.

النهج العملي

لا تتطلب أي من هذه الإجراءات مشروعًا كبيرًا: يمكن تنفيذ التعزيز الأساسي في غضون أيام قليلة، وبعد ذلك يكفي إجراء مراجعة ربع سنوية للسياسات وصلاحيات الضيوف والسجلات. المهم فقط أن يكون هناك شخص مسؤول عن ذلك — وليس مجرد "عملية تعمل في الخلفية".

← جميع الأدلة