Ako zabezpečiť firemné konto Microsoft 365 pred prevzatím

Minulý mesiac stratila slovenská firma prístup k celému firemnímu emailu. Jeden zamestnanec, jedno slabé heslo. Útočník bol dnu skôr, ako si to ktokoľvek všimol. Microsoft 365 je dnes srdcom väčšiny firiem. A práve preto je aj najčastejším terčom.

1. Dvojfaktorové overenie nie je bonus, je to základ

Ak máte Microsoft 365 bez zapnutého viacfaktorového overenia (MFA), je to ako mať trezor bez zámku. Heslo nestačí. Útočníci dnes používajú automatizované nástroje, ktoré vyskúšajú tisíce kombinácií za minútu.

MFA znamená, že po zadaní hesla musí používateľ potvrdiť prihlásenie ešte cez aplikáciu v telefóne alebo SMS. Aj keby heslo uniklo, útočník sa nedostane dnu. Podľa údajov Microsoft eliminuje MFA viac ako 99 % automatizovaných útokov na účty.

Problém je, že v mnohých firmách MFA zapnú len pre pár ľudí. Alebo len pre management. Stačí jeden účet bez ochrany a útočník je vo vašej sieti.

2. Správa hesiel a prístupy, ktoré nikto nekontroluje

Koľko ľudí má vo vašej firme administrátorský prístup k Microsoft 365? Dvaja? Päťdesiat? Mnohé firmy to nevedia presne ani samy. Zbytočné oprávnenia sú obľúbenou vstupnou bránou pre útočníkov.

Princíp je jednoduchý: každý zamestnanec by mal mať prístup len k tomu, čo naozaj potrebuje na svoju prácu. Nič viac. Administrátorské roly treba prideľovať striktne a pravidelne revidovať, kto ich vôbec má.

Rovnako dôležité je sledovať, čo sa s účtami deje. Microsoft 365 má zabudované logy prihlásení. Ak ich nikto nesleduje, nikdy sa nedozviete, že sa niekto prihlásil o 3:00 ráno z Rumunska.

3. Phishing stále funguje, aj na skúsených ľudí

Väčšina úspešných útokov nezačína sofistikovaným hackerským nástrojom. Začína emailom, ktorý vyzerá ako správa od Microsoft, šéfa alebo banky. Phishing je stále číslo jeden.

Zamestnanec klikne na odkaz, zadá prihlasovacie údaje na falošnej stránke a je hotovo. Útočník má prístup k celej schránke vrátane firemnej komunikácie, faktúr a hesiel posielaných cez email.

Riešenie nie je len technické. Ľudia musia vedieť, čo majú hľadať. Školenia zamestnancov o kybernetickej bezpečnosti nie sú luxus pre korporácie. Sú to investícia, ktorá vám môže ušetriť oveľa väčšie problémy. Ak chcete ísť ešte ďalej, môžete zaujímavé informácie o ochrane emailovej komunikácie nájsť aj v Microsoft Security Blog.

4. Zálohovanie firemných dát z Microsoft 365

Toto je mylná predstava, ktorú vidíme opakovane: "Máme Microsoft 365, takže máme zálohu." Nie je to pravda. Microsoft zabezpečuje dostupnosť platformy, nie zálohu vašich dát.

Ak zamestnanec omylom zmaže dôležité emaily, niekto prevezme účet a vymaže obsah schránky, alebo ransomware zašifruje vaše SharePoint súbory, Microsoft vám nepomôže obnoviť všetko do pôvodného stavu.

Preto je nevyhnutné mať samostatné zálohovanie dát z Microsoft 365 vrátane emailov, SharePointu aj Teams. Toto je jedna z vecí, ktorú firmy riešia až po probléme. Nenechajte to tak.

5. Podmienený prístup a sledovanie podozrivých aktivít

Microsoft 365 umožňuje nastaviť pravidlá, kedy a odkiaľ sa môžu ľudia prihlásiť. Napríklad: prístup len z firemných zariadení, len z určitých krajín, len počas pracovného času. Podmienený prístup je mocný nástroj, ktorý väčšina malých firiem vôbec nevyužíva.

Rovnako dôležité je sledovanie bezpečnostných udalostí. Microsoft 365 Defender a Secure Score vám ukážu, kde ste zraniteľní. Ale niekto to musí sledovať a vyhodnocovať. To nie je práca na pol hodiny raz za rok.

V kombinácii s dobrou ochranou zariadení a správne nastavenou sieťovou ochranou, o ktorej píšeme v článku Ako správne nastaviť firemný firewall, vytvoríte ochranu, ktorá má reálnu hodnotu.

Pre komplexnejší pohľad na stav vašej digitálnej bezpečnosti odporúčame aj článok o tom, prečo samotný antivírus na PC dnes nestačí. Útočníci sú sofistikovanejší ako kedykoľvek predtým.

Ak chcete vedieť, kde presne vaša firma stojí, IT audit odhalí medzery skôr, ako to urobia útočníci. A to je presne ten pokoj, ktorý si majiteľ firmy zaslúži.

Čo by vás ešte mohlo zaujímať

Čo sa stane, ak niekto prevezme firemný Microsoft 365 účet?

Útočník získa prístup k celej emailovej komunikácii, firemným dokumentom na SharePointe, Teams chatom aj kontaktom. Môže sa vydávať za zamestnanca alebo konateľa, posielať falošné faktúry alebo zmeniť platobné údaje. Škody bývajú nielen finančné, ale aj reputačné. Obnova môže trvať dni až týždne.

Je MFA dostatočná ochrana pre Microsoft 365?

MFA výrazne znižuje riziko, ale samo o sebe nestačí. Existujú techniky, ako MFA obísť, napríklad cez takzvané MFA fatigue útoky alebo podvodné prihlásenia pomocou tokenu. Komplexná ochrana zahŕňa aj podmienený prístup, monitorovanie podozrivých aktivít, zálohy a vzdelávanie zamestnancov.

Musím na správu bezpečnosti Microsoft 365 zamestnať vlastného IT špecialistu?

Nie. Väčšina malých a stredných firiem využíva externého IT partnera, ktorý sa stará o konfiguráciu, monitoring a aktualizácie bezpečnostných nastavení. Je to efektívnejšie a pokryje vás aj mimo pracovného času, čo vlastný zamestnanec spravidla nezabezpečí.

Ako zistím, či je náš Microsoft 365 správne nastavený?

Priamo v Microsoft 365 nájdete Secure Score, čo je skóre bezpečnosti vašej organizácie s konkrétnymi odporúčaniami. Pre hĺbkovejší pohľad odporúčame externý IT audit, kde odborník skontroluje nastavenia, prístupy aj konfiguráciu ochrany a ukáže vám, kde sú skutočné medzery.