Guida alla sicurezza di Microsoft 365
Quali prove di sicurezza dovresti chiedere al tuo fornitore IT?
Il tuo fornitore IT in outsourcing afferma che la sicurezza è coperta. Per capire cosa viene effettivamente fornito, chiedi prova di controlli specifici nel tuo ambiente. Una risposta utile mostra cosa è stato controllato, quando, per quali account o servizi e cosa rimane irrisolto.
Pubblicato · Ultima revisione · Di CyberProva
Esegui la tua valutazione gratuita della sicurezza di Microsoft 365Nessuna scheda richiesta · Connessione Microsoft 365 di sola lettura opzionale
Inizia con le responsabilità e l’ambito del servizio
Confronta i controlli su cui fa affidamento la tua azienda con i servizi che il tuo fornitore ha accettato di fornire. Possono esserci lacune tra il fornitore, il personale e altri fornitori.
- Conferma quali tenant, account, dispositivi e dati gestisce il provider.
- Chiedi chi possiede le revisioni degli accessi, gli aggiornamenti, i backup e l'escalation degli incidenti.
- Registra i servizi e le attività esclusi che richiedono un accordo separato.
Richiedi prove che rispondano a una domanda specifica
Evita un'ampia richiesta di dimostrare che tutto è sicuro. Inizia con la protezione dell'account, l'accesso privilegiato e il ripristino, quindi espandi in base ai rischi aziendali e all'ambito concordato.
- AMF: prove di copertura datate, ambito politico ed eccezioni.
- Accesso amministratore: assegnazioni di ruolo attuali, identità dei fornitori e risultati della revisione.
- Ripristino: copertura del backup e record di test di ripristino completato con ambito e risultato.
- Email e dispositivi: esportazioni delle relative configurazioni, copertura della protezione e record di aggiornamento forniti dal provider.
Esamina la risposta e concorda cosa succederà dopo
Un fornitore che carica un documento non dimostra che supporta il controllo. La tua organizzazione dovrebbe verificare l'ambito, la data e il risultato prima di accettarlo.
- Mantenere la richiesta e la risposta delle prove collegate al controllo in fase di revisione.
- Porre domande di follow-up laddove le prove siano obsolete, incomplete o per un altro ambiente.
- Registrare chi ha esaminato le prove e se sono state accettate o rifiutate.
- Concordare i proprietari e i passaggi successivi per le lacune, quindi aggiornare le prove dopo le modifiche rilevanti.
Dove verificarlo in Microsoft 365
Chiedi al tuo amministratore autorizzato di ispezionare queste aree per gli account, i servizi e i dispositivi interessati. Queste sono posizioni di revisione, non istruzioni per modificare le impostazioni senza un piano.
AMF: Conditional Access o Security Defaults
Centro di amministrazione di Microsoft Entra: ID Entra > Conditional Access > Criteri; ID Entra > Panoramica > Proprietà > Impostazioni di sicurezza; Metodi di autenticazione > Attività per i report di registrazione.
Conditional Access necessita dell'ID Entra P1 o P2; Business Premium include P1. Security Defaults è disponibile con Entra Free ed è una linea di base alternativa, non un livello aggiuntivo da abilitare insieme a Conditional Access.
Inoltro di posta elettronica esterno: Exchange Online
Centro di amministrazione di Exchange: Destinatari > Cassette postali > Inoltro delle cassette postali, oltre a Flusso di posta > Regole e impostazioni del dominio remoto. Esamina le regole della posta in arrivo separatamente. In Microsoft Defender controllare i criteri di protezione da posta indesiderata in uscita e le relative impostazioni di inoltro esterno.
Ripristino: conservazione e backup di Exchange/SharePoint
Competenza Microsoft: gestione del ciclo di vita dei dati > Criteri di conservazione ed etichette di conservazione pertinenti; esaminare le impostazioni degli elementi eliminati di Exchange e del cestino/ripristino di SharePoint/OneDrive con l'amministratore. Ispezionare il servizio di backup separato e i relativi record di ripristino.
Conservazione, cronologia delle versioni e cestini offrono diverse funzioni di ripristino. Non dare per scontato che equivalgano a un backup gestito in modo indipendente o che soddisfino la definizione dell'assicuratore. Confermare le funzionalità di ripristino concesse in licenza e i requisiti di ripristino effettivi.
Cosa può controllare automaticamente CyberProva
Le osservazioni di sola lettura dipendono dal piano selezionato, dalla licenza Microsoft, dal consenso e dai dati disponibili. Il mancato accesso è una lacuna, non un risultato conforme. Rivedi il autorizzazioni documentate e limitazioni di distribuzione.
- AMF: Conditional Access o Security Defaults: Valutazione di base: alcune osservazioni sui criteri di Conditional Access. Valutazioni avanzate a partire dal piano Business: osservazioni supportate sulla registrazione MFA, sulla copertura dei criteri e su Security Defaults. Non dimostrano che ogni accesso sia protetto.
- Inoltro di posta elettronica esterno: Exchange Online: La connessione Graph di base di CyberProva non elenca le regole della posta in arrivo di Exchange, l’inoltro delle cassette postali o le regole di trasporto. Questi controlli richiedono documentazione di supporto; non sono verifiche automatiche del contenuto delle cassette postali.
- Ripristino: conservazione e backup di Exchange/SharePoint: CyberProva non verifica automaticamente la copertura della conservazione, l’isolamento dei backup o la riuscita dei ripristini. Questi controlli richiedono documentazione fornita e una revisione da parte dell’organizzazione.
Cosa dovresti richiedere al tuo fornitore IT
Conserva la fonte, la data, l'ambito, le eccezioni e il revisore per ciascun record. La presentazione e l'accettazione sono separate; la tua organizzazione decide se le prove supportano l'affermazione.
- AMF: Conditional Access o Security Defaults: Stato della politica datato, utenti/app target, esclusioni, forza di autenticazione e record di registrazione; prova di accesso rappresentativa esaminata da un amministratore. Le politiche di sola segnalazione e la registrazione da sole non stabiliscono l'applicazione.
- Inoltro di posta elettronica esterno: Exchange Online: Un inventario datato di regole/inoltri con destinazioni ed eccezioni, criteri di spam in uscita e flusso di posta applicabili e una revisione da parte dell'amministratore di modifiche sospette o impreviste.
- Ripristino: conservazione e backup di Exchange/SharePoint: Ambito di conservazione/eliminazione, copertura e conservazione del carico di lavoro di backup, separazione amministrativa o isolamento/immutabilità ove richiesto e un test di ripristino datato con dati ripristinati, risultati, errori e revisore.
Rendi la risposta dimostrabile
Pacchetto di prove per questa guida
- L'ambito del servizio e un elenco di responsabilità controllo per controllo.
- Accesso datato, MFA, configurazione e prove di ripristino per la tua organizzazione.
- Un registro delle revisioni delle prove, delle richieste senza risposta e delle azioni di follow-up concordate.
Come aiuta CyberProva
CyberProva ti consente di richiedere prove di supporto a un team interno, a un MSP o a un fornitore esterno tramite un collegamento di caricamento. Il fornitore non ha bisogno di un account CyberProva. La tua organizzazione esamina e accetta o rifiuta la risposta. I controlli facoltativi di Microsoft 365 di sola lettura forniscono osservazioni sulle impostazioni selezionate insieme a tali prove. La tariffa gratuita include 3 valutazioni fondamentali a vita; le esportazioni di report e la gestione delle correzioni richiedono Business o versione successiva.
Scopri cosa dovrebbe coprire una valutazione della sicurezza di Microsoft 365 →
Scopri esattamente cosa controlla CyberProva · Scopri come CyberProva valuta la sicurezza · Controlla le autorizzazioni Microsoft
Esempio pratico
Esempio di richiesta al tuo fornitore IT in outsourcing
Adatta questa richiesta al tuo contratto di servizio e rivedi la scadenza. Richiedere un contesto sufficiente per valutare il controllo senza raccogliere informazioni sensibili non necessarie.
- Ti preghiamo di confermare quali account, dispositivi e servizi gestisci per noi e quali attività di sicurezza rimangono di nostra responsabilità.
- Per il nostro tenant di Microsoft 365, fornire la copertura MFA datata e le prove delle policy, comprese le esclusioni, e l'attuale revisione dell'accesso amministrativo.
- Per i dati su cui facciamo affidamento, forniamo copertura di backup e l'ultimo record di test di ripristino completato con relativo ambito, data e risultato.
- Spiegare eventuali lacune, servizi esclusi o soluzioni pianificate e suggerire l'azione successiva e la persona responsabile.
Cosa questo non può stabilire
- I controlli delle impostazioni selezionati e i documenti inviati non possono stabilire tutti i servizi offerti dal tuo provider. Esaminare il contratto di servizio e commissionare il lavoro di uno specialista ove necessario.
- CyberProva non modifica le impostazioni di Microsoft 365 né esegue test di ripristino. Il tuo team IT autorizzato implementa le modifiche e fornisce prove operative.
Domande comuni
Il nostro fornitore deve acquistare CyberProva?
No. Un fornitore può inviare prove tramite il collegamento di richiesta senza un account CyberProva. La tua organizzazione gestisce la richiesta ed esamina la risposta.
Si tratta di un audit indipendente del nostro fornitore?
No. Ti aiuta a rivedere le prove dei controlli selezionati nel tuo ambiente. Le prove accettate dalla tua organizzazione non costituiscono un parere di audit indipendente sul fornitore.
Cosa succede se il nostro fornitore non è in grado di fornire prove?
Mantieni visibile lo spazio vuoto. Chiarire se il controllo è esterno al contratto di servizio, non è stato testato o necessita di correzione, quindi concordare chi seguirà.
Dovremmo inviare password o codici di ripristino come prova?
No. Richiedi report o record che rispondano alla domanda, oscurino informazioni personali non necessarie ed evitino password, codici di ripristino, chiavi API e altri segreti.
Guida ufficiale
Utilizza queste fonti con il tuo fornitore IT quando esamini i controlli descritti sopra.
Dalle ipotesi alle prove
Scopri cosa richiede attenzione nella tua organizzazione
Inizia con una valutazione gratuita CyberProva. Esamina i risultati, identifica le lacune nelle prove e concorda le priorità con il tuo team IT.
La tariffa gratuita include 3 valutazioni fondamentali a vita. Le esportazioni di report e le funzionalità avanzate richiedono un piano a pagamento.