Guida alla sicurezza di Microsoft 365
Sicurezza dell'amministratore di Microsoft 365: esaminare l'accesso dell'amministratore globale
L'accesso come amministratore globale può modificare le impostazioni critiche nell'ambiente Microsoft 365. Un utile esame chiede chi ha tale accesso, perché ne ha bisogno, come è protetto e come l'azienda si riprenderebbe se il normale accesso amministrativo smettesse di funzionare.
Pubblicato · Ultima revisione · Di CyberProva
Esegui la tua valutazione gratuita della sicurezza di Microsoft 365Nessuna scheda richiesta · Connessione Microsoft 365 di sola lettura opzionale
Quanti amministratori globali dovresti avere?
Microsoft consiglia di assegnare il ruolo a meno di cinque persone e di utilizzare ruoli più ristretti ove possibile. Trattatelo come una richiesta di revisione, non come un'affermazione secondo cui un conteggio particolare rende sicura un'organizzazione.
- Identificare assegnazioni dirette e accessi privilegiati tramite gruppi.
- Accesso permanente separato dall'accesso idoneo o limitato nel tempo.
- Esamina gli account dei fornitori, il personale precedente e gli incarichi inspiegabili.
Come dovrebbe essere protetto l'accesso dell'amministratore?
Chiedi se le persone necessitano del ruolo completo o di un permesso più ristretto. Amministrazione separata dalla posta elettronica e dalla navigazione quotidiana.
- Utilizza account nominativi e un'adeguata protezione MFA.
- Esaminare le eccezioni relative all'autenticazione e alle policy di accesso.
- Registra il motivo aziendale, il proprietario e la data di revisione per ciascun incarico.
E l'accesso di emergenza?
La ripresa necessita di una pianificazione deliberata. Chiedi al tuo amministratore di documentare l'accesso di emergenza, la protezione, il monitoraggio e i test prima di apportare modifiche ai ruoli privilegiati.
- Sapere chi può recuperare l'accesso se la normale autenticazione fallisce.
- Esamina gli account con accesso di emergenza separatamente dagli amministratori di routine.
- Non eliminare l'accesso esclusivamente per raggiungere un conteggio target senza un piano di ripristino.
Dove verificarlo in Microsoft 365
Chiedi al tuo amministratore autorizzato di ispezionare queste aree per gli account, i servizi e i dispositivi interessati. Queste sono posizioni di revisione, non istruzioni per modificare le impostazioni senza un piano.
Accesso amministratore: ruoli Entra e PIM
Centro di amministrazione di Microsoft Entra: ID Entra > Ruoli e amministratori per gli incarichi attuali; Governance degli ID > Gestione delle identità privilegiate per l'accesso idoneo e le impostazioni di attivazione, ove concesso in licenza.
PIM necessita di Entra ID P2 o Entra ID Governance per gli utenti interessati. Non è incluso semplicemente perché un inquilino ha Business Premium/P1. La disponibilità all’accesso di emergenza necessita di una revisione umana.
AMF: Conditional Access o Security Defaults
Centro di amministrazione di Microsoft Entra: ID Entra > Conditional Access > Criteri; ID Entra > Panoramica > Proprietà > Impostazioni di sicurezza; Metodi di autenticazione > Attività per i report di registrazione.
Conditional Access necessita dell'ID Entra P1 o P2; Business Premium include P1. Security Defaults è disponibile con Entra Free ed è una linea di base alternativa, non un livello aggiuntivo da abilitare insieme a Conditional Access.
Cosa può controllare automaticamente CyberProva
Le osservazioni di sola lettura dipendono dal piano selezionato, dalla licenza Microsoft, dal consenso e dai dati disponibili. Il mancato accesso è una lacuna, non un risultato conforme. Rivedi il autorizzazioni documentate e limitazioni di distribuzione.
- Accesso amministratore: ruoli Entra e PIM: Valutazione di base: assegnazioni attuali dei ruoli di directory e account o entità con il ruolo Amministratore globale. Valutazione avanzata: osservazioni supportate sugli accessi permanenti quando sono disponibili le fonti necessarie. I conteggi di base non determinano l’appartenenza ai gruppi né tutti gli accessi PIM idonei all’attivazione.
- AMF: Conditional Access o Security Defaults: Valutazione di base: alcune osservazioni sui criteri di Conditional Access. Valutazioni avanzate a partire dal piano Business: osservazioni supportate sulla registrazione MFA, sulla copertura dei criteri e su Security Defaults. Non dimostrano che ogni accesso sia protetto.
Cosa dovresti richiedere al tuo fornitore IT
Conserva la fonte, la data, l'ambito, le eccezioni e il revisore per ciascun record. La presentazione e l'accettazione sono separate; la tua organizzazione decide se le prove supportano l'affermazione.
- Accesso amministratore: ruoli Entra e PIM: Assegnazioni di ruoli, record separati di account amministratore, requisiti di attivazione e approvazione del PIM laddove utilizzati e record di custodia, monitoraggio e test esaminati per l'accesso di emergenza. Un ruolo denominato non stabilisce un'esigenza aziendale.
- AMF: Conditional Access o Security Defaults: Stato della politica datato, utenti/app target, esclusioni, forza di autenticazione e record di registrazione; prova di accesso rappresentativa esaminata da un amministratore. Le politiche di sola segnalazione e la registrazione da sole non stabiliscono l'applicazione.
Rendi la risposta dimostrabile
Pacchetto di prove per questa guida
- Un rapporto datato sull'assegnazione dei ruoli privilegiati.
- Prova dell'AMF dell'amministratore e di conti separati.
- Una procedura rivista di accesso di emergenza e un registro di rimozione dell'accesso.
Come aiuta CyberProva
CyberProva include la revisione dell'amministratore globale di sola lettura laddove è disponibile l'accesso necessario, insieme ai controlli di accesso privilegiato basati su prove. Esamina i risultati con il tuo fornitore; un conteggio dei ruoli non può stabilire se ogni assegnazione sia giustificata.
Scopri cosa dovrebbe coprire una valutazione della sicurezza di Microsoft 365 →
Scopri esattamente cosa controlla CyberProva · Scopri come CyberProva valuta la sicurezza · Controlla le autorizzazioni Microsoft
Domande comuni
Un amministratore globale è sempre più sicuro?
Un conteggio basso può comunque lasciare privilegi eccessivi o un singolo punto di errore. Considera il privilegio minimo e il recupero insieme.
Il nostro fornitore IT dovrebbe avere accesso di amministrazione globale?
Potrebbero aver bisogno di un accesso privilegiato per le attività concordate. Chiedi quali autorizzazioni sono necessarie, se l'accesso può essere più ristretto o limitato nel tempo e come viene esaminato.
Guida ufficiale
Utilizza queste fonti con il tuo fornitore IT quando esamini i controlli descritti sopra.
Dalle ipotesi alle prove
Scopri cosa richiede attenzione nella tua organizzazione
Inizia con una valutazione gratuita CyberProva. Esamina i risultati, identifica le lacune nelle prove e concorda le priorità con il tuo team IT.
La tariffa gratuita include 3 valutazioni fondamentali a vita. Le esportazioni di report e le funzionalità avanzate richiedono un piano a pagamento.