Valutazione della sicurezza di Microsoft 365 per le piccole imprese

Cosa dovrebbe coprire la valutazione?

Inizia con un ambito definito: il tuo ambiente Microsoft 365, persone, account amministratore e servizi connessi. Registrare eventuali esclusioni prima di interpretare un punteggio.

• Identità: MFA, accesso amministratore ed eccezioni di autenticazione.
• E-mail: inoltro, protezione dal phishing e modifiche alle regole della casella di posta.
• Accesso ai dati: condivisione esterna, ospiti e revisioni degli accessi.
• Ripristino: copertura del backup, test di ripristino e responsabilità degli incidenti.

Come si esegue una valutazione utile?

Chiedi al tuo team IT o al tuo fornitore di identificare il proprietario di ciascun controllo. Rivedi le impostazioni attuali, richiedi le prove mancanti e assegna a ciascuna scoperta una chiara azione successiva.

• Conferma le persone, i dispositivi e i servizi inclusi.
• Raccogli report sulle impostazioni datati e identifica tutto ciò che non è stato possibile controllare.
• Separare i controlli verificati dalle lacune nelle evidenze e dai controlli che necessitano di interventi.
• Concordare i proprietari e le date previste, quindi rivalutare dopo le modifiche.

Cosa ti dice un punteggio?

Un punteggio riassume i controlli selezionati. Non dimostra che ogni parte dell'azienda sia sicura, che non si sia mai verificato un attacco o che il ripristino funzionerà.

• Leggi i risultati dietro il punteggio.
• Trattare i dati mancanti come una lacuna, piuttosto che come un risultato conforme.
• Non utilizzare una valutazione della configurazione in sostituzione di indagini sugli incidenti o test di penetrazione.

Valutazione, audit o revisione: di cosa hai bisogno?

Una valutazione della sicurezza M365 stabilisce una linea di base. Un controllo di sicurezza di Microsoft 365 può comportare criteri concordati, test dettagliati e un giudizio professionale indipendente. Una revisione della sicurezza aiuta a rivisitare la posizione dopo le modifiche. Definire l'ambito e i risultati finali prima di confrontare i servizi.

• Utilizzare una valutazione di base per identificare le lacune di controllo selezionate e le prove mancanti.
• L'audit specialistico della Commissione o il lavoro di test di penetrazione quando la domanda lo richiede.
• Utilizza le revisioni di follow-up per verificare se le modifiche concordate sono state completate.

Dove verificarlo in Microsoft 365

Chiedi al tuo amministratore autorizzato di ispezionare queste aree per gli account, i servizi e i dispositivi interessati. Queste sono posizioni di revisione, non istruzioni per modificare le impostazioni senza un piano.

Cosa può controllare automaticamente CyberProva

Le osservazioni di sola lettura dipendono dal piano selezionato, dalla licenza Microsoft, dal consenso e dai dati disponibili. Il mancato accesso è una lacuna, non un risultato conforme. Rivedi il autorizzazioni documentate e limitazioni di distribuzione.

• AMF: Conditional Access o Security Defaults: Valutazione di base: alcune osservazioni sui criteri di Conditional Access. Valutazioni avanzate a partire dal piano Business: osservazioni supportate sulla registrazione MFA, sulla copertura dei criteri e su Security Defaults. Non dimostrano che ogni accesso sia protetto.
• Accesso amministratore: ruoli Entra e PIM: Valutazione di base: assegnazioni attuali dei ruoli di directory e account o entità con il ruolo Amministratore globale. Valutazione avanzata: osservazioni supportate sugli accessi permanenti quando sono disponibili le fonti necessarie. I conteggi di base non determinano l’appartenenza ai gruppi né tutti gli accessi PIM idonei all’attivazione.
• Inoltro di posta elettronica esterno: Exchange Online: La connessione Graph di base di CyberProva non elenca le regole della posta in arrivo di Exchange, l’inoltro delle cassette postali o le regole di trasporto. Questi controlli richiedono documentazione di supporto; non sono verifiche automatiche del contenuto delle cassette postali.
• Accesso a file esterni: SharePoint e OneDrive: Le valutazioni avanzate a partire dal piano Business possono leggere alcune impostazioni di condivisione e dei collegamenti a livello di ambiente Microsoft 365, previa autorizzazione. Non eseguono un audit degli accessi file per file o fascicolo legale per fascicolo legale.
• Protezione e aggiornamenti degli endpoint: Defender per Business e Intune: Le valutazioni avanzate supportano alcune osservazioni sull’inventario Intune, sulla conformità, sulla crittografia e sui criteri classici, secondo le autorizzazioni e le licenze disponibili. La presenza di un criterio non ne dimostra l’applicazione effettiva. CyberProva non verifica automaticamente l’onboarding dei dispositivi in Defender EDR né lo stato dei sensori.
• Ripristino: conservazione e backup di Exchange/SharePoint: CyberProva non verifica automaticamente la copertura della conservazione, l’isolamento dei backup o la riuscita dei ripristini. Questi controlli richiedono documentazione fornita e una revisione da parte dell’organizzazione.

Cosa dovresti richiedere al tuo fornitore IT

Conserva la fonte, la data, l'ambito, le eccezioni e il revisore per ciascun record. La presentazione e l'accettazione sono separate; la tua organizzazione decide se le prove supportano l'affermazione.

• AMF: Conditional Access o Security Defaults: Stato della politica datato, utenti/app target, esclusioni, forza di autenticazione e record di registrazione; prova di accesso rappresentativa esaminata da un amministratore. Le politiche di sola segnalazione e la registrazione da sole non stabiliscono l'applicazione.
• Accesso amministratore: ruoli Entra e PIM: Assegnazioni di ruoli, record separati di account amministratore, requisiti di attivazione e approvazione del PIM laddove utilizzati e record di custodia, monitoraggio e test esaminati per l'accesso di emergenza. Un ruolo denominato non stabilisce un'esigenza aziendale.
• Inoltro di posta elettronica esterno: Exchange Online: Un inventario datato di regole/inoltri con destinazioni ed eccezioni, criteri di spam in uscita e flusso di posta applicabili e una revisione da parte dell'amministratore di modifiche sospette o impreviste.
• Accesso a file esterni: SharePoint e OneDrive: Impostazioni di condivisione del tenant e del sito pertinente, eccezioni ospite/collegamento approvate ed esempi di risultati della revisione dell'accesso. Registra chi ha approvato l'accesso esterno e cosa è stato rimosso dopo la revisione.
• Protezione e aggiornamenti degli endpoint: Defender per Business e Intune: Inventario dei dispositivi riconciliato, onboarding/integrità di Defender e copertura EDR, policy di conformità/aggiornamento assegnate, risultati di distribuzione e record di gestione delle vulnerabilità. Includere i dispositivi assenti da Intune e qualsiasi strumento di protezione di terze parti.
• Ripristino: conservazione e backup di Exchange/SharePoint: Ambito di conservazione/eliminazione, copertura e conservazione del carico di lavoro di backup, separazione amministrativa o isolamento/immutabilità ove richiesto e un test di ripristino datato con dati ripristinati, risultati, errori e revisore.

Come aiuta CyberProva

CyberProva combina controlli selezionati di Microsoft 365 di sola lettura con controlli basati sull'evidenza. Puoi iniziare senza connetterti a Microsoft 365, registrare le lacune nelle prove ed elaborare i risultati con il tuo fornitore IT.

Confronta i controlli di base con un controllo di sicurezza di Microsoft 365 · Pianificare una revisione della sicurezza di follow-up

Scopri esattamente cosa controlla CyberProva · Scopri come CyberProva valuta la sicurezza · Controlla le autorizzazioni Microsoft

Domande comuni