Guida alla sicurezza di Microsoft 365
Prove di sicurezza di Microsoft 365 per le società di contabilità
Il tuo studio scambia documenti fiscali, informazioni sui salari e istruzioni di pagamento con i clienti. Prima di un periodo di reporting impegnativo o di un rinnovo assicurativo, stabilisci come sono protetti gli account Microsoft 365 utilizzati per quel lavoro, cosa può dimostrare il tuo team IT in outsourcing e quali sistemi contabili necessitano di una revisione separata.
Pubblicato · Ultima revisione · Di CyberProva
Esegui la tua valutazione gratuita della sicurezza di Microsoft 365Nessuna scheda richiesta · Connessione Microsoft 365 di sola lettura opzionale
Segui le informazioni del cliente attraverso la tua pratica
Inizia con un incarico tipico: i documenti arrivano tramite e-mail o tramite un portale clienti, il personale prepara il lavoro e i risultati tornano al cliente. Identificare dove viene utilizzato Microsoft 365 e dove altri provider conservano le informazioni.
- Elenca le caselle di posta, gli spazi di Teams e le posizioni di SharePoint o OneDrive utilizzate per il lavoro del cliente.
- Includere nella discussione sull'accesso i team addetti alla gestione delle paghe, il personale temporaneo e gli accordi di contabilità esternalizzati.
- Registra i portali di contabilità, imposte, buste paga e documenti che si trovano al di fuori della valutazione di Microsoft 365.
- Chiedi chi rimuove l'accesso quando un membro del personale, un appaltatore o l'impegno del cliente cambia.
Esamina insieme la protezione dell'account e le procedure di modifica dei pagamenti
Una casella di posta compromessa può far sembrare familiare una richiesta fraudolenta. Le impostazioni tecniche e il processo di approvazione della pratica necessitano di prove separate; nessuno dei due dimostra che ogni istruzione di pagamento sia autentica.
- Richiedere prove dell'applicazione dell'AMF e dell'esclusione per partner, personale e account di fornitori privilegiati.
- Chiedi al fornitore di rivedere le regole di inoltro e della casella di posta e di spiegare eventuali destinazioni esterne legittime.
- Confermare come viene verificata una richiesta di modifica delle coordinate bancarie o buste paga utilizzando un percorso di contatto già noto allo studio.
- Utilizza un esempio redatto del record di approvazione per discutere se il processo viene seguito, senza caricare i dettagli bancari del cliente.
Prepararsi per le scadenze di reporting e il passaggio di consegne ai fornitori
Il recupero e le lacune di accesso possono diventare urgenti quando la gestione delle buste paga, la presentazione dei conti o la scadenza fiscale dipendono dal servizio interessato. Richiedere prove di tali dipendenze prima di considerare sufficiente una dichiarazione di backup generale.
- Confermare quali file client, caselle di posta e dati delle applicazioni sono inclusi nella copertura del backup.
- Richiedere un record di test di ripristino completato per un flusso di lavoro rappresentativo e chiedere cosa è stato escluso.
- Esaminare l'accesso concesso al personale stagionale prima e dopo il periodo di punta.
- Concordare chi risolverà le richieste di prove in sospeso e quando i partner le rivedranno.
Dove verificarlo in Microsoft 365
Chiedi al tuo amministratore autorizzato di ispezionare queste aree per gli account, i servizi e i dispositivi interessati. Queste sono posizioni di revisione, non istruzioni per modificare le impostazioni senza un piano.
AMF: Conditional Access o Security Defaults
Centro di amministrazione di Microsoft Entra: ID Entra > Conditional Access > Criteri; ID Entra > Panoramica > Proprietà > Impostazioni di sicurezza; Metodi di autenticazione > Attività per i report di registrazione.
Conditional Access necessita dell'ID Entra P1 o P2; Business Premium include P1. Security Defaults è disponibile con Entra Free ed è una linea di base alternativa, non un livello aggiuntivo da abilitare insieme a Conditional Access.
Inoltro di posta elettronica esterno: Exchange Online
Centro di amministrazione di Exchange: Destinatari > Cassette postali > Inoltro delle cassette postali, oltre a Flusso di posta > Regole e impostazioni del dominio remoto. Esamina le regole della posta in arrivo separatamente. In Microsoft Defender controllare i criteri di protezione da posta indesiderata in uscita e le relative impostazioni di inoltro esterno.
Ripristino: conservazione e backup di Exchange/SharePoint
Competenza Microsoft: gestione del ciclo di vita dei dati > Criteri di conservazione ed etichette di conservazione pertinenti; esaminare le impostazioni degli elementi eliminati di Exchange e del cestino/ripristino di SharePoint/OneDrive con l'amministratore. Ispezionare il servizio di backup separato e i relativi record di ripristino.
Conservazione, cronologia delle versioni e cestini offrono diverse funzioni di ripristino. Non dare per scontato che equivalgano a un backup gestito in modo indipendente o che soddisfino la definizione dell'assicuratore. Confermare le funzionalità di ripristino concesse in licenza e i requisiti di ripristino effettivi.
Cosa può controllare automaticamente CyberProva
Le osservazioni di sola lettura dipendono dal piano selezionato, dalla licenza Microsoft, dal consenso e dai dati disponibili. Il mancato accesso è una lacuna, non un risultato conforme. Rivedi il autorizzazioni documentate e limitazioni di distribuzione.
- AMF: Conditional Access o Security Defaults: Valutazione di base: alcune osservazioni sui criteri di Conditional Access. Valutazioni avanzate a partire dal piano Business: osservazioni supportate sulla registrazione MFA, sulla copertura dei criteri e su Security Defaults. Non dimostrano che ogni accesso sia protetto.
- Inoltro di posta elettronica esterno: Exchange Online: La connessione Graph di base di CyberProva non elenca le regole della posta in arrivo di Exchange, l’inoltro delle cassette postali o le regole di trasporto. Questi controlli richiedono documentazione di supporto; non sono verifiche automatiche del contenuto delle cassette postali.
- Ripristino: conservazione e backup di Exchange/SharePoint: CyberProva non verifica automaticamente la copertura della conservazione, l’isolamento dei backup o la riuscita dei ripristini. Questi controlli richiedono documentazione fornita e una revisione da parte dell’organizzazione.
Cosa dovresti richiedere al tuo fornitore IT
Conserva la fonte, la data, l'ambito, le eccezioni e il revisore per ciascun record. La presentazione e l'accettazione sono separate; la tua organizzazione decide se le prove supportano l'affermazione.
- AMF: Conditional Access o Security Defaults: Stato della politica datato, utenti/app target, esclusioni, forza di autenticazione e record di registrazione; prova di accesso rappresentativa esaminata da un amministratore. Le politiche di sola segnalazione e la registrazione da sole non stabiliscono l'applicazione.
- Inoltro di posta elettronica esterno: Exchange Online: Un inventario datato di regole/inoltri con destinazioni ed eccezioni, criteri di spam in uscita e flusso di posta applicabili e una revisione da parte dell'amministratore di modifiche sospette o impreviste.
- Ripristino: conservazione e backup di Exchange/SharePoint: Ambito di conservazione/eliminazione, copertura e conservazione del carico di lavoro di backup, separazione amministrativa o isolamento/immutabilità ove richiesto e un test di ripristino datato con dati ripristinati, risultati, errori e revisore.
Rendi la risposta dimostrabile
Pacchetto di prove per questa guida
- Un inventario del flusso di lavoro del client che separa Microsoft 365 dalle piattaforme di contabilità, buste paga e imposte.
- Politica MFA datata, registri di revisione degli accessi privilegiati e del personale stagionale.
- Prove di inoltro fornite dal fornitore e un esempio oscurato di approvazione della modifica del pagamento.
- Ambito del backup e record di test di ripristino completato relativo al lavoro critico in termini di scadenza dello studio.
Come aiuta CyberProva
CyberProva integra osservazioni selezionate di Microsoft 365 di sola lettura e prove del fornitore in una valutazione che il tuo studio può esaminare. Puoi richiedere un record al tuo fornitore IT e decidere se supporta il controllo. La tariffa gratuita include 3 valutazioni fondamentali a vita, richieste di prove e un riepilogo sullo schermo. Business e versioni successive aggiungono esportazioni di report, flussi di lavoro di questionari e gestione delle soluzioni. La tua pratica continua a rivedere separatamente le sue piattaforme contabili e le procedure operative.
Scopri cosa dovrebbe coprire una valutazione della sicurezza di Microsoft 365 →
Scopri esattamente cosa controlla CyberProva · Scopri come CyberProva valuta la sicurezza · Controlla le autorizzazioni Microsoft
Esempio pratico
Esempio: preparare la pratica per una scadenza buste paga
Richiesta di prove illustrative per uno studio che utilizza Microsoft 365 per la corrispondenza con i clienti e una piattaforma di gestione stipendi separata. Adattare l'ambito e la data di revisione al proprio impegno.
- Si prega di identificare gli account del personale e del fornitore con accesso alla nostra corrispondenza sui salari e ai documenti di supporto dei clienti, compreso il personale temporaneo.
- Fornire la copertura e le esclusioni della politica MFA datata, la revisione dell'accesso privilegiato e la revisione delle destinazioni di inoltro da parte del fornitore.
- Confermare la copertura del backup per i file di supporto e identificare il proprietario del ripristino della piattaforma di gestione stipendi separata. Fornire il risultato più recente del test di ripristino pertinente.
- Il responsabile dello studio esaminerà questi documenti insieme a un esempio redatto di come vengono autorizzate le modifiche ai dettagli della busta paga del cliente. Mantieni visibili le domande senza risposta prima della scadenza.
Cosa questo non può stabilire
- Questa è la preparazione delle prove per i controlli selezionati. Non certifica la conformità degli organismi professionali, non convalida i conti o le dichiarazioni fiscali, né verifica tutti i sistemi dello studio.
- Una revisione delle impostazioni di Microsoft 365 non può stabilire che un'istruzione del client sia autentica, che siano stati eseguiti i controlli di pagamento o che il ripristino abbia esito positivo. Tali affermazioni necessitano di prove operative e di un’adeguata revisione.
Domande comuni
CyberProva controllerà il nostro software contabile o fiscale?
La connessione a Microsoft 365 non controlla le piattaforme di contabilità, imposte, buste paga o portale client. Includi questi servizi nel tuo ambito più ampio e ottieni prove dai loro amministratori o fornitori.
Una valutazione può prevenire la compromissione della posta elettronica aziendale?
Può identificare risultati selezionati e prove mancanti per la revisione. Non può garantire che un conto non sia compromesso o che un'istruzione di pagamento sia autentica. La verifica dei pagamenti e l'indagine sugli incidenti richiedono processi propri.
Dovremmo caricare le dichiarazioni dei redditi dei clienti come prova?
Di solito la prova utile è un rapporto di configurazione, una revisione degli accessi o un record di processo redatto. Evitare di caricare documenti finanziari, credenziali o altro materiale sensibile del cliente che non sia necessario per valutare il controllo.
Dobbiamo sostituire il nostro fornitore IT in outsourcing?
No. Puoi utilizzare le richieste di valutazione e di prova per chiarire il lavoro svolto dal tuo attuale fornitore. I fornitori possono inviare prove tramite un collegamento di richiesta senza un account CyberProva.
Guida ufficiale
Utilizza queste fonti con il tuo fornitore IT quando esamini i controlli descritti sopra.
Dalle ipotesi alle prove
Scopri cosa richiede attenzione nella tua organizzazione
Inizia con una valutazione gratuita CyberProva. Esamina i risultati, identifica le lacune nelle prove e concorda le priorità con il tuo team IT.
La tariffa gratuita include 3 valutazioni fondamentali a vita. Le esportazioni di report e le funzionalità avanzate richiedono un piano a pagamento.