Prove di sicurezza di Microsoft 365 per le agenzie di reclutamento

Mappa il percorso di un candidato attraverso i tuoi sistemi

Segui un tipico flusso di lavoro di reclutamento dalla domanda all'invio del cliente e successiva conservazione o eliminazione. Utilizza la mappa per evitare di rispondere a una domanda sull'intero servizio utilizzando le prove solo del tenant dell'e-mail.

• Identificare il sistema di tracciamento dei candidati, le bacheche di lavoro, gli strumenti di analisi dei CV e le posizioni dei documenti condivisi utilizzati dall'agenzia.
• Registra dove le informazioni sui candidati vengono copiate o esportate in e-mail, Teams, SharePoint o OneDrive.
• Identificare quale parte amministra ciascun sistema e chi può fornire record di accesso e ripristino.
• Mantenere le decisioni sulla conservazione e l'eliminazione dei dati dei candidati con il team responsabile; una valutazione di Microsoft 365 non imposta né convalida tali decisioni.

Esaminare l'accesso dei consulenti e la condivisione dei candidati

L'accesso di un'agenzia può cambiare quando i consulenti cambiano scrivania, gli appaltatori se ne vanno o i rapporti con i clienti finiscono. Esamina le autorizzazioni e i percorsi di condivisione che supportano tali modifiche, anziché fare affidamento solo sul conteggio degli account.

• Richiedi l'ambito della policy MFA e le esclusioni per consulenti, amministratori e identità di supporto esterno.
• Controlla il processo di rimozione dell'accesso sia su Microsoft 365 che sul sistema di tracciamento dei candidati.
• Richiedere prove di come i documenti dei candidati vengono condivisi con i clienti e di come viene gestito l'accesso scaduto.
• Esaminare le applicazioni connesse e le relative autorizzazioni, ove supportate; chiedere a ciascun fornitore informazioni sui controlli al di fuori della valutazione del locatario.

Rispondere alle domande di garanzia del cliente nell'ambito dell'evidenza

Un cliente può chiedere in che modo l'agenzia protegge le informazioni sui candidati, gestisce l'accesso dei fornitori o recupera il proprio servizio di collocamento. Mantieni la risposta legata ai sistemi e ai record effettivamente esaminati.

• Distinguere le osservazioni automatizzate di Microsoft 365 dai documenti dei fornitori e dalle dichiarazioni dei fornitori per il monitoraggio dei candidati.
• Chiedere se i record di recupero includono i dati e le esportazioni di cui l'agenzia ha bisogno per continuare a operare.
• Lasciare aperte le domande su integrazioni o piattaforme non esaminate finché il fornitore pertinente non fornisce prove.
• Chiedere al revisore responsabile dell'agenzia di approvare la risposta prima che venga inviata all'approvvigionamento.

Dove verificarlo in Microsoft 365

Chiedi al tuo amministratore autorizzato di ispezionare queste aree per gli account, i servizi e i dispositivi interessati. Queste sono posizioni di revisione, non istruzioni per modificare le impostazioni senza un piano.

Cosa può controllare automaticamente CyberProva

Le osservazioni di sola lettura dipendono dal piano selezionato, dalla licenza Microsoft, dal consenso e dai dati disponibili. Il mancato accesso è una lacuna, non un risultato conforme. Rivedi il autorizzazioni documentate e limitazioni di distribuzione.

• AMF: Conditional Access o Security Defaults: Valutazione di base: alcune osservazioni sui criteri di Conditional Access. Valutazioni avanzate a partire dal piano Business: osservazioni supportate sulla registrazione MFA, sulla copertura dei criteri e su Security Defaults. Non dimostrano che ogni accesso sia protetto.
• Accesso a file esterni: SharePoint e OneDrive: Le valutazioni avanzate a partire dal piano Business possono leggere alcune impostazioni di condivisione e dei collegamenti a livello di ambiente Microsoft 365, previa autorizzazione. Non eseguono un audit degli accessi file per file o fascicolo legale per fascicolo legale.
• Applicazioni connesse: applicazioni aziendali Entra: Valutazione di base: conteggio di alcune applicazioni. Valutazioni avanzate a partire dal piano Business: inventario delle applicazioni supportato e autorizzazioni applicative di Microsoft Graph concesse senza un utente connesso. Il consenso delegato, le altre API e la sicurezza interna di un fornitore non rientrano in questo inventario.

Cosa dovresti richiedere al tuo fornitore IT

Conserva la fonte, la data, l'ambito, le eccezioni e il revisore per ciascun record. La presentazione e l'accettazione sono separate; la tua organizzazione decide se le prove supportano l'affermazione.

• AMF: Conditional Access o Security Defaults: Stato della politica datato, utenti/app target, esclusioni, forza di autenticazione e record di registrazione; prova di accesso rappresentativa esaminata da un amministratore. Le politiche di sola segnalazione e la registrazione da sole non stabiliscono l'applicazione.
• Accesso a file esterni: SharePoint e OneDrive: Impostazioni di condivisione del tenant e del sito pertinente, eccezioni ospite/collegamento approvate ed esempi di risultati della revisione dell'accesso. Registra chi ha approvato l'accesso esterno e cosa è stato rimosso dopo la revisione.
• Applicazioni connesse: applicazioni aziendali Entra: Un registro dei fornitori/delle applicazioni approvato, date del proprietario e della revisione, giustificazioni delle autorizzazioni e record di garanzia per servizi esterni a Microsoft 365. Un'applicazione abilitata non è la prova che sia in uso o approvata.

Come aiuta CyberProva

CyberProva combina controlli Microsoft 365 di sola lettura selezionati con richieste di prove del provider. Può aiutare la tua agenzia a mantenere visibili le basi di una risposta di sicurezza e a identificare le lacune che un fornitore deve colmare. La tariffa gratuita include 3 valutazioni fondamentali a vita, richieste di prove e un riepilogo sullo schermo. Business e superiori aggiungono redazione questionari da controlli mappati, esportazioni di report e gestione delle bonifiche. Le domande sulla piattaforma di tracciamento dei candidati o sul processo di reclutamento più ampio necessitano ancora di prove e revisioni adeguate.

Scopri cosa dovrebbe coprire una valutazione della sicurezza di Microsoft 365 →

Scopri esattamente cosa controlla CyberProva · Scopri come CyberProva valuta la sicurezza · Controlla le autorizzazioni Microsoft

Cosa questo non può stabilire

• CyberProva non certifica la conformità al GDPR del Regno Unito né stabilisce la liceità, la conservazione o la cancellazione di ogni record di candidato. Tali domande richiedono la revisione delle attività di elaborazione complete dell'agenzia e delle linee guida attuali.
• Un'osservazione del locatario non stabilisce la sicurezza di una piattaforma di tracciamento dei candidati, dei sistemi interni di un fornitore o di ogni copia a valle di un CV. Le prove del fornitore rimangono soggette alla revisione della tua organizzazione.

Domande comuni