Guida alla sicurezza di Microsoft 365
Prove per i questionari sulla sicurezza dei clienti e dei fornitori
Un cliente o un team di approvvigionamento invia un questionario sulla sicurezza con una scadenza. Hai bisogno di risposte che la tua azienda possa supportare, piuttosto che di una serie di dichiarazioni rassicuranti. Mantieni ogni domanda collegata al suo scopo, alle prove datate e alla persona responsabile dell'approvazione della risposta.
Pubblicato · Ultima revisione · Di CyberProva
Esegui la tua valutazione gratuita della sicurezza di Microsoft 365Nessuna scheda richiesta · Connessione Microsoft 365 di sola lettura opzionale
Comprendi cosa il richiedente ti sta chiedendo di dimostrare
Confermare quale servizio, business unit e sistemi copre il questionario. Quando rispondi in qualità di fornitore, la domanda del cliente potrebbe riguardare l'intero servizio, non solo Microsoft 365.
- Conserva la domanda originale ed eventuali definizioni o allegati richiesti.
- Registrare il richiedente, la scadenza e il revisore interno.
- Chiarire le domande che combinano diversi controlli o implicano un ambito più ampio di quanto si possa dimostrare.
Costruisci una traccia di prove per ogni risposta
Una politica descrive una pratica prevista; un rapporto di configurazione o un record di test possono aiutare a mostrare cosa sta funzionando. Scegli le prove che supportano la formulazione della risposta.
- Per domande sull'accesso, raccogli revisioni dell'account, politiche MFA ed eccezioni pertinenti.
- Per domande sul ripristino, raccogliere l'ambito del backup e i record dei test di ripristino completati.
- Per domande sul processo, richiedere la politica pertinente e i documenti che ne mostrano l'utilizzo.
- Registrare la fonte delle prove, la data di revisione e le limitazioni; aggiornare le evidenze quando l'ambito o il controllo cambiano.
Utilizza le bozze come punto di partenza per una risposta rivista
Nel flusso di lavoro del questionario Business di CyberProva, è possibile incollare domande e rivedere le relative mappature ai controlli di valutazione. Le bozze distinguono risultati automatizzati, prove accettate, controlli falliti e fatti che non sono stati accertati.
- Controlla ogni mappatura dei controlli suggerita rispetto alla domanda prima di utilizzare la bozza.
- Rispondi tu stesso alle domande esterne al catalogo con adeguate prove di supporto.
- Esamina le risposte incomplete o mancanti e spiega accuratamente la posizione attuale.
- Approvare la formulazione finale e condividere solo le prove di cui il richiedente ha bisogno.
Dove verificarlo in Microsoft 365
Chiedi al tuo amministratore autorizzato di ispezionare queste aree per gli account, i servizi e i dispositivi interessati. Queste sono posizioni di revisione, non istruzioni per modificare le impostazioni senza un piano.
AMF: Conditional Access o Security Defaults
Centro di amministrazione di Microsoft Entra: ID Entra > Conditional Access > Criteri; ID Entra > Panoramica > Proprietà > Impostazioni di sicurezza; Metodi di autenticazione > Attività per i report di registrazione.
Conditional Access necessita dell'ID Entra P1 o P2; Business Premium include P1. Security Defaults è disponibile con Entra Free ed è una linea di base alternativa, non un livello aggiuntivo da abilitare insieme a Conditional Access.
Accesso a file esterni: SharePoint e OneDrive
Interfaccia di amministrazione di SharePoint: criteri > condivisione per le impostazioni del tenant e siti attivi > sito selezionato > impostazioni per la condivisione del sito. Esamina le autorizzazioni individuali di OneDrive/sito, i collegamenti di condivisione e gli ospiti con il proprietario responsabile.
Applicazioni connesse: applicazioni aziendali Entra
Centro di amministrazione di Microsoft Entra: applicazioni aziendali e registrazioni di app; esaminare le autorizzazioni, il proprietario e lo scopo commerciale dell'applicazione con il relativo fornitore. Ispezionare separatamente il tracciamento dei candidati o altri servizi amministrativi.
Ripristino: conservazione e backup di Exchange/SharePoint
Competenza Microsoft: gestione del ciclo di vita dei dati > Criteri di conservazione ed etichette di conservazione pertinenti; esaminare le impostazioni degli elementi eliminati di Exchange e del cestino/ripristino di SharePoint/OneDrive con l'amministratore. Ispezionare il servizio di backup separato e i relativi record di ripristino.
Conservazione, cronologia delle versioni e cestini offrono diverse funzioni di ripristino. Non dare per scontato che equivalgano a un backup gestito in modo indipendente o che soddisfino la definizione dell'assicuratore. Confermare le funzionalità di ripristino concesse in licenza e i requisiti di ripristino effettivi.
Cosa può controllare automaticamente CyberProva
Le osservazioni di sola lettura dipendono dal piano selezionato, dalla licenza Microsoft, dal consenso e dai dati disponibili. Il mancato accesso è una lacuna, non un risultato conforme. Rivedi il autorizzazioni documentate e limitazioni di distribuzione.
- AMF: Conditional Access o Security Defaults: Valutazione di base: alcune osservazioni sui criteri di Conditional Access. Valutazioni avanzate a partire dal piano Business: osservazioni supportate sulla registrazione MFA, sulla copertura dei criteri e su Security Defaults. Non dimostrano che ogni accesso sia protetto.
- Accesso a file esterni: SharePoint e OneDrive: Le valutazioni avanzate a partire dal piano Business possono leggere alcune impostazioni di condivisione e dei collegamenti a livello di ambiente Microsoft 365, previa autorizzazione. Non eseguono un audit degli accessi file per file o fascicolo legale per fascicolo legale.
- Applicazioni connesse: applicazioni aziendali Entra: Valutazione di base: conteggio di alcune applicazioni. Valutazioni avanzate a partire dal piano Business: inventario delle applicazioni supportato e autorizzazioni applicative di Microsoft Graph concesse senza un utente connesso. Il consenso delegato, le altre API e la sicurezza interna di un fornitore non rientrano in questo inventario.
- Ripristino: conservazione e backup di Exchange/SharePoint: CyberProva non verifica automaticamente la copertura della conservazione, l’isolamento dei backup o la riuscita dei ripristini. Questi controlli richiedono documentazione fornita e una revisione da parte dell’organizzazione.
Cosa dovresti richiedere al tuo fornitore IT
Conserva la fonte, la data, l'ambito, le eccezioni e il revisore per ciascun record. La presentazione e l'accettazione sono separate; la tua organizzazione decide se le prove supportano l'affermazione.
- AMF: Conditional Access o Security Defaults: Stato della politica datato, utenti/app target, esclusioni, forza di autenticazione e record di registrazione; prova di accesso rappresentativa esaminata da un amministratore. Le politiche di sola segnalazione e la registrazione da sole non stabiliscono l'applicazione.
- Accesso a file esterni: SharePoint e OneDrive: Impostazioni di condivisione del tenant e del sito pertinente, eccezioni ospite/collegamento approvate ed esempi di risultati della revisione dell'accesso. Registra chi ha approvato l'accesso esterno e cosa è stato rimosso dopo la revisione.
- Applicazioni connesse: applicazioni aziendali Entra: Un registro dei fornitori/delle applicazioni approvato, date del proprietario e della revisione, giustificazioni delle autorizzazioni e record di garanzia per servizi esterni a Microsoft 365. Un'applicazione abilitata non è la prova che sia in uso o approvata.
- Ripristino: conservazione e backup di Exchange/SharePoint: Ambito di conservazione/eliminazione, copertura e conservazione del carico di lavoro di backup, separazione amministrativa o isolamento/immutabilità ove richiesto e un test di ripristino datato con dati ripristinati, risultati, errori e revisore.
Rendi la risposta dimostrabile
Pacchetto di prove per questa guida
- Un registro delle risposte che conserva ciascuna domanda originale e il suo ambito concordato.
- Risultati della valutazione datati e prove del fornitore revisionate dall’organizzazione.
- Un approvatore nominato, domande irrisolte e la risposta finale rivista.
Come aiuta CyberProva
CyberProva ti aiuta a stabilire una linea di base e a richiedere prove a sostegno. Business e versioni successive includono la redazione di questionari da controlli di valutazione mappati, con la base e la data di ciascuna risposta disponibili per la revisione. La tariffa gratuita include 3 valutazioni fondamentali a vita e un riepilogo sullo schermo; i flussi di lavoro dei questionari e le esportazioni dei report richiedono un piano a pagamento.
Scopri cosa dovrebbe coprire una valutazione della sicurezza di Microsoft 365 →
Scopri esattamente cosa controlla CyberProva · Scopri come CyberProva valuta la sicurezza · Controlla le autorizzazioni Microsoft
Esempio pratico
Domanda di esempio e bozza supportata da prove
Solo testo illustrativo, non risultato del cliente. Supponiamo che il richiedente chieda se i backup vengono testati regolarmente, ma disponi di una policy di backup e di nessun record di test di ripristino completato.
- Domanda: Testate regolarmente il ripristino dei dati aziendali nell'ambito?
- Bozza di risposta: non stabilita. La nostra policy di backup descrive il processo previsto, ma non abbiamo ancora esaminato un record di test di ripristino completato per questo ambito.
- Richiesta di prove: fornire la data dell'ultimo test, i dati e i sistemi ripristinati, il risultato, il revisore ed eventuali errori irrisolti.
- Prima dell'invio: rivedere il record, rivedere la risposta per riflettere ciò che dimostra e identificare eventuali esclusioni rimanenti.
Cosa questo non può stabilire
- Le bozze riguardano i controlli di valutazione mappati, non tutte le questioni relative a sicurezza, privacy, contrattuali o specifiche del settore. La tua organizzazione approva la risposta finale.
- Un elemento di prova esportato o accettato non certifica la conformità né garantisce l'approvazione dell'approvvigionamento. Le prove sensibili dovrebbero essere condivise solo con i destinatari appropriati.
Domande comuni
CyberProva completa automaticamente qualsiasi file del questionario?
No. Il flusso di lavoro attuale ti consente di incollare domande e rivedere le mappature ai controlli di valutazione supportati. Non è un foglio di calcolo universale o un servizio di completamento del portale. Le domande esterne al catalogo necessitano della tua risposta.
È possibile riutilizzare la stessa risposta per ogni cliente?
Solo dopo aver verificato che la formulazione, l'ambito del servizio e le prove a sostegno siano ancora applicabili. Una risposta precedentemente accettata non stabilisce i requisiti di un nuovo cliente.
La prova del fornitore accettato significa verifica indipendente?
No. La tua organizzazione esamina e accetta le prove. Ciò è distinto da un’osservazione automatizzata e da un audit indipendente.
Possiamo usarlo per valutare tutti i nostri fornitori?
Questo flusso di lavoro aiuta la tua organizzazione a rispondere ai questionari in arrivo sui propri controlli. Non è un servizio di valutazione dei fornitori o una piattaforma completa di gestione del rischio di terze parti.
Guida ufficiale
Utilizza queste fonti con il tuo fornitore IT quando esamini i controlli descritti sopra.
Dalle ipotesi alle prove
Scopri cosa richiede attenzione nella tua organizzazione
Inizia con una valutazione gratuita CyberProva. Esamina i risultati, identifica le lacune nelle prove e concorda le priorità con il tuo team IT.
La tariffa gratuita include 3 valutazioni fondamentali a vita. Le esportazioni di report e le funzionalità avanzate richiedono un piano a pagamento.