Microsoft 365 Business Premium כולל שכבות אבטחה וניהול מתקדמות לעסקים קטנים ובינוניים, אבל עצם רכישת הרישיון אינה מפעילה ומכוונת כל רכיב לפי הצרכים של הארגון. כדי להפיק מהחבילה ערך אמיתי, חשוב לעבור באופן מסודר על זהויות, מכשירים, מדיניות ואופן הטיפול בהתראות.
הצ'קליסט הבא אינו תחליף לתכנון מקצועי או לבדיקה בסביבת ניסוי. הוא נועד לעזור למנהלי IT לזהות את הנקודות שבהן הגדרה חסרה עלולה להשאיר פער בין הרישיון שנרכש לבין ההגנה שמופעלת בפועל.
1. ודאו שכל המשתמשים הנכונים קיבלו רישיון
פתחו את מרכז הניהול של Microsoft 365 ובדקו אילו משתמשים קיבלו Business Premium ואילו עדיין עובדים עם חבילה אחרת. Microsoft ממליצה על פריסה עקבית לכל המשתמשים כאשר רוצים להגן באופן אחיד על מידע עסקי. בסביבה מעורבת חשוב להבין אילו יכולות זמינות לכל קבוצה ולא להניח שמדיניות אחת תחול אוטומטית על כולם.
במקביל, עברו על חשבונות שאינם בשימוש, משתמשים לשעבר ורישיונות שהוקצו לחשבונות שירות. צמצום חשבונות מיותרים מקטין את משטח התקיפה וגם מפשט את הבקרה.
2. בחרו שיטת MFA אחת והחילו אותה בצורה מסודרת
לפי תיעוד Microsoft, האפשרויות המועדפות הן Security Defaults או מדיניות Conditional Access. הגדרת MFA ישנה לכל משתמש בנפרד עדיין קיימת, אך Microsoft אינה ממליצה עליה. Business Premium כולל Microsoft Entra ID P1, ולכן מאפשר להשתמש ב-Conditional Access כאשר נדרש ניהול מדויק יותר.
לפני מעבר מ-Security Defaults ל-Conditional Access, בנו מדיניות בסיס מקבילה ובדקו אותה בקבוצת פיילוט. אין לכבות הגנת ברירת מחדל ולהשאיר חלון זמן ללא מדיניות חלופית פעילה.
3. הפרידו בין חשבון עבודה לחשבון ניהול
למנהלים בעלי הרשאות גבוהות כדאי להשתמש בחשבון ניהול ייעודי שאינו משמש לגלישה יומיומית ולדואר. הקצו רק את התפקידים הנחוצים, הפעילו MFA ובדקו באופן תקופתי מי מחזיק בהרשאות Global Administrator, Security Administrator ו-Conditional Access Administrator.
המטרה אינה לייצר עוד חשבונות בלי בקרה, אלא לצמצם את השימוש השוטף בהרשאות חזקות ולשמור תיעוד ברור של בעלי התפקידים.
4. חברו את תחנות הקצה ל-Microsoft Defender for Business
Microsoft 365 Business Premium כולל Defender for Business להגנת נקודות קצה. לאחר החיבור, בדקו שכל המחשבים שנמצאים בהיקף אכן מופיעים בפורטל ושולחים נתונים. תחנה שלא השלימה Onboarding לא תקבל את מלוא שכבת הניטור והתגובה שתכננתם עבורה.
עברו גם על מדיניות ההגנה מהדור הבא, חומת האש והפחתת משטח התקיפה. כללים מחמירים, ובמיוחד כללי Attack Surface Reduction, יש להפעיל תחילה במצב הערכה או בקבוצת פיילוט כדי לאתר השפעה על יישומים עסקיים.
5. החליטו היכן מנהלים את מדיניות האבטחה
אפשר לנהל חלק מההגדרות דרך פורטל Microsoft Defender ואפשר דרך מרכז הניהול של Intune. Microsoft מציינת שכדאי לבחור מסלול ניהול ברור, משום שמדיניות כפולה או סותרת עלולה להקשות על איתור תקלות. אם הארגון כבר משתמש ב-Intune, רצוי לתעד אילו מדיניות נשלטות ממנו ולא ליצור להן עותק מתחרה בפורטל אחר.
6. רשמו מכשירים ל-Intune ובדקו תאימות
Business Premium כולל Intune Plan 1 לניהול מחשבים, טלפונים וטאבלטים. הגדירו מה נחשב מכשיר תואם: למשל הצפנת דיסק, גרסת מערכת נתמכת, נעילת מסך והגנת אנטי-וירוס פעילה. לאחר מכן בחנו כיצד מדיניות התאימות משתלבת עם Conditional Access.
במכשירים אישיים אפשר לבחור בניהול יישומים ונתונים במקום ניהול מלא של המכשיר. ההחלטה צריכה להתאים למדיניות ה-BYOD של הארגון ולרמת הגישה למידע רגיש.
7. הגדירו תהליך קבוע להתראות ולבדיקות
טכנולוגיה שאינה מנוטרת הופכת במהירות לרשימת התראות שאיש אינו מטפל בה. קבעו מי בודק אירועי אבטחה, מהו זמן התגובה הרצוי, כיצד מסלימים אירוע ומי מוסמך לבצע פעולות כמו בידוד תחנה או איפוס סשנים.
אחת לחודש עברו על מכשירים שלא דיווחו, משתמשים בעלי הרשאות גבוהות, חריגות כניסה ומדיניות שנמצאת עדיין במצב בדיקה. שינויים משמעותיים כדאי לתעד, כדי שיהיה אפשר לחזור אחורה במקרה של השפעה לא צפויה.
סדר עבודה מומלץ
- מיפוי משתמשים, רישיונות ומנהלים.
- הבטחת MFA פעיל לפני כל שינוי מתקדם.
- פיילוט קטן ל-Defender, Intune ו-Conditional Access.
- הרחבה מדורגת לקבוצות נוספות.
- בדיקת תאימות, אירועים והשפעה עסקית.
אם אתם עדיין בשלב בחירת החבילה, אפשר להתחיל בהשוואה בין Microsoft 365 Business Basic, Standard ו-Premium. מי שכבר רכש Premium צריך להתייחס אל ההגדרות לעיל כאל פרויקט פריסה ולא כאל תיבת סימון חד-פעמית.
מקורות
- Microsoft Learn: Microsoft 365 Business Premium security FAQ
- Microsoft Learn: הגדרת אימות רב-שלבי
- Microsoft Learn: ניהול מכשירים ויישומים ב-Business Premium
- Microsoft Learn: מדיניות אבטחה ב-Defender for Business
תמונת המחשה: נוצרה באמצעות AI עבור ITPortal.
