Чек-лист безопасности Microsoft 365 для малого бизнеса в Дубае и ОАЭ

Безопасность Microsoft 365 для бизнеса начинается с малого: небольшая компания в Дубае или в другой части ОАЭ может защитить большую часть своего тенанта Microsoft 365, последовательно пройдя семь направлений: убедиться, что настройки безопасности по умолчанию или условный доступ требуют многофакторный вход для всех, ограничить административные учётные записи, применить предустановленную защиту почты Microsoft и отключить автоматическую пересылку на внешние адреса, ограничить общий доступ к файлам извне, взять под контроль устройства, имеющие доступ к корпоративным данным, включить журналирование аудита и использовать Secure Score, чтобы отследить, что ещё осталось сделать. Почти всё это, настройка возможностей, которые уже включены в оплаченные вами лицензии.

Чек-лист ниже составлен по официальной документации Microsoft для бизнес-тарифов, которые компания ориентирует на организации с числом пользователей до 300, и отмечает, где настройка зависит от тарифа Business Premium. Microsoft время от времени меняет значения по умолчанию, поэтому каждый пункт отражает документацию по состоянию на сентябрь 2026 года: так мы понимаем безопасность Microsoft 365 для бизнеса сегодня.

Безопасность Microsoft 365: с чего начать проверку тарифа

В статье Microsoft о лучших практиках безопасности для бизнес-тарифов сравниваются Basic, Standard и Premium. Эта разница важна, поскольку несколько пунктов этого чек-листа доступны только в Premium, а именно от тарифа зависит безопасность Microsoft 365 для бизнеса.

Прежде чем что-либо менять, откройте центр администрирования Microsoft 365, составьте список лицензий каждого пользователя и отметьте, у кого есть административная роль. Этот список станет основой для всего дальнейшего, и именно такую запись наша команда ИТ-поддержки поддерживает в актуальном состоянии для клиентов.

Вход в систему: настройки по умолчанию или условный доступ

Настройки безопасности по умолчанию Microsoft Entra, это единый переключатель, который применяет фиксированный набор защитных мер. По документации Microsoft, они требуют от каждого пользователя зарегистрировать многофакторную аутентификацию, обязывают администраторов пройти её, запрашивают подтверждение у остальных пользователей, когда Microsoft считает это нужным, блокируют устаревшие протоколы аутентификации, блокируют вход по коду устройства (device code flow) и требуют многофакторную аутентификацию для средств управления Azure. По данным Microsoft, настройки по умолчанию включаются автоматически для всех новых тенантов при их создании.

• Проверьте переключатель. В центре администрирования Microsoft Entra перейдите в Entra ID, затем Overview, Properties и Manage security defaults. Если вы не используете условный доступ, эта настройка должна быть включена: базовая безопасность Microsoft 365 для бизнеса начинается именно здесь.
• Проверьте старые устройства и приложения. Устаревшая аутентификация относится к клиентам, которые не используют современную аутентификацию, и к старым почтовым протоколам, таким как IMAP, SMTP и POP3. Microsoft предупреждает, что такие устройства не могут использовать многофакторную аутентификацию и блокируются при включении настроек по умолчанию, поэтому сначала найдите сканеры, отраслевые приложения и старые почтовые клиенты.
• Учитывайте изменения 2024 и 2026 годов. С 29 июля 2024 года Microsoft отменила 14-дневный льготный период на регистрацию многофакторной аутентификации. С 1 июля 2026 года для новых тенантов настройки по умолчанию блокируют вход по коду устройства.
• Отзовите существующие сеансы. При включении настроек по умолчанию в уже действующем тенанте Microsoft советует отозвать активные токены, чтобы уже вошедшие пользователи прошли регистрацию заново.

Если у вас тариф Business Premium и нужны исключения, например разрешить вход только с управляемых устройств, условный доступ заменяет собой настройки по умолчанию. Инструкция Microsoft требует отключать настройки по умолчанию в момент, когда их заменяют политики условного доступа, и сразу же включать эквивалентные политики, чтобы не возникло разрыва в защите.

Учётные записи администраторов: меньше, отдельно и под защитой

Тот, кто регистрировал Microsoft 365, автоматически стал глобальным администратором. Во многих небольших компаниях ОАЭ это основатель, офис-менеджер или подрядчик, который настраивал систему много лет назад, и тот же аккаунт используется для повседневной почты. Рекомендации Microsoft по административным учётным записям для бизнес-тарифов предлагают другую схему, и именно так строится безопасность Microsoft 365 для бизнеса на практике.

1. Две учётные записи для аварийного доступа. Не привязаны к конкретному человеку, используются только в чрезвычайных ситуациях, исключены из требования многофакторной аутентификации и поэтому защищены длинными сложными паролями от 16 символов, которые хранятся в надёжном месте.
2. Минимально необходимые права для всех остальных. Сотруднику, который только создаёт пользователей, стоит выдать роль User Administrator, а не Global Administrator. Microsoft предупреждает, что слишком много административных учётных записей дают злоумышленникам больше возможностей.
3. Разделите повседневную и административную учётную запись. Администраторы входят в почту и документы под обычной учётной записью, а административную используют только по необходимости, в приватном окне браузера, выходя из неё после завершения работы. Учётные записи только для администрирования не требуют лицензии.
4. Названия, не выдающие привилегии. Избегайте слов вроде «admin» в имени учётной записи.
5. Вход администраторов без пароля с помощью приложения Authenticator, ключей доступа (passkeys) или Windows Hello для бизнеса, которые, по данным Microsoft, доступны даже на тарифах Basic и Standard.

Если единственная учётная запись глобального администратора принадлежит подрядчику, вы не полностью контролируете собственный тенант.

Почта: предустановленные политики и внешняя пересылка

Безопасность Microsoft 365 для бизнеса на уровне почты начинается с того, что каждый облачный почтовый ящик получает встроенную защиту от спама, вредоносного ПО и подмены отправителя. Предустановленные политики безопасности Microsoft применяют рекомендованные настройки одним действием вместо ручной настройки десятков параметров. Есть пресеты Standard и Strict, а также пресет Built-in protection, который даёт базовое покрытие Safe Links и Safe Attachments в тенантах с Defender для Office 365. Найти их можно в портале Microsoft Defender в разделе «Почта и совместная работа», далее «Политики и правила», далее «Политики защиты от угроз».

Второй параметр почты заслуживает отдельного внимания. Распространённая проблема, с которой мы сталкиваемся в компаниях ОАЭ, это платёжное мошенничество, которое начинается со скрытого захвата почтового ящика, а Microsoft отмечает, что правила пересылки писем на внешние адреса нередко создаются именно в результате взлома учётной записи. В политике исходящего спама Microsoft для автоматической внешней пересылки предусмотрены три варианта: «Автоматически, контролируется системой», «Включено» и «Отключено». Microsoft поясняет, что автоматический вариант ведёт себя по-разному в зависимости от того, когда и как был настроен тенант, и рекомендует явно выбирать «Включено» или «Отключено».

• Установите значение «Отключено» для автоматической внешней пересылки в политике исходящего спама по умолчанию.
• Если команде действительно нужно пересылать письма партнёру, разрешите это только для конкретного домена через настройки удалённых доменов.
• Ежемесячно просматривайте отчёт Auto forwarded messages, чтобы находить пользователей, пересылающих письма за пределы компании.
• Убедитесь, что для вашего домена настроены SPF, DKIM и DMARC, как описано на нашей странице кибербезопасность.

Файлы и общий доступ в SharePoint и OneDrive

В SharePoint и OneDrive есть четыре уровня общего доступа на уровне организации: «Все», «Новые и существующие гости», «Существующие гости» и «Только пользователи вашей организации». Настройка OneDrive может быть строже, чем у SharePoint, но никогда не более открытой, а каждый отдельный сайт может быть строже, чем настройка организации в целом: здесь безопасность Microsoft 365 для бизнеса зависит от общего доступа к файлам.

• Выбирайте «Новые и существующие гости», если нет явной необходимости в ссылках, работающих без входа в систему.
• Если разрешены ссылки для всех, задайте им срок действия и ограничьте только просмотром.
• Установите тип ссылки по умолчанию «Конкретные люди» или «Только пользователи вашей организации».
• Настройте автоматическое истечение гостевого доступа через срок, подходящий для ваших проектов.
• Там, где внешний доступ нужен только известным партнёрам, ограничьте его по домену.

Microsoft отмечает, что при ограничении внешнего доступа гости обычно теряют доступ в течение часа, поэтому предупреждайте проектные команды до изменения этой настройки. О том, где вообще должны храниться корпоративные данные, рассказывают наши облачные услуги.

Безопасность Microsoft 365: устройства с доступом к корпоративным данным

Безопасность Microsoft 365 для бизнеса на устройствах начинается с факта: сотрудники в дубайских офисах часто читают корпоративную почту с личных телефонов. Каждый бизнес-тариф включает Basic Mobility and Security, бесплатное подмножество Intune, которое может требовать пароль устройства перед запуском корпоративных приложений, а также удалять корпоративные данные с устройства или сбрасывать его до заводских настроек. Business Premium добавляет Microsoft Intune план 1 для управления и устройствами, и приложениями, а также политики защиты устройств с Microsoft Defender для бизнеса для ноутбуков и настольных компьютеров.

• Требуйте пароль устройства на любом телефоне, синхронизирующем корпоративную почту.
• Определите, кто может удалить корпоративные данные с потерянного или украденного устройства, и хотя бы раз проверьте этот процесс на практике.
• На тарифе Business Premium подключите корпоративные ноутбуки к Intune и включите защиту Defender для бизнеса.
• Ведите реестр соответствия устройств и сотрудников и обновляйте его при увольнении людей.

Журналирование аудита и Secure Score

Именно этот пункт чаще всего упускают небольшие тенанты, хотя журналирование напрямую формирует безопасность Microsoft 365 для бизнеса. По документации Microsoft Purview, журналирование аудита включено по умолчанию для организаций Microsoft 365 в целом, но не для лицензий малого и среднего бизнеса, включая Business Basic, Standard и Premium, где его нужно включить вручную. После включения журнал аудита фиксирует действия пользователей и администраторов и по умолчанию хранит их 180 дней. Без него может почти не остаться следов того, что делал злоумышленник после захвата почтового ящика.

Чтобы включить журналирование, откройте портал Microsoft Purview, выберите решение Audit и нажмите баннер запуска записи действий пользователей и администраторов. По данным Microsoft, изменение может вступить в силу в течение 60 минут.

После этого Microsoft Secure Score на странице security.microsoft.com/securescore выдаёт постоянно обновляемый список рекомендуемых действий. Каждое действие оценивается до десяти баллов, а часть баллов начисляется частично, например за защиту половины пользователей. Включение настроек по умолчанию сразу даёт полные баллы по рекомендациям о многофакторной аутентификации и устаревшей аутентификации. Microsoft отдельно подчёркивает, что Secure Score отражает, насколько полно вы используете рекомендованные меры, а не абсолютную вероятность взлома, и что безопасность нужно уравновешивать с удобством использования. Просматривайте показатель ежемесячно и фиксируйте с причиной любую рекомендацию, которой вы решили не следовать.

Контекст ОАЭ: официальные рекомендации и куда обращаться

Совет по кибербезопасности ОАЭ публикует для компаний рекомендации, которые совпадают с этим чек-листом, потому что безопасность Microsoft 365 для бизнеса не существует отдельно от общих правил кибербезопасности. Он советует регулярно отслеживать обновления по угрозам, готовить и тестировать планы реагирования на подозрительную активность, регулярно обучать персонал, периодически проверять системы на уязвимости и привлекать специалистов по кибербезопасности для оценки своей защиты.

Что касается обращений, сайт Совета направляет пользователей в Дубае на сайт eCrime дубайской полиции, пользователей в Абу-Даби, к сервису Aman, а всех остальных, на платформу eCrimes Министерства внутренних дел, в ближайший полицейский участок или по номеру 999. Если взломанная учётная запись раскрыла данные клиентов, ваши обязанности по закону ОАЭ о защите данных, это вопрос к юридическому консультанту; наша статья о согласии на email-рассылки по закону ОАЭ о защите данных знакомит с этим законом в контексте маркетинга. Этот раздел содержит общую информацию, а не юридическую консультацию.

Безопасность Microsoft 365 для бизнеса: чем может помочь Digital Marketing Dubai

Мы проверяем тенанты Microsoft 365 по этому чек-листу, вносим изменения вместе с вами и фиксируем каждую настройку в реестре, который остаётся у вас. Эта работа входит в наши ИТ-услуги: повседневное администрирование берёт на себя ИТ-поддержка, а аутентификацию почты и обучение персонала, наша услуга кибербезопасность. Мы не являемся центром мониторинга безопасности, у нас нет сертификаций по безопасности, и ни одна настройка не может гарантировать, что атака никогда не увенчается успехом. Вы получаете тенант, настроенный так, как это описывает документация Microsoft, и письменное предложение с фиксированной ценой в течение 45 минут в рабочее время.