Dostęp, który można pokazać audytorowi.

• Tożsamość i uwierzytelnianie

  Metody uwierzytelniania, starsze protokoły, kontrolę sesji i wymagania wstępne Conditional Access przeglądam jako jeden system.

  • Rejestracja metod uwierzytelniania i jej pokrycie
  • Starsze protokoły uwierzytelniania i ich użycie
  • Zależności i wyjątki w Conditional Access
  • Kontrola sesji i logowania przy dostępie do danych wrażliwych

• Dostęp uprzywilejowany

  Role administracyjne zawężam do konkretnych zadań, z silniejszym uwierzytelnianiem i kontrolą aktywacji tam, gdzie pozwala na to licencja.

  • Przypisania ról: stałe, kwalifikujące się do aktywacji (eligible) i nieużywane
  • Osobne konta codzienne i administracyjne
  • Uwierzytelnianie odporne na phishing dla administratorów
  • Privileged Identity Management (PIM) i przeglądy dostępu, jeśli pozwala na to licencja Entra ID

• Odzyskiwanie dostępu, dzienniki audytu i widoczność

  Konta awaryjne, ustawienia dziennika audytu i zapisy weryfikacji planuję przed incydentem.

  • Dwa konta awaryjne wyłącznie w chmurze
  • Alert przy użyciu konta i zaplanowany test procedury odzyskiwania dostępu
  • Zakres dziennika audytu w Entra, Microsoft 365 i Purview
  • Stan przed i po z nazwanymi właścicielami

• Urządzenia i kontekst dostępu

  Jeśli urządzenia są zarejestrowane w Intune, polityka dostępu może korzystać z sygnałów zgodności i ryzyka. Jeśli nie są, lukę zapisuję jako pracę przygotowawczą.

  • Rejestracja w Intune i pokrycie polityką zgodności
  • Granice dla BYOD i ochrony aplikacji
  • Zależności Conditional Access od urządzeń
  • Gotowość urządzeń i lista zaległości

• Aplikacje i zgody

  Aplikacje korporacyjne i rejestracje aplikacji traktuję jak ścieżki dostępu uprzywilejowanego.

  • Jednostki usługi (service principals) i rejestracje aplikacji
  • Uprawnienia delegowane i aplikacyjne o dużym wpływie
  • Aplikacje bez właściciela i wygasające poświadczenia
  • Polityka zgód, proces zgody i weryfikacja wydawcy

• Poczta i domeny

  Ochronę poczty zaczynam od pełnej listy nadawców, potem ustawiam Defender i uwierzytelnianie domeny tak, żeby nie zablokować uprawnionych nadawców.

  • SPF, DKIM i DMARC wprowadzane etapami
  • Ochrona przed phishingiem i podszywaniem się
  • Przekazywanie na zewnątrz i reguły skrzynek
  • Gotowe polityki bezpieczeństwa (preset security policies) i wyjątki

• Współpraca i dane

  SharePoint, OneDrive, Teams i dostęp gości dopasowuję do tego, komu firma chce udostępniać dane na zewnątrz, i do przyjętych zasad postępowania z danymi.

  • Linki anonimowe i domyślne poziomy udostępniania
  • Cykl życia gości i współpraca zewnętrzna
  • Federacja Teams i dostęp zewnętrzny
  • Etykiety poufności, retencja i gotowość do DLP

Metoda służy do ograniczania tego ryzyka: najpierw rozpoznanie tylko do odczytu, konta awaryjne wyłączone z polityk, użytkownicy pilotażowi, tryb tylko do raportowania (report-only) tam, gdzie Microsoft go udostępnia, uzgodnione okna serwisowe i przegląd logowań po każdej zmianie. Braku przerw nie mogę obiecać, dlatego przed wymuszeniem zapisuję zależności każdej kontrolki w rejestrze kontroli, a ścieżkę wycofania w dzienniku zmian i weryfikacji.

Pracuję na tenancie i licencjach, które Państwo już mają, i do nich dopasowuję stan docelowy. Conditional Access wymaga Entra ID P1, który jest w Business Premium, E3 i E5. Polityki oparte na ryzyku wymagają Entra ID P2, PIM wymaga Entra ID P2 albo Entra ID Governance, a pełne przeglądy dostępu wymagają Entra ID Governance. Kontrolki, do których brakuje licencji, zapisuję jawnie jako lukę w zaległościach. Licencji nie sprzedaję: jeśli element zakresu wymaga licencji, której Państwo nie mają, mówię o tym przed zmianą, nie po niej.

Nie. Secure Score to przydatny wskaźnik kierunku zmian i nie pokazuje, że tenant jest bezpieczny. Sukces mierzę według uzgodnionego rejestru kontroli, zweryfikowanego stanu polityk, przetestowanych ścieżek dostępu, usuniętych ustaleń wysokiego ryzyka i udokumentowanych wyjątków.

Nie. To wdrożenie i dowody, a nie audyt z art. 15 ustawy, certyfikacja, opinia prawna ani poświadczenie dla organu. Nie przeprowadzam audytu KSC. Pakiet dowodów przypisuje każdą kontrolkę do punktu albo litery art. 8 ust. 1 ustawy, a mapa art. 8 podaje przy kontrolkach odniesienia do CIS Controls v8; na Państwa prośbę przypiszę kontrolki także do innego uzgodnionego wzorca, żeby Państwa dział zgodności, prawnik albo audytor miał do oceny pełniejszy zapis. To przypisanie jest moim odczytem ustawy, a nie stanowiskiem organu.

Nie, bo skopiowanie konfiguracji bez zmian jest ryzykowne. Program dla kilku tenantów opiera się na wspólnym katalogu kontroli, a potem nakłada ustawienia każdego tenanta: licencje, model tożsamości, aplikacje, współpracę zewnętrzną, dane objęte dodatkowymi przepisami i przyjęte wyjątki. Przed szerszym wdrożeniem kończę pilotaż na reprezentatywnym tenancie.

Sposób dostępu ustalam podczas rozpoznania. Tam, gdzie to możliwe, wybieram GDAP z minimalnymi niezbędnymi rolami, na określony czas i bez automatycznego przedłużenia, zamiast szerokiego stałego dostępu delegowanego. Drugą możliwością jest konto, które Państwo dla mnie założą. Roli Global Administrator nie przyjmuję. Proszę nie przesyłać identyfikatorów tenanta, eksportów ani poświadczeń przez publiczny formularz.

Po polsku: zakres prac, załącznik bezpieczeństwa, protokół odbioru, pakiet dowodów, Exit Kit i sześć runbooków (pierwsza godzina incydentu, przejęcie konta, konta awaryjne, przyjęcie, zmiana roli i odejście pracownika, wdrożenie MFA i Conditional Access, phishing). Pozostałe runbooki są na razie po angielsku. Które runbooki wchodzą do zlecenia, wymienia zakres prac. Art. 56 ust. 3 ustawy pozwala organowi kontrolnemu żądać tłumaczenia obcojęzycznej dokumentacji na koszt podmiotu, więc dokumentów z tej listy nie muszą Państwo tłumaczyć przy kontroli. Nazwy produktów i ustawień Microsoft zostają po angielsku, tak jak w centrach administracyjnych, a eksporty techniczne (JSON, CSV) zachowują nazwy pól źródła. Terms of Service są po angielsku.

Zlecenie dla jednego tenanta obejmuje 10 dni roboczych. Datę rozpoczęcia i terminy etapów ustala podpisany zakres prac; przesuwają się one o czas oczekiwania na Państwa zatwierdzenia, dostęp i okna serwisowe. Dla kilku tenantów zakres ustalam osobno dla każdego tenanta po pilotażu. Zanim cokolwiek zmienię w Państwa tenancie, dostają Państwo na piśmie zakres prac, kolejność prac i cenę.