Microsoft 365 v malem podjetju: sedem nastavitev, ki jih podjetja pozabijo

Microsoft 365 je v slovenskih malih podjetjih povsod. Postavljen je bil pogosto na hitro — nekdo je kupil licence, naredil predale in šlo je naprej. Nastavitve, ki ločijo delujoč sistem od tveganja, pa so ostale privzete.

Spodaj je sedem, ki jih v praksi najpogosteje najdemo nedokončane.

1. Večstopenjska prijava za vse, tudi za direktorja

Največ vdorov v mala podjetja se ne zgodi z vdorom v sistem, ampak z ukradenim geslom iz lažnega e-sporočila. Druga stopnja prijave to v večini primerov ustavi. Izjeme “ker je nerodno” so natanko tisti računi, ki so najbolj zanimivi za napadalca.

2. Pravilo, ki prepozna pošto od zunaj

Sporočila, ki pridejo z interneta, naj bodo vidno označena. Prevara, v kateri se nekdo predstavlja kot direktor in zahteva nakazilo, je za zaposlenega bistveno bolj očitna, če je ob sporočilu zapisano, da ne prihaja iz podjetja.

3. Preusmeritve pošte na zunanje naslove

Po vdoru napadalec pogosto nastavi tiho preusmeritev vaše pošte na svoj naslov. Preusmeritve na zunanje naslove privzeto omejite in preverite, ali kakšna že obstaja — tudi takšna, ki si jo je nekdo pred leti nastavil sam zaradi udobja.

4. Dostopi, ko nekdo odide

Najpogostejša napaka ni, da bi račun ostal odprt, ampak da se izbriše prehitro in z njim pošta, ki je nihče ni prenesel. Dogovorite si zaporedje: blokada, odjava vseh sej, pretvorba v skupni nabiralnik ali prenos pošte, preusmeritev prihajajoče pošte, in šele nato sprostitev licence.

5. Varnostna kopija, ki ni Microsoftova

Sinhronizacija ni kopija. Če sodelavec izbriše mapo ali če naprava dobi izsiljevalski virus, se to razširi na vse naprave. Koš in zgodovina različic sta časovno omejena. Ločena kopija pošte in dokumentov je smiselna pri vseh, ki si izgube pošte ne morejo privoščiti. Podrobneje v vodniku o pravilu 3-2-1.

6. Zapisi o dostopu in nastavitvah

Vklopljen dnevnik dejavnosti stane nič in je edina stvar, ki vam po incidentu pove, kaj se je zgodilo in kateri podatki so bili dostopani. Brez njega ugibate — tudi takrat, ko morate stranki ali nadzorniku odgovoriti, ali je šlo za uhajanje podatkov.

7. Skrbniški račun, ki ni vsakodnevni račun

Če je skrbnik hkrati tisti, ki z istim računom bere pošto in brska po spletu, je ena neprevidnost dovolj za prevzem celotnega najema. Skrbniški račun naj bo ločen in v vsakodnevni uporabi naj ne bo.

Kje se to tipično pozna

Mala podjetja za te nastavitve praviloma ne potrebujejo novih licenc. Večina je del tega, kar že plačujejo; manjka le, da jih nekdo enkrat uredi in zapiše, kako so urejene. Pregled običajno traja nekaj ur, popravki pa so stvar enega dneva.

Kako se tega lotimo mi

V okviru mesečne IT podpore te nastavitve pregledamo ob prevzemu in nato redno preverjamo, ali so še takšne, kot smo se dogovorili. Dobite zapis stanja v razumljivem jeziku — ne seznam tehničnih izrazov, ampak kaj je urejeno, kaj ne in kaj to pomeni za vas.