تأتي Microsoft 365 بمجموعة قوية من أدوات الأمان، لكن معظم الشركات تعمل بها على الإعدادات الافتراضية تقريباً. والسبب بسيط: تُجهَّز المنصة أولاً لتشغيل البريد والملفات، ويبقى ضبط الأمان مهمة مؤجلة لا يأتي وقتها.
في هذه القائمة نعرض أهم إعدادات الأمان بالترتيب الذي تكتشف فيه المراجعات الأمنية غيابها عادةً، مع ربطها بمتطلبات شهادة أرامكو SACS-210 حيث ينطبق ذلك.
لماذا «لدينا Microsoft 365» لا تعني «نحن محميون»؟
حتى باقة Business Premium، وهي أقل من باقات المؤسسات الكبيرة، تتضمن أدوات أمان قوية. لكن معظم هذه الأدوات تحتاج إلى تفعيل، ولا تعمل تلقائياً. فقد تكون الشركة مرخّصة لحماية قوية وتعمل فعلياً بدون معظمها. والفجوة بين «مرخّص» و«مُعَدّ» هي مصدر أغلب المخاطر.
1. المصادقة متعددة العوامل: مفروضة لا اختيارية
هي أهم إعداد في القائمة، وأكثرها تطبيقاً بشكل ناقص: مفعّلة لبعض المستخدمين فقط، أو يستطيع المستخدم تأجيل تسجيلها إلى ما لا نهاية، أو مطلوبة فقط عند الدخول من مكان غير معتاد.
التطبيق الكامل يعني:
- اشتراط المصادقة متعددة العوامل لكل الحسابات دون استثناءات دائمة.
- حظر بروتوكولات المصادقة القديمة على مستوى المؤسسة، لأنها تتجاوز المصادقة متعددة العوامل بالكامل.
- حسابات طوارئ موثّقة ومستثناة عن قصد، لا بالخطأ.
وهو متطلب صريح في SACS-210 (الضابط TPC-1.12). التفاصيل في دليل إعداد المصادقة متعددة العوامل.
2. سياسات الوصول المشروط
ينقل الوصول المشروط (Conditional Access) السؤال من «هل كلمة المرور صحيحة؟» إلى «هل هذا الدخول منطقي؟». فيمكنه طلب تحقق إضافي أو الحظر أو السماح حسب المستخدم والجهاز والموقع والتطبيق.
سياسات أساسية ننصح بها:
- حظر الدخول أو طلب تحقق إضافي من الدول التي ليس للشركة فيها نشاط أو موظفون مسافرون.
- اشتراط جهاز مُدار ومتوافق للوصول إلى التطبيقات الحساسة.
- اشتراط المصادقة متعددة العوامل لكل التطبيقات السحابية، دون استثناء الشبكات «الموثوقة» إلا بمبرر حقيقي.
- تحديد مدة الجلسة على الأجهزة غير المُدارة.
3. Microsoft Defender للبريد والأجهزة
حتى عند الترخيص، كثيراً ما تبقى إعدادات Defender ناقصة. تأكد من:
- تفعيل Safe Links وSafe Attachments على مستوى المؤسسة كلها، لا لمجموعة تجريبية فقط.
- ضبط سياسات مكافحة التصيد مع حماية انتحال اسم النطاق وأسماء كبار المسؤولين، وهي الحماية المباشرة من احتيال «المدير التنفيذي».
- متابعة التنبيهات فعلياً، لا تركها تتراكم دون مراجعة.
وفحص المرفقات ومكافحة الرسائل المزعجة متطلبان في SACS-210 (TPC-1.21 وTPC-1.22).
4. حماية النطاق: SPF وDKIM وDMARC
تعمل هذه السجلات الثلاثة معاً لمنع المهاجمين من إرسال رسائل تبدو صادرة من نطاقك:
- SPF: يحدد الخوادم المسموح لها بالإرسال باسم نطاقك.
- DKIM: يوقّع الرسائل الصادرة رقمياً ليتأكد المستلم أنها لم تُعدَّل وأنها صادرة فعلاً منك.
- DMARC: يخبر خوادم الاستقبال بما تفعله مع الرسائل التي تفشل في الفحص، ويرسل لك تقارير تكشف محاولات انتحال نطاقك.
الحالة الناقصة الشائعة: SPF موجود بدون DMARC، أو DMARC على وضع «none» لفترة طويلة دون الانتقال إلى «quarantine» ثم «reject». والسجلات الثلاثة متطلب في SACS-210 (TPC-1.20). وللحماية الكاملة من احتيال البريد اقرأ كيف تحمي شركتك من اختراق البريد التجاري.
5. منع تسرّب البيانات (DLP)
تفحص سياسات DLP محتوى البريد وTeams وSharePoint وOneDrive بحثاً عن بيانات حساسة، مثل أرقام الهوية الوطنية وأرقام الحسابات البنكية IBAN، ويمكنها الحظر أو التحذير قبل خروج هذه البيانات من الشركة. ومعظم الشركات المرخّصة لهذه الميزة لا تنشئ أي سياسة. وحتى بضع سياسات بسيطة تغلق ثغرة شائعة: موظف يرفق ملفاً خاطئاً في رسالة إلى جهة خارجية.
6. صلاحيات المسؤولين
كثيراً ما تُمنح صلاحية Global Administrator لحسابات أكثر من اللازم. والأفضل استخدام أدوار محددة، مثل مسؤول Exchange أو مسؤول SharePoint أو مسؤول الدعم الفني، بدل صلاحية المسؤول العام. ومع Privileged Identity Management، حيث يتوفر الترخيص، تُمنح الصلاحية عند الحاجة فقط بدل أن تبقى دائمة.
وهذا يدعم مبدأ «أقل صلاحية ممكنة» في SACS-210 (TPC-1.9) والمراجعة السنوية للصلاحيات (TPC-1.14).
7. سجلات التدقيق ومدة الاحتفاظ
يجب تفعيل سجل التدقيق الموحّد (Unified Audit Log)، وضبط مدة الاحتفاظ بما يناسب التزاماتك. فمدة الاحتفاظ الافتراضية أقصر مما تتوقعه معظم الشركات، وقد تنتهي السجلات قبل اكتشاف الحادث. وسجلات التدقيق متطلب يطلبه المدقق مباشرة في SACS-210 (TPC-1.26 وTPC-1.31).
من أين تبدأ؟
لا يحتاج أي من هذه الإعدادات إلى شراء إضافي إذا كانت لديك Business Premium أو ترخيص مؤسسات مكافئ. الفجوة في وقت الإعداد والخبرة، لا في التراخيص. وترتيب العمل الأفضل:
- المصادقة متعددة العوامل والوصول المشروط.
- حماية النطاق SPF وDKIM وDMARC.
- سياسات Defender.
- منع تسرّب البيانات وصلاحيات المسؤولين وسجلات التدقيق.
كيف تساعدك سراج؟
ننفّذ تحصين Microsoft 365 كمشروع مستقل أو ضمن خدمة إدارة Microsoft 365 وعقود صيانة تقنية المعلومات، ونضبط كل بند حسب طبيعة شركتك لا حسب قالب عام. ونفس هذه الإعدادات هي جزء كبير من تجهيز شهادة SACS-210.
