1. זהויות
- MFA פעיל אצל כל המשתמשים, כולל חשבונות מנהל.
- לחשבון המנהל יש משתמש נפרד, ולא משתמשים בו לעבודה יומיומית.
- מספר המנהלים מוגבל למי שבאמת צריך.
- אין חשבונות משותפים שכמה אנשים נכנסים אליהם עם אותה סיסמה.
- חשבונות של עובדים שעזבו נסגרו.
2. דוא״ל
- בדקתם שאין כללי העברה אוטומטית לכתובת חיצונית בתיבות הדוא״ל.
- רשומות SPF, DKIM ו־DMARC מוגדרות בדומיין הדוא״ל.
- לבקשה לשינוי פרטי בנק יש נוהל: מאמתים בטלפון מול גורם מוכר.
- העובדים יודעים למי מדווחים על הודעה חשודה.
3. מחשבים
- הדיסק של מחשבי העסק מוצפן (BitLocker או מקביל).
- עדכוני Windows ו־Office מותקנים באופן שוטף.
- נעילת מסך אוטומטית מוגדרת.
- Microsoft Defender או תוכנת הגנה אחרת פעילה ומעודכנת.
4. גיבוי ושחזור
- יש גיבוי עצמאי למידע ב־Microsoft 365, או סיבה מתועדת לכך שאין.
- בדקתם בפועל שחזור של קובץ ושל תיבת דוא״ל.
- מידע שנשמר מחוץ לענן, בשרת, ב־NAS או במחשבים, מגובה.
5. אנשים ותהליכים
- יש נוהל כתוב לעובד חדש.
- יש נוהל כתוב לעובד שעוזב.
- קישורי שיתוף חיצוניים נבדקים מדי פעם ולא נשארים פתוחים.
- ידוע למי מתקשרים כשיש תקלה או חשד לאירוע.
הרשימה מתאימה לעסק קטן שעובד עם Microsoft 365, והיא לא תחליף לביקורת אבטחה מלאה. חלק מהבקרות תלויות ברישיון שיש לכם. לפירוט השכבות ראו את עמוד אבטחה וגיבוי, ולהסבר על האימות הנוסף ראו את המדריך MFA לעסק קטן.
מעדיפים הודעה? כתבו לי בוואטסאפ