Microsoft 365 hesapları, bir kurumun e-postasına, dosyalarına ve ekip yazışmalarına açılan kapıdır. Bu kapıların nasıl ayarlandığı çoğu zaman kurulum günündeki haliyle kalır. Aşağıdaki beş kontrol, mevcut ortamınıza kısa bir bakış atmanız için hazırlanmış genel bir listedir. Her birini “evet / hayır / bilmiyorum” diye yanıtlamanız yeterli; “bilmiyorum” da değerli bir cevaptır.
Bu yazı genel bilgi amaçlıdır. Bahsedilen özelliklerin bir kısmı lisans düzeyine bağlı olabilir; kurumunuzda hangilerinin kullanılabildiğini lisans planınızdan teyit etmeniz gerekir.
1. Çok faktörlü doğrulama herkes için açık mı?
Çok faktörlü doğrulama (MFA), oturum açarken parolaya ek bir adım daha ister. Parola ele geçirilse bile hesaba girişi zorlaştırır. Kontrol ederken şuna bakın: MFA yalnızca bazı kullanıcılarda mı açık, yoksa herkeste mi? Ortak kullanılan ya da servis amaçlı hesaplar listenin dışında unutulmuş olabilir.
2. Yönetici hesapları kimde ve neden?
Yönetici yetkisi, bir hesabın ele geçirilmesinin etkisini büyütür. Şu soruları sorun:
- Yönetici rolü olan hesapların listesi elinizde mi?
- Her yetkinin gerekçesi var mı, yoksa zamanla birikmiş mi?
- Yönetim işleri için günlük kullanılan hesaptan ayrı bir hesap kullanılıyor mu?
- Görevinden ayrılan ya da görev değiştiren kişilerin yetkileri güncellendi mi?
İlke basittir: herkes yalnızca görevi için gereken yetkiye sahip olmalıdır.
3. Posta yönlendirme kuralları tanıdık mı?
Bir posta kutusuna tanımlanan otomatik yönlendirme veya kural, gelen iletilerin başka bir adrese kopyalanmasını sağlayabilir. Meşru kullanımları vardır; ancak kutu sahibinin haberi olmadan eklenmiş bir kural, fark edilmesi zor bir bilgi sızıntısı yoludur. Kontrol ederken şuna bakın: kurumun dışına yönlendirme yapan kural var mı, varsa kim, ne zaman ve neden tanımlamış? Dışa yönlendirmenin kurum genelinde hangi koşulda mümkün olduğu da ayrıca değerlendirilebilir.
4. Koşullu erişim kuralları tanımlı mı?
Koşullu erişim, erişime “kim, hangi cihazla, nereden, hangi uygulamaya” gibi koşullara bağlı kurallar koymanızı sağlar. Örneğin alışılmadık bir konumdan gelen oturum açma isteğinde ek doğrulama istenebilir. Kontrol ederken şuna bakın: hiç kural tanımlı mı? Tanımlıysa kimleri kapsıyor, bir istisna listesi var mı, bu istisnalar hâlâ gerekli mi? Acil durumda giriş sağlayacak bir yönetici hesabının bu kurallardan bilinçli olarak ayrı tutulup güvenle saklanması da bu başlığın parçasıdır. Bu özelliğin kullanılabilirliği lisans düzeyine bağlı olabilir.
5. Olaylar izleniyor ve bir yere raporlanıyor mu?
Ayarların doğru yapılması yarı yoldur; hesaplarda neler olduğunu görmek de gerekir. Alışılmadık oturum açma denemeleri, yeni eklenen posta kuralları ya da yetki değişiklikleri izlenmesi gereken örneklerdir. Kontrol ederken şuna bakın:
- Hangi olaylara bakıldığı belli mi?
- Uyarılar bir kişinin kutusunda kaybolmak yerine sorumlu bir kişi veya ekibe gidiyor mu?
- Bulgular yönetimin okuyabileceği bir rapora dönüşüyor mu?
Kayıtların ne kadar süre tutulduğu ve hangi ayrıntıyı içerdiği de lisansa ve ayarlara göre değişebilir.
Sonuç değerlendirmesi
Beş soruya baktığınızda “bilmiyorum” ya da “hayır” sayısı çoksa bu bir alarm değil; iyileştirme için bir iş listesidir. Önce yönetici hesapları ve MFA ile başlamak çoğu kurum için makul bir sıradır. Her değişikliği yaygınlaştırmadan önce küçük bir grupta denemek, kullanıcıları şaşırtmamak açısından işe yarar.
Bu kontrolleri sizin yerinize yürütebiliriz
Bu kontrolleri bir kez yapmak mümkün; sürdürmek ise ilgi ister. Microsoft 365 yönetimi hizmetimiz kapsamında tenant yönetimi, Entra ID (MFA, koşullu erişim, roller), güvenlik olayı izleme ve raporlama yer alır. Raporun sıklığını ve içeriğini teklifte yazarız.
Bu konuda ayrıca: Microsoft 365 güvenliği: iyi bir başlangıç için dört alan
Microsoft 365 ortamınızın yönetimini bize bırakmak ister misiniz? Microsoft 365 Yönetimi
