Microsoft 365 sau khi triển khai: 12 cấu hình bảo mật SME không nên bỏ qua
Baseline thực hành cho danh tính, quản trị, email, chia sẻ, ứng dụng, thiết bị, log và quy trình phục hồi Microsoft 365.
Tạo tenant, thêm domain và cấp license mới chỉ là bước khởi đầu. Rủi ro thường đến từ tài khoản quản trị dùng hằng ngày, MFA chưa phủ đủ, chia sẻ ngoài quá rộng, forwarding bất thường hoặc ứng dụng OAuth được đồng ý mà không rà soát.
Baseline phải phù hợp license. Security Defaults và Conditional Access không nên được cấu hình chồng chéo theo cảm tính. Mọi thay đổi đăng nhập cần pilot, break-glass account và kế hoạch rollback để tránh tự khóa đội quản trị.
Hướng dẫn thực hành
Mười hai kiểm soát cần có owner
Áp dụng theo phạm vi, rủi ro và năng lực vận hành của doanh nghiệp.
- Inventory tài khoản, domain và license.
- MFA cho toàn bộ người dùng theo phương án được hỗ trợ.
- MFA chống phishing cho admin khi khả dụng.
- Tách tài khoản admin khỏi tài khoản email hằng ngày.
- Giới hạn số Global Administrator.
- Chặn legacy authentication.
- Rà forwarding và mailbox rule.
- Cấu hình SPF, DKIM và DMARC.
- Quản trị external sharing.
- Rà ứng dụng OAuth và consent.
- Bật và kiểm tra audit/alert phù hợp license.
- Chuẩn hóa onboarding, offboarding và recovery.
Hướng dẫn thực hành
Triển khai theo vòng kiểm thử
Áp dụng theo phạm vi, rủi ro và năng lực vận hành của doanh nghiệp.
Lập baseline hiện tại và danh sách ngoại lệ. Chọn nhóm pilot đại diện, chạy policy ở chế độ report-only khi khả dụng, kiểm tra ứng dụng cũ và tài khoản dịch vụ. Sau khi bật, theo dõi sign-in log và ticket hỗ trợ.
Không coi Secure Score là mục tiêu tuyệt đối. Dùng nó như danh sách gợi ý, sau đó đánh giá tác động và bằng chứng. Mỗi ngoại lệ phải có owner và ngày xem lại.
Hướng dẫn thực hành
Duy trì sau go-live
Áp dụng theo phạm vi, rủi ro và năng lực vận hành của doanh nghiệp.
Hàng tháng rà admin role, tài khoản không hoạt động, application consent, forwarding, external sharing và cảnh báo. Hàng quý diễn tập khôi phục quyền quản trị và xác minh thông tin liên hệ khẩn cấp.
Giữ tenant, DNS, domain và tài khoản thanh toán thuộc quyền doanh nghiệp. Nhà cung cấp có thể hỗ trợ vận hành nhưng không nên là chủ sở hữu duy nhất.
Hướng dẫn thực hành
Câu hỏi thường gặp
Các câu hỏi cần làm rõ trước khi triển khai.
Security Defaults hay Conditional Access?
Tùy license và nhu cầu tùy chỉnh; cần chọn mô hình rõ ràng và pilot.
Secure Score cao có nghĩa an toàn?
Không. Đây là chỉ báo theo khuyến nghị, không thay thế đánh giá rủi ro và vận hành.
Có nên dùng tài khoản Global Admin để đọc email?
Không nên; tách đặc quyền giúp giảm bề mặt tấn công.
FlowNexa
Biến checklist thành baseline có bằng chứng
FlowNexa rà tenant, quyền, email và log theo license và mức rủi ro thực tế.
Rà soát Microsoft 365
[Liên hệ FlowNexa](https://flownexa.ai/vi/contact)
