Konfiguracja bezpieczeństwa twojego systemu chmurowego nie „psuje się” nagle. Ona po prostu z czasem traci spójność i zaczyna się organicznie rozmywać.
Microsoft 365 może być bezpieczny, ale wymaga to jego poprawnej konfiguracji i późniejszego nadzoru. Nawet jeśli system wystartuje w dobrej kondycji. Później dochodzą nowe aplikacje, nowe mechanizmy zabezpieczeń, zmiany w zespołach, dostępy „na chwilę”, integracje, migracje plików, wyjątki w politykach, nowe licencje i narzędzia wdrażane przez różne działy. Po kilku kwartałach środowisko zaczyna żyć własnym życiem. Najpierw w detalach: zbyt szerokie uprawnienia, goście zostawieni po projekcie, udostępnienia „dla każdego z linkiem”, odstępstwa w dostępie, których nikt już nie pamięta, albo licencje przypisane do użytkowników, którzy z nich nie korzystają.
Microsoft 365 Health Check to audyt konfiguracji, bezpieczeństwa i wykorzystania środowiska M365. Pokazuje rzeczywisty stan tenanta, a nie tylko to, czy konkretne funkcje są włączone. Sprawdzamy, gdzie dziś istnieje ryzyko, które ustawienia wymagają korekty i gdzie organizacja może ograniczyć koszty lub lepiej wykorzystać posiadane licencje.
Celem nie jest raport „do szuflady”. Celem jest odpowiedź na praktyczne pytanie: co trzeba poprawić w pierwszej kolejności, żeby zwiększyć bezpieczeństwo, uporządkować konfigurację i nie przepalać budżetu na niewykorzystane zasoby.
Dlaczego „domyślne ustawienia” nie gwarantują bezpieczeństwa
Na starcie wiele organizacji korzysta z ustawień domyślnych, takich jak Security Defaults. To dobry punkt wyjścia, szczególnie w mniejszych środowiskach. Problem zaczyna się wtedy, gdy organizacja rośnie: pojawiają się dodatkowe role, wyjątki, praca z różnych lokalizacji, urządzenia prywatne, vendorzy i konta gości.
W większych środowiskach bezpieczniej jest oprzeć dostęp o Conditional Access i zasady dopasowane do rzeczywistej pracy: kto, skąd, na jakim urządzeniu, do jakich zasobów i przy jakich warunkach. Po wyłączeniu Security Defaults Microsoft zaleca wdrożenie polityk Conditional Access, przynajmniej z kategorii secure foundations.
Bez takiego modelu środowisko może działać poprawnie operacyjnie, ale jednocześnie być wystwione na zagrozenia, których nie widać w codziennej pracy.
Co dokładnie weryfikujemy w Microsoft 365 Health Checku
Punktem wyjścia może być Secure Score, ale nie kończymy na raporcie. Secure Score jest przydatnym wskaźnikiem stanu zabezpieczeń i rekomendowanych działań, ale Microsoft podkreśla, że nie jest to bezwzględna miara prawdopodobieństwa naruszenia systemu lub danych (jest to bardziej narzędzie sprzedażowe dla nowych licencji).
Dlatego w Health Checku sprawdzamy konfigurację zabezpieczeń w tenantcie i porównujemy ją z rekomendacjami najlepszych praktyk dostosowanymi do organizacji. Sprawdzamy jak użytkownicy wykorzystują funkcjonalności, jakie licencje organizacja posiada i które obszary wymagają poprawy bezpieczeństwa lub mogą prowadzić do ograniczenia kosztów.
1) Tożsamość i role administracyjne w Entra ID
Tu zwykle są największe ryzyka, bo tożsamość jest bramą do całego Microsoft 365.
W praktyce weryfikujemy:
- role uprzywilejowane: kto ma jakie role i czy to ma sens operacyjnie,
- Conditional Access: zasady, wyjątki i miejsca, gdzie najczęściej powstają luki,
- konta gości: jak są zapraszane, jak długo mają dostęp i czy ktoś to cyklicznie kontroluje,
- logowania: podejrzane lokalizacje, nietypowe próby, powtarzalne wzorce ryzyka.
2) Poczta i domena w Exchange Online
Tu celem jest ograniczenie ryzyk związanych z phishingiem, przejęciem skrzynek, konfiguracją niekontrolowanych przekierowań i podszywaniem się pod domenę.
Sprawdzamy m.in.:
- uwierzytelnianie domeny: SPF, DKIM, DMARC i spójność konfiguracji,
- reguły przepływu poczty oraz automatyczne przekierowania na zewnętrzne adresy,
- ustawienia podnoszące odporność na phishing — zakres zależy od posiadanych licencji.
3) Urządzenia i dostęp do danych w Intune
Nie zakładamy „idealnego świata”, w którym każde urządzenie jest aktualne i bezpieczne. Sprawdzamy, czy polityki faktycznie wspierają kontrolę dostępu, a nie tylko dobrze wyglądają w panelu administracyjnym.
Weryfikujemy:
- polityki zgodności urządzeń i to, czy mają realny wpływ na dostęp do zasobów,
- ochronę aplikacji mobilnych i scenariusze typu „kopiuj-wklej” między aplikacjami firmowymi i prywatnymi,
- szyfrowanie oraz minimalne standardy urządzeń, które uzyskują dostęp do danych firmowych.
4) Udostępnianie plików i współpraca w SharePoint, OneDrive i Teams
To obszar, w którym często pojawia się oversharing, czyli zbyt szerokie lub zbyt długo utrzymywane udostępnienia plików, witryn i zespołów. Zwykle nie wynika to ze złej woli. Częściej z braku prostych reguł, kontroli czasu i przeglądów dostępu.
Sprawdzamy:
- poziomy i zasady external sharing: organizacja, witryny, linki,
- dostęp gości i czas utrzymywania dostępu,
- ustawienia ograniczające przypadkowe udostępnienie wrażliwych danych.
SharePoint i OneDrive umożliwiają współpracę z osobami spoza organizacji, np. partnerami, vendorami, klientami czy dostawcami. Właśnie dlatego zasady external sharing powinny być świadomie ustawione i regularnie weryfikowane.
5) Licencje, koszty i wykorzystanie Microsoft 365
Nasz Health Check nie kończy się na bezpieczeństwie. W wielu środowiskach równie ważne jest pytanie: czy organizacja faktycznie wykorzystuje to, za co płaci.
Sprawdzamy, czy licencje są przypisane zgodnie z realnym użyciem, czy wybrane funkcje Microsoft 365 są wykorzystywane i czy nie ma obszarów, w których organizacja płaci za dublujące się narzędzia. Microsoft 365 admin center udostępnia raporty użycia, które pozwalają sprawdzać aktywność użytkowników, wykorzystanie usług i trendy adopcji; Microsoft wskazuje też, że raporty mogą pomóc rozpoznać użytkowników, którzy używają usługi w bardzo ograniczonym zakresie i mogą nie potrzebować danej licencji.
Weryfikujemy m.in.:
- przypisane, ale nieużywane lub słabo wykorzystywane licencje,
- różnice między posiadanym planem a realnymi potrzebami użytkowników,
- funkcje bezpieczeństwa i compliance dostępne w obecnym pakiecie,
- narzędzia firm trzecich, które częściowo dublują możliwości Microsoft 365,
- rekomendacje, które wymagają decyzji licencyjnej lub budżetowej.
Efekt nie zawsze oznacza prostą redukcję kosztów „tu i teraz”. Czasem lepszą decyzją jest uporządkowanie przypisań, lepsze wykorzystanie obecnego planu albo świadome przeniesienie części budżetu z licencji na bezpieczeństwo, governance lub adopcję użytkowników.
Jeśli chcesz sprawdzić, gdzie w Twoim tenantcie M365 kumuluje się największe ryzyko i które poprawki warto wdrożyć w pierwszej kolejności, zobacz usługę Microsoft 365 Health Check.
Trzy błędy, które powtarzają się najczęściej
1) Legacy authentication tam, gdzie nie powinno jej być
To „niewidoczny” problem: stare protokoły i wyjątki, które wracają po migracjach, integracjach albo po wdrożeniach urządzeń technicznych. W codziennej pracy wszystko może wyglądać normalnie — aż do incydentu.
Nie wyłączamy tego w ciemno. Microsoft rekomenduje rozpoczęcie polityki blokowania legacy authentication od trybu report-only, żeby administratorzy mogli sprawdzić wpływ na użytkowników i aplikacje, a dopiero później przejść do egzekwowania polityki lub wdrożenia etapowego.
W praktyce oznacza to: najpierw identyfikacja zależności, potem kontrolowane wyłączanie, testy i dopiero egzekwowanie zmian.
2) Zbyt szerokie role administracyjne przypisane na stale (bez czasu wygaśnięcia)
Nie chodzi o to, żeby utrudnić życie IT. Chodzi o to, żeby uprawnienia były rozsądne i pod kontrolą: węższe role, sensowne zasady przyznawania, przeglądy w czasie i brak podejścia „na zawsze”.
W Health Checku sprawdzamy, czy role administracyjne są nadane zgodnie z realną potrzebą, czy mają właściciela i czy istnieje proces ich okresowej weryfikacji.
3) Udostępnianie „na link” bez reguł i bez higieny gości
SharePoint i OneDrive dobrze wspierają współpracę, ale tylko wtedy, gdy organizacja jasno ustali zasady. W przeciwnym razie po kilku miesiącach robi się z tego niekontrolowana dystrybucja danych „po projekcie”.
To rzadko jest zła wola. Częściej brak prostych reguł: kto może udostępniać, komu, na jak długo i w których lokalizacjach.
Jak zaczynamy bez przeciągania projektu
Żeby ruszyć sprawnie, nie potrzebujesz tygodni przygotowań. Najczęściej wystarczą:
- Uzgodniony dostęp tylko do odczytu — np. przez odpowiednie role administracyjne lub zgodę administratora tenanta na dostęp do danych niezbędnych do analizy. Nie prosimy o hasła i nie zmieniamy konfiguracji w trakcie audytu bez uzgodnienia.
- Kontekst biznesowy: co Was dziś boli, np. audyt, incydent, AI/Copilot, porządek w danych, przygotowanie pod regulacje.
- Plan licencyjny w przybliżeniu, żeby rekomendacje były realistyczne kosztowo.
Raporty użycia w Microsoft 365 admin center mogą być dostępne m.in. dla ról takich jak Global Administrator, Global Reader, Reports Reader czy Usage Summary Reports Reader, co wspiera scenariusz analizy bez nadawania pełnych uprawnień administracyjnych, tam gdzie nie są potrzebne.
Efekt jest prosty: dostajesz listę ryzyk, priorytety i plan naprawczy — nie raport „do szuflady”.
FAQ – Najczęstsze pytania o Microsoft HealthCheck
Ile trwa Microsoft 365 Health Check?
Najczęściej 1–3 tygodnie, zależnie od skali tenanta i liczby obszarów do weryfikacji.
Czy audyt wpływa na użytkowników?
Nie. Standardowo pracujemy w trybie odczytu. Nie zmieniamy haseł, nie wyłączamy usług i nie modyfikujemy konfiguracji bez uzgodnienia.
Co dostajemy na koniec?
Priorytetyzowaną listę ryzyk i rekomendacje: co zrobić teraz, co zaplanować oraz które zmiany wymagają testów lub decyzji biznesowej oraz rekomendowaną mapę drogową.
Czy sprawdzacie też koszty i wykorzystanie licencji?
Tak. To jeden z elementów Health Checku. Sprawdzamy, czy licencje są faktycznie używane, czy funkcje obecnego pakietu są wykorzystane i czy organizacja nie płaci za narzędzia, które można częściowo zastąpić natywnymi mechanizmami Microsoft 365.
Czy możemy wdrożyć rekomendacje sami?
Tak. Raport ma być na tyle konkretny, żeby mógł go dowieźć własny zespół. Możecie też skorzystać z naszego wsparcia przy wdrożeniu zmian.
Chcesz, żeby intranet faktycznie działał?
Chcesz mieć jasny obraz: gdzie dziś jest ryzyko w Microsoft 365, które obszary konfiguracji wymagają korekty i gdzie można lepiej wykorzystać posiadane licencje?
Umów konsultację 30 min i ustalimy zakres Health Checku pod Twoje środowisko.
Poznaj nasze pozostałe usługi
Aplikacje biznesowe
Usługi dla aplikacji oraz gotowe rozwiązania w obszarze cyfryzacji procesów i nowoczesnego środowiska pracy.
Nowoczesne i kompleksowe wsparcie w obszarze cyberbezpieczeństwa dla Twojej firmy.
Cyberbezpieczeństwo
Pełne wsparcie i optymalizacja infrastruktury IT, zapewniające stabilny rozwój Twojego biznesu.
Infrastruktura IT
Bezpieczeństwo wdrożenia i utrzymania usług Microsoft 365 oraz Azure, które umożliwiają elastyczne zarządzanie i optymalizację kosztów.