Microsoft 365 Güvenlik Kontrol Listesi

Microsoft 365 kiracılarının çoğunda, lisansın zaten sunduğu güvenlik özellikleri ya kapalıdır ya da varsayılan ayarlarda bırakılmıştır. Bu kontrol listesi, en çok risk azaltan adımları öncelik sırasıyla toplar. Her değişiklik önce pilot bir grupla denenmeli ve kullanıcılar bilgilendirilmelidir.

Öncelik 1: Kimlik

• Tüm kullanıcılarda MFA. Entra ID P1 lisansı yoksa ücretsiz güvenlik varsayılanları (security defaults) açılmalıdır; P1 varsa Conditional Access ile yönetilmelidir. İkisi aynı anda kullanılmaz.
• Eski kimlik doğrulamanın engellenmesi. MFA’yı desteklemeyen eski protokoller (legacy authentication) parola püskürtme saldırılarının başlıca yoludur.
• Yönetici rolleri. Global Administrator sayısını azaltın (Microsoft ikiden az, beşten fazla olmamasını önerir), yönetici hesaplarını günlük hesaplardan ayırın ve güçlü MFA kullanın.
• Acil durum hesapları. Microsoft, en az iki acil durum (break-glass) hesabı tutulmasını ve bu hesapların ayrıca izlenmesini önerir.
• Uygulama onayları. Kullanıcıların üçüncü taraf uygulamalara kurum verisi için izin verebilmesini sınırlayın.

Öncelik 2: E-posta

• Dış alıcılara otomatik yönlendirmeyi engelleyin; ele geçirilen hesaplarda en sık görülen davranışlardan biridir.
• SPF, DKIM ve DMARC’ı yapılandırın, DMARC’ı kademeli olarak sıkılaştırın.
• Anti-phishing politikalarında kimliğe bürünme (impersonation) korumasını yöneticiler ve finans ekibi için açın.
• Defender for Office 365 lisansınız varsa Safe Links ve Safe Attachments politikalarını etkinleştirin.

Öncelik 3: Cihaz ve paylaşım

• Intune ile cihaz kaydı ve uyumluluk politikaları (şifreleme, güncel işletim sistemi, ekran kilidi) tanımlayın; kurumsal veriye erişimi uyumlu cihaz koşuluna bağlayın.
• Kişisel cihazlarda uygulama koruma (MAM) politikaları ile kurumsal veriyi uygulama içinde tutun.
• SharePoint ve OneDrive dış paylaşım düzeyini kurum ihtiyacına göre sınırlayın; anonim bağlantılara süre koyun.

Öncelik 4: Görünürlük ve veri

• Birleşik denetim kaydının (unified audit log) açık olduğunu doğrulayın.
• Yönetici rol değişiklikleri, MFA yöntem değişiklikleri ve şüpheli posta kuralları için uyarılar tanımlayın.
• Hassasiyet etiketleri ve DLP için başlangıç politikalarını denetim modunda çalıştırın.
• Microsoft paylaşılan sorumluluk modelini dikkate alarak silinen veya şifrelenen veriler için yedekleme stratejinizi değerlendirin.

Lisans notu

Lisans içerikleri Microsoft tarafından zaman zaman değiştirilir; güncel durum Microsoft Learn ve lisans belgelerinden doğrulanmalıdır.

Kiracınızın bütünlüklü değerlendirmesi için Microsoft 365 Güvenliği, kimlik süreçleri için Kimlik ve Erişim Yönetimi, e-posta tarafı için E-posta Güvenliği sayfalarımızı inceleyebilirsiniz.