Was wir konfigurierenund warum
Diese Seite ist für alle, die es genau wissen wollen: für die technikaffine Person in Ihrer Geschäftsleitung, für die Verantwortlichen für Compliance, für Ihre Prüfgesellschaft.
Microsoft 365 bringt die meisten dieser Funktionen mit. Die Arbeit liegt darin, sie richtig zu setzen, aufeinander abzustimmen und über die Jahre nachzuführen.
Zugriff
- Bedingter Zugriff (Conditional Access) mit Regeln für Identität, Gerätezustand, Standort und Risikosignale. Wer aus dem Büro zugreift, hat keine Sonderrechte
- Umstellung auf phishing-resistente Anmeldung mit Passkeys. Microsoft stellt Anmeldung per SMS und Anruf ein, und beide waren ohnehin die schwächsten Verfahren
- Sperrung veralteter Anmeldeverfahren, die kein zweites Merkmal unterstützen
- Nicht unterstützte Betriebssysteme werden über Conditional Access blockiert, statt geduldet zu werden
- Getrennte Administratorkonten, nicht dieselben Konten für Alltag und Verwaltung
Berechtigungen
- Eine Rollenmatrix, die Abteilungen und Rollen auf Zugriffsrechte abbildet, statt Einzelvergabe pro Person und Ablage. Beim Eintritt wird die Rolle zugewiesen, die Rechte ergeben sich daraus
- Damit bleibt nachvollziehbar, warum jemand worauf Zugriff hat, auch nach drei Jahren. Genau diese Frage stellt Ihre Prüfgesellschaft
- Ein dokumentierter Prozess für Ein- und Austritt, mit Entzug aller Zugriffe und Lizenzen am letzten Arbeitstag
Geräte
- Zentrale Verwaltung Ihrer Endgeräte über Microsoft Intune: PCs, Laptops sowie iOS- und Android-Geräte. Neue Geräte richten sich beim ersten Anmelden selbst ein, Richtlinien und Software kommen automatisch
- Konfiguration auf Basis der Microsoft Security Baselines, nicht nach Bauchgefühl. Abweichungen werden dokumentiert und begründet
- Festplattenverschlüsselung erzwungen, Wiederherstellungsschlüssel zentral hinterlegt
- Fernlöschung bei Verlust, Diebstahl, Reparatur und Austritt
- Private Geräte: Laptops nein. Für Mobilgeräte zwei Modelle, entweder nur geschützte Apps mit eingeschränktem Zugriff, oder vollständige Verwaltung mit vollem Zugriff. Beides mit unterschriebener Einverständniserklärung
Updates
- Sicherheitsupdates automatisch innerhalb weniger Tage nach Veröffentlichung
- Funktionsupdates bewusst verzögert, damit Sie nicht die Fehler der ersten Woche mittragen
- Neustarts ausserhalb der Arbeitszeit, mit Aufschubmöglichkeit für die Benutzenden
- Wöchentliche Durchsicht, welche Geräte zurückfallen, mit Nachverfolgung statt Hoffnung
- Ein messbares Ziel für den Anteil aktueller Geräte, nicht "wir aktualisieren regelmässig"
Schutz vor Angriffen
- Microsoft Defender for Endpoint auf allen verwalteten Geräten, inklusive Firewall, Attack Surface Reduction und Exploit Protection
- Microsoft Defender for Office 365 für E-Mail und Anhänge, inklusive Prüfung von Links
- SPF, DKIM und DMARC vollständig gesetzt, damit niemand in Ihrem Namen schreibt
- Laufende Bewertung im Defender-Portal mit nachverfolgten Massnahmen
Sicherung
- Aufbewahrungsrichtlinien auf die Fristen gesetzt, die bei Ihnen gelten. Sie halten Inhalte fest, auch wenn jemand sie löscht, und decken damit die gesetzliche Aufbewahrung ab
- Versionierung und Papierkorb für die häufigen Fälle: versehentliches Löschen, ungewollte Änderungen, kurzfristige Wiederherstellung
- Eine unabhängige Sicherung in einem Schweizer Rechenzentrum für das, was Microsoft nicht abdeckt: Ransomware, ein übernommenes Konto mit weitreichenden Löschungen, ein Problem beim Anbieter selbst. Gestaffelte Aufbewahrung über Tage, Wochen und Monate
- Regelmässige Prüfung, dass eine Wiederherstellung auch funktioniert. Eine ungeprüfte Sicherung ist keine
Protokollierung
- Protokollierung aktiviert, mit einer Aufbewahrungsdauer, die zu Ihren Anforderungen passt, nicht mit der Voreinstellung
- Auswertbarkeit im Anlassfall: wer hat wann worauf zugegriffen
- Eine Protokollierung, die im Ernstfall vier Wochen zurückreicht, nützt niemandem
Künstliche Intelligenz
- Berechtigungen aufgeräumt, bevor Copilot aktiviert wird. Copilot findet alles, worauf eine Person Zugriff hat, auch das, was sie nie hätte sehen sollen
- Inventar der eingesetzten Werkzeuge mit Zuständigkeiten, wie es die FINMA in ihrer Aufsichtsmitteilung 08/2024 erwartet
- Regelung, welche Daten in welches Werkzeug dürfen
- Richtlinie für Mitarbeitende und eine Schulung dazu
Netzwerk
- Kein VPN und keine Perimeter-Firewall
- In Zeiten von Homeoffice und mobilem Arbeiten muss jedes einzelne Gerät und jeder einzelne Zugriff geschützt sein, nicht das Netz darum herum