Microsoft 365 за фирми: 10 настройки за сигурност, които повечето пропускат

Петък следобед. Управителката на малка счетоводна фирма в София получава обаждане от клиент: „Защо ми пратихте фактура с нова банкова сметка?“ Никой в офиса не е пращал такова писмо. Оказва се, че паролата на един служител е изтекла преди седмици, на пощата му няма двуфакторна защита, а нападателят тихо е създал правило, което препраща цялата кореспонденция навън. Всичко това — в абонамент за Microsoft 365, който фирмата плаща всеки месец. Проблемът не е в платформата, а в това, че Microsoft 365 сигурност не идва напълно настроена „от кутията“.

Microsoft предлага мощни инструменти, но голяма част от тях трябва да бъдат включени, проверени или затегнати от администратор. В тази статия ще минем през 10 конкретни настройки, които виждаме пропуснати най-често при малки фирми, и ще отбележим кои от тях зависят от лиценза.

Кой лиценз какво включва

Преди да започнете, проверете какъв план ползвате — част от настройките са налични само в по-високия.

• Business Basic и Business Standard — включват Security Defaults (базова MFA и блокиране на остарели протоколи), Exchange Online Protection (антиспам и антималуер филтри за пощата), одитен лог и Microsoft Secure Score.
• Business Premium — добавя Microsoft Entra ID P1 (Conditional Access — правила за условен достъп), Microsoft Defender for Office 365 Plan 1 (Safe Links и Safe Attachments), Microsoft Intune Plan 1 за управление на устройства и Defender for Business за защита на компютрите.

Дори с Basic или Standard следващите стъпки ви дават добро ниво на защита.

1. Двуфакторна защита (MFA) за всички — чрез Security Defaults или Conditional Access

Според Microsoft многофакторното удостоверяване и блокирането на остарелите протоколи спират над 99,9% от най-честите атаки срещу акаунти. Това е настройка номер едно.

• Без Business Premium: включете Security Defaults в Microsoft Entra admin center (Entra ID → Overview → Properties → Manage security defaults). Те изискват от всички потребители да регистрират MFA с Microsoft Authenticator.
• С Business Premium: изключете Security Defaults и ги заменете с Conditional Access правила — MFA за всички, по-строги изисквания за администраторите, блокиране на входове от рискови локации. Двете не могат да работят едновременно.

След това проверете дали наистина всички са регистрирани — акаунтите на бивши служители често остават пропуснати.

2. Блокирайте остарелите протоколи (legacy authentication)

Старите протоколи като POP3, IMAP и SMTP с основно удостоверяване не поддържат MFA. Нападател с открадната парола може да ги използва, за да заобиколи двуфакторната защита напълно.

Security Defaults ги блокират автоматично, а с Business Premium се използва Conditional Access правило. Преди това проверете дали скенер, мултифункционален принтер или стара бизнес програма не праща имейли по този начин — Microsoft има указания за пренастройването им.

3. Отделни администраторски акаунти и авариен „break-glass“ достъп

Най-честата грешка в малките фирми: управителят чете пощата си с акаунт, който е и Global Administrator. Ако този акаунт бъде компрометиран, нападателят получава контрол върху целия тенант.

• Създайте отделен административен акаунт без пощенска кутия, който се ползва само за управление
• Дръжте броя на Global Administrator ролите малък — Secure Score препоръчва повече от един, но по-малко от пет
• Давайте по-тесни роли (Exchange Administrator, User Administrator), когато пълни права не са нужни
• Създайте два аварийни акаунта само в облака, както препоръчва Microsoft — защитени със силен метод (например FIDO2 ключ), пазени физически на сигурно място и използвани единствено ако всички други администратори са заключени

4. Спрете автоматичното препращане на имейли навън

Препращането към външен адрес е любим инструмент на измамниците — тихо и незабележимо изнася кореспонденцията ви. В Microsoft Defender портала отворете Outbound spam policy и проверете настройката за автоматично препращане.

По подразбиране тя е „Automatic – System-controlled“, което днес означава „изключено“. Уверете се, че никой не я е превключил на „On“; ако конкретен служител наистина се нуждае от препращане, създайте отделна политика само за него. Периодично преглеждайте и правилата в пощенските кутии (Inbox rules) — нападателите често създават правила, които скриват или пренасочват писма.

5. Защита на пощата: preset политики, Safe Links и Safe Attachments

Повечето атаки започват с имейл. Вместо да настройвате десетки опции ръчно, използвайте preset security policies в Defender портала — Standard или Strict. Те прилагат препоръчителните настройки на Microsoft за антиспам, антифишинг и антималуер и се обновяват автоматично.

С Business Premium (Defender for Office 365 Plan 1) те включват и Safe Links — проверка на линковете в момента на клика — и Safe Attachments, които отварят прикачените файлове в изолирана среда, преди да стигнат до служителя. Технологията помага, но обучението остава ключово — вижте нашите 10 начина да разпознаем фишинг имейл.

6. DKIM и DMARC за вашия домейн

Microsoft 365 подписва с DKIM автоматично само служебния домейн .onmicrosoft.com. За вашия собствен домейн (например firma.bg) трябва сами да публикувате два CNAME записа в DNS и да включите подписването в Defender портала.

След това добавете DMARC запис — започнете с режим на наблюдение (p=none), анализирайте отчетите и постепенно преминете към quarantine или reject. Така измамниците трудно ще изпращат писма, които изглеждат като ваши, а легитимната ви поща ще попада по-рядко в спам при клиентите.

7. Одитен лог, известия и одит на пощенските кутии

Когато нещо се случи, първият въпрос е „кой, какво и кога е направил“. Отговорът е в одитния лог — но само ако е бил включен предварително.

Важно: според документацията на Microsoft одитът не е включен по подразбиране при SMB лицензите — Business Basic, Standard и Premium. Включете го от Microsoft Purview портала (Audit → „Start recording user and admin activity“). Записите в стандартния одит се пазят 180 дни.

• Уверете се, че одитът на пощенските кутии не е изключен за организацията
• Настройте alert policies — известия при създаване на правило за препращане, масово изтриване на файлове или добавяне на нов администратор
• Определете кой получава тези известия и кой реагира

8. Ограничете външното споделяне в SharePoint и OneDrive

По подразбиране SharePoint позволява линкове от тип „Anyone“ — всеки с линка вижда файла, без да влиза с акаунт. Удобно, но рисково за договори, заплати и клиентски бази.

• В SharePoint admin center намалете нивото до „New and existing guests“ или по-строго
• Задайте „Specific people“ като тип линк по подразбиране
• Ако запазите „Anyone“ линковете, задайте им срок на валидност
• Периодично преглеждайте кои гости имат достъп до фирмените сайтове

9. Контрол върху приложенията на трети страни

Фишинг атаките все по-често не крадат пароли, а молят потребителя да „разреши достъп“ на привидно безобидно приложение, което после чете пощата и файловете му. През 2025 г. Microsoft затегна настройките по подразбиране, така че потребителите вече не могат сами да одобряват достъп до файлове, сайтове, поща и Teams за външни приложения.

Проверете в Entra (Enterprise applications → Consent and permissions) каква политика е активна. За малка фирма често най-разумно е потребителското съгласие да е изключено, а заявките да се одобряват от администратор чрез admin consent workflow.

10. Основни правила за устройствата с Intune

Сигурният акаунт на несигурен лаптоп е половин защита. С Business Premium получавате Microsoft Intune Plan 1, с който можете да:

• Изискате криптиране на диска (BitLocker), активна защитна стена и антивирус
• Налагате автоматични актуализации на Windows
• Изисквате ПИН за телефоните, които отварят фирмената поща
• Изтриете фирмените данни дистанционно при изгубено устройство или напуснал служител

Комбинирано с Conditional Access, можете да позволите достъп само от устройства, които отговарят на тези изисквания.

Бонус: Secure Score и архивът, който Microsoft не прави вместо вас

Microsoft Secure Score в Defender портала оценява настройките ви и дава конкретни препоръки. Не гонете 100% — използвайте го като тракер: проверявайте го веднъж месечно и отбелязвайте какво сте подобрили.

И нещо, което изненадва много собственици: Microsoft работи по модел на споделена отговорност. Компанията гарантира работата на платформата, но не и пълно архивиране „към момент във времето“ по подразбиране. Изтритите писма остават възстановими по подразбиране 14 дни (до 30 при настройка), а кошчетата на SharePoint и OneDrive пазят файловете 93 дни. След това — или при ransomware, който е синхронизирал криптирани файлове — данните може да са загубени. Затова ви трябва отделен архив: платената услуга Microsoft 365 Backup или решение на трета страна. Повече за стратегията ще намерите в ръководството ни за архивиране на данни.

Чеклист: Microsoft 365 сигурност за 30 минути преглед

• MFA е включена за всички потребители (Security Defaults или Conditional Access)
• Остарелите протоколи са блокирани
• Администраторите ползват отделни акаунти, Global Admin са под пет
• Има два аварийни (break-glass) акаунта, пазени офлайн
• Автоматичното препращане навън е изключено
• Прилагат се Standard или Strict preset политики
• DKIM е включен за собствения домейн, има DMARC запис
• Одитният лог е включен и има настроени известия
• Външното споделяне е ограничено, „Anyone“ линковете изтичат
• Потребителското съгласие за приложения е ограничено
• Устройствата са криптирани и управлявани (Intune)
• Secure Score се проверява ежемесечно
• Има независим архив на пощата, OneDrive и SharePoint

Тези настройки са част от по-широка стратегия — вижте и 10-те задължителни мерки за киберсигурност на малкия бизнес.

Често задавани въпроси

Необходим ли е Business Premium за добра сигурност на Microsoft 365?

Не е задължителен, но дава най-важните инструменти: Conditional Access, Safe Links, Safe Attachments и Intune. С Business Basic или Standard можете да включите Security Defaults, preset политиките, DKIM/DMARC и одита, което вече е голяма стъпка напред. Ако обработвате чувствителни данни, Premium обикновено си заслужава.

Microsoft архивира ли данните ми в Microsoft 365?

Microsoft пази платформата работеща и има ограничени периоди за възстановяване на изтрито съдържание, но не предлага пълен архив към момент във времето по подразбиране. По модела на споделената отговорност защитата на данните е ваша задача. Затова препоръчваме отделно архивно решение.

Какво е Security Defaults и трябва ли да го включа?

Security Defaults е безплатен пакет от базови защити в Microsoft Entra — задължителна MFA регистрация, MFA за администратори и блокиране на остарели протоколи. Ако нямате Business Premium, почти винаги трябва да е включен. С Premium го заменяте с по-гъвкави Conditional Access правила.

Колко често трябва да се преглеждат настройките за сигурност?

Препоръчваме месечен преглед на Secure Score и известията и по-задълбочен одит поне веднъж годишно или при промяна в екипа. Microsoft често добавя и преименува функции, така че настройките от преди две години може вече да не са достатъчни.

Искате ли някой да провери вашия Microsoft 365?

Повечето от тези настройки отнемат минути, ако знаете къде да търсите — и часове, ако не знаете. В SNM Support правим преглед на сигурността на Microsoft 365: проверяваме текущите настройки, включваме липсващите защити, без да спираме работата на екипа, и се грижим те да останат актуални като част от нашата абонаментна IT поддръжка.

Свържете се с нас за безплатна първоначална консултация през страницата за контакт или на телефон +359 88 273 6921 — ще ви кажем кои от 10-те настройки липсват във вашия тенант.