Ghid practic · actualizat: octombrie 2026
Ghid securitate Microsoft 365: identitate, acces, dispozitive și date.
Microsoft 365 crește odată cu firma: conturi, invitați, aplicații, laptopuri, partajări. Ghidul îți arată ce să verifici în fiecare zonă, ce greșeli apar cel mai des și cum dovedești că măsurile funcționează.
- 7 domeniide la identitate la dovezi
- 4 principiiZero Trust, pe înțeles
- 10 întrebărica să știi unde ești
Starea unui tenant Microsoft 365, exemplu
De ce contează
Microsoft 365 poate funcționa perfect și totuși să fie configurat riscant
Tenantul evoluează continuu: utilizatori noi, invitați, aplicații conectate, dispozitive, grupuri, site-uri SharePoint, reguli de email și drepturi de administrare. În timp, configurația inițială nu mai reflectă riscul real.
Cele mai importante probleme nu se văd: autentificări slab protejate, excepții uitate în regulile de acces, administratori permanenți, laptopuri neconforme, aplicații cu prea multe permisiuni, partajări externe sau jurnale păstrate prea puțin.
Principiu: securitatea Microsoft 365 nu se măsoară după câte produse Microsoft ai activat, ci după cât de bine funcționează măsurile și cât de ușor poți dovedi asta.
Modelul Zero Trust
Patru principii pe care stă toată securitatea Microsoft 365
Apasă pe o carte ca s-o întorci și să vezi ce înseamnă principiul concret, în Microsoft 365.
Modelul de control
Șapte domenii care trebuie evaluate împreună
Alege un domeniu: ce verifici, ce greșeală apare cel mai des și care e primul pas.
Domeniul 01 din 7
Identitate
Cine poate intra în conturi și cum se verifică.
Autentificarea veche (legacy) e încă activă și ocolește verificarea în doi pași.
Activează verificarea în doi pași pentru toți și blochează autentificarea veche.
Entra ID · metode de autentificare · invitați · conturi inactive
Domeniul 02 din 7
Acces condiționat
În ce condiții e permis, blocat sau verificat suplimentar accesul.
Excepții vechi, fără responsabil, care lasă grupuri întregi în afara regulilor.
Pentru fiecare excepție: responsabil, motiv și dată de revizuire.
Conditional Access · locații · semnale de risc · sesiuni
Domeniul 03 din 7
Administratori
Cine are drepturi de administrare și cât timp.
Prea mulți administratori globali, permanenți, care își folosesc contul și pentru email.
Conturi separate de administrare, activate doar la nevoie, plus două conturi de urgență.
Global Admin · roluri privilegiate · PIM · conturi de urgență
Domeniul 04 din 7
Laptopuri și telefoane
Dacă dispozitivele sunt cunoscute, criptate și actualizate.
Laptopuri personale, neadministrate, cu acces complet la date.
Înrolează dispozitivele firmei în Intune și cere conformitate pentru acces.
Intune · conformitate · BitLocker / FileVault · actualizări · Defender
Domeniul 05 din 7
Email și colaborare
Phishing, redirecționări, partajare în Teams și SharePoint.
DMARC lipsă și reguli de redirecționare spre adrese externe pe care nu le vede nimeni.
DMARC cu politică de respingere, alerte pentru redirecționări, filtrare anti-phishing.
Exchange Online · Safe Links · Safe Attachments · Teams · SharePoint
Domeniul 06 din 7
Protecția datelor
Ce date sensibile există, unde stau și cine le vede.
Nimeni nu știe unde sunt documentele sensibile; totul are același nivel de acces.
Începe cu trei niveluri: public, intern, confidențial. Etichetează-le pe cele confidențiale.
Purview · etichete de confidențialitate · DLP · retenție
Domeniul 07 din 7
Monitorizare și dovezi
Ce se înregistrează, cât timp și cine verifică.
Jurnalele se păstrează prea puțin, iar nimeni nu primește alertele.
Stabilește ce jurnale păstrezi, cât timp și cine primește alertele critice.
Jurnale de audit · alerte · Secure Score · revizuiri periodice
Simulator de acces condiționat
Verificarea în doi pași nu e o strategie completă. Vezi de ce.
Accesul condiționat decide nu doar cine intră, ci și în ce condiții. Schimbă situația și vezi ce decide un set de reguli bine făcut.
Angajatul intră normal.
Laptop al firmei, din România, la email: regula de bază cere doar verificarea în doi pași.
Regula aplicatăCA01 · Toți utilizatorii: verificare în doi pași
Exemplu de set de reguli. Accesul condiționat cere licență Microsoft Entra ID P1, inclusă în Business Premium, E3 și E5.
Dovezi
Un control pe care nu-l poți dovedi e greu de apărat într-un audit
Nu ajunge să spui că ai verificare în doi pași sau Intune. Trebuie să arăți configurația, responsabilul, excepțiile și când a fost verificat ultima dată. Așa arată un registru simplu:
Exemplu ilustrativ. Fiecare excepție are motiv, responsabil și dată de revizuire.
Verificare rapidă
Zece întrebări la care merită să poți răspunde azi
Răspunde sincer. Scorul se calculează pe loc, în browserul tău.
- 01Este verificarea în doi pași aplicată tuturor utilizatorilor și administratorilor?
- 02Știi exact ce utilizatori și aplicații sunt excluși din regulile de acces condiționat?
- 03Știi câte conturi au drepturi de administrare permanente?
- 04Poți identifica dispozitivele neconforme care accesează date ale firmei?
- 05Poți demonstra că laptopurile firmei sunt criptate?
- 06Știi unde există acces extern în SharePoint, OneDrive și Teams?
- 07Știi ce aplicații terțe au acces la datele din Microsoft 365?
- 08Sunt verificate periodic politicile anti-phishing și protecția linkurilor?
- 09Știi ce jurnale ai și cât timp se păstrează?
- 10Poți demonstra toate cele de mai sus unui auditor sau conducerii?
De la ghid la execuție
Vrei să afli ce controlează tenantul tău și unde mai e expus?
Verificăm identitatea, accesul condiționat, administratorii, dispozitivele, emailul, colaborarea și datele, apoi prioritizăm după risc și securizăm în etape, fără să blocăm oamenii.
Întrebări
Întrebări frecvente despre securitatea Microsoft 365
Secure Score e suficient ca să știm cât de sigur e Microsoft 365?
Nu. Secure Score e un indicator util pentru idei de îmbunătățire, dar nu cunoaște contextul firmei: ce date sunt sensibile, ce excepții sunt justificate, cine are nevoie de acces. Îl folosești ca punct de plecare, nu ca verdict.
Dacă avem verificarea în doi pași, mai e nevoie de acces condiționat?
Da, într-un model matur. Verificarea în doi pași confirmă cine intră. Accesul condiționat decide și în ce condiții: de pe ce dispozitiv, din ce țară, la ce aplicație și cu ce nivel de risc.
De ce licență e nevoie pentru acces condiționat?
Accesul condiționat cere Microsoft Entra ID P1, inclus în Microsoft 365 Business Premium, E3 și E5. Fără el, poți folosi setările implicite de securitate (security defaults), care activează verificarea în doi pași, dar fără reguli personalizate.
Intune înseamnă doar administrarea laptopurilor?
Nu. Intune verifică dacă un dispozitiv e conform (criptat, actualizat, protejat), aplică setări standard, administrează aplicațiile și transmite starea dispozitivului în deciziile de acces.
Cât de des trebuie revizuită securitatea Microsoft 365?
Controalele critice se monitorizează continuu. Configurația, excepțiile, administratorii și partajările se revizuiesc periodic (de obicei trimestrial) și după orice schimbare importantă: angajări în masă, furnizor nou, migrare, incident.
Surse oficiale
Documentația Microsoft care merită urmărită
Conținut verificat ultima dată în octombrie 2026. Licențele și numele produselor Microsoft se schimbă; verifică întotdeauna documentația oficială.