85 frávik þín eru ekki 85 ólík vandamál: þau eiga rætur að rekja til fjórar rótarorsakas. Leystu þau í röð og þú eyðir meginhluta áhættunnar með markvissri fyrirhöfn, án þess að byrja allt upp á nýtt.
70/100
Þarf að styrkja
raunverulegur grunnur, en eitt alvarlegt gap er enn opið
67
Sujets distincts
4
Chantiers
280
Contrôles tranchés
63
Non collectés (angle mort)
92%
Correctifs gratuits
63 eftirlitsatriði sem ekki tókst að safna. Ekki var unnt að mæla þau í þessari skönnun: hvorki frávik né samræmi, blindur blettur sem er undanskilinn einkunninni. Ástæðan fyrir hverju þeirra kemur fram í söfnunarskrá úttektarinnar.
Répartition par gravité
Alvarleikinn skiptir máli, ekki bara fjöldinn.
85 frávik ykkar má rekja til 67 aðgreindra viðfangsefna, flokkuð eftir alvarleika (ein stilling = einn alvarleiki, á versta stigi sínu) á áhrifakvarða NIST SP 800-30.
Critique 1
Élevée 22
Moyenne 41
Faible 3
Critique : 1Élevée : 22Moyenne : 41Faible : 3
1 écart critique à traiter en priorité
Objectif non atteint aujourd'hui : MFA exigé pour tous les utilisateurs via une politique d'accès conditionnel
Par quoi commencer
4 chantiers, un seul ordre logique.
Staðsett eftir áhrifum (minnkun áhættu) og fyrirhöfn. Áhrifin ganga fyrir (ofar = meiri forgangur); við sömu áhrif ræður fyrirhöfnin (lengra til vinstri = fljótlegra).
Vite fait, fort impact
Fort impact, plus lourd
Rapide, impact ciblé
À planifier
1
2
3
4
Impact fort ↑
Impact faible
Effort faible
Effort élevé →
1Uppsetning og regluvarsla34 écarts
2Auðkenni og aðgangur31 écarts
3Greining og eftirlit14 écarts
4Gögn og útsetning6 écarts
Stærð kúlnanna = fjöldi frávika í verkþættinum. Röð úrlausnar: áhrifin fyrst (ofan frá og niður), fyrirhöfnin ræður við sömu áhrif (lengst til vinstri fyrst).
La réduction
85 contrôles en écart, 67 sujets distincts, 4 chantiers.
Sami veikleikinn birtist á mörgum stöðum. Ef þið takið á orsökinni lokið þið mörgum frávikum í einu.
1
Uppsetning og regluvarsla
Í meðallagi34
2
Auðkenni og aðgangur
Meiriháttar31
3
Greining og eftirlit
Hátt14
4
Gögn og útsetning
Hátt6
Þínar þrjár fyrstu ákvarðanir
Beinið kraftinum þangað sem hann skilar sér.
1
Herðing uppsetningar
óhert grunnuppsetning stækkar árásarflötinn í hljóði, án sýnilegrar viðvörunar.
Écarts
34
No purchase
33 / 34
Áhrif
Í meðallagi
2
Auðkenni og aðgangur
yfirtaka reiknings er algengasta innleiðin fyrir árás; þetta er eina þemað þar sem takmörkuð fyrirhöfn lokar heilum flokki áhættu í einu.
Écarts
31
No purchase
30 / 31
Áhrif
Meiriháttar
3
Eftirlit og annálaskráning
án virkrar greiningar eða heildstæðra annála getur árás heppnast án þess að vera stöðvuð, uppgötvuð í tæka tíð eða sönnuð eftir á: bein hindrun ef tjón verður, ef til reglufylgnieftirlits kemur, eða vegna tryggingamála.
Écarts
14
No purchase
12 / 14
Áhrif
Hátt
Hvers vegna okkar einkunn, ekki einkunn Microsoft
Secure Score frá Microsoft mælir upptöku á stýringum Microsoft, ekki raunverulega áhættu. Framleiðandi getur ekki verið dómari í eigin sök um sitt eigið öryggi: okkar mat er óháð.
Audit indépendant. Við greinum á milli þess sem lagast án kostnaðar og þess sem kallar á kaup hjá Microsoft, og hvert leyfisháð frávik má einnig leysa með því sem kallast alternative tierce ou souveraine, eftir aðstæðum ykkar. Þið takið ákvörðunina upplýst.
Að bregðast við: verðið á hugarró
Presque rien.
78 af 85 frávikum ykkar leysast með einfaldri stillingu, á 0 €. Það sem mestu skiptir í öryggi ykkar er ekki keypt.
✓MFA, authentification forte, journalisation : gratuits, quelques heures de paramétrage.
✓7 frávik kalla á leyfi frá Microsoft, eða sambærilegan fullvalda valkost.
✓Kraftarnir beinast að fyrstu þremur orsökunum: áhættan lækkar hratt.
Að gera ekkert: reikningurinn kemur þrisvar
Þrír reikningar, ekki einn.
Að neita að bregðast við núna sparar ykkur ekki regluvörsluna: þið borgið hana quand même, eftir tjónið, ofan á allt annað.
1Lausnargjaldið. Gagnagíslatökuforrit dulkóðar gögnin ykkar: annaðhvort að borga eða byggja allt upp á nýtt.
2Sektin frá Personuvernd. Allt að 20 milljónum EUR eða 4 % af heildarveltu á heimsvísu (GDPR 83. gr.).
3Herðingin sem er hafnað í dag. Þarf samt að gera eftir á, í flýti og á fullu verði.
Hámark viðurlaga: reglugerð (ESB) 2016/679 (GDPR), 83. gr. Annað fer eftir starfsemi ykkar.
Utan opinberra viðmiða
Það sem við mældum, án þess að geta borið það saman við staðal.
Þessar 29 niðurstöður eru raunverulegar og mældar í leigjanda ykkar, en ekkert opinbert viðmið nefnir þær: þetta er okkar lestur, ekki regla sem hægt er að bera fyrir sig. Þær eru því undanskildar einkunninni og vottorðinu. Við gefum ykkur þær af því að þær eru sannar.
Herðingar sem við mælum með (29)
La méthode d'authentification par code à usage unique envoyé par e-mail (E-mail OTP) est-elle désactivée ?
Des limites de messages sortants sont-elles définies dans la politique anti-spam sortante pour contenir un compte compromis ?
Les utilisateurs standards sont-ils empêchés de créer eux-mêmes des groupes de sécurité ?
La consultation en libre-service des clés de récupération BitLocker par les utilisateurs est-elle restreinte ?
Le rôle Global Administrator est-il exclu de l'attribution automatique d'administrateur local lors de la jonction d'un appareil à Entra ID ?
og 24 til viðbótar, útlistaðar í tæknilega lestrinum
Le plan
Trois temps, un cap.
Fyrst
Herðing uppsetningar
Besta hlutfall áhættu sem eytt er á móti fyrirhöfn. Á meðan þetta er ógert, verndar restin hús þar sem hurðin er enn opin.
Síðan
Auðkenni og aðgangur
Þegar fyrsta aðgerðin er komin í höfn, minnkum við flötinn þar sem áhættan getur raungerst.
Síðan
Eftirlit og annálaskráning
Eftir stendur að festa þennan árangur í tíma: stjórnarhættir, reglulegar rýnir og varðveitt gögn, svo að staðan haldi yfir tíma og ekki aðeins á degi endurskoðunar.
Valfrjáls SharePoint-viðbót (3 eftirlitsatriði)
Complément optionnel : Microsoft ne propose pas de mode lecture seule pour ces réglages SharePoint par site - y accéder exige un droit d'écriture (limite Microsoft, pas la nôtre). Désactivé par défaut, disponible en option de votre côté, et hors score tant que non activé.
Þessi eftirlitsatriði teljast HVORKI í samræmi, HVORKI ekki í samræmi, HVORKI ósöfnuð: þau eru áfram utan einkunnar þar til þú virkjar viðbótina (að þínu frumkvæði, hjá þér, aldrei hjá okkur).
Á ekki við: eiginleiki ekki til staðar á leigjandanum (24 eftirlitsatriði)
Þessi eftirlitsatriði eiga ekki við um leigjandann þinn: viðkomandi eiginleiki (Microsoft Entra ID P2 / Governance leyfi, eða vara á borð við Copilot, Sentinel, Defender for Endpoint, Power Platform...) er ekki til staðar þar. Því er ekkert að mæla: hvorki er um að ræða frávik né blindan blett.
Þessi eftirlitsatriði teljast HVORKI í samræmi né ekki í samræmi: þetta er ábending, ekki brestur. Við hvetjum þig ekki til að kaupa auka leyfi: oft má ná sama öryggismarkmiði á annan hátt (stilling, innra verklag, eða þriðja aðila verkfæri sem er stundum ókeypis og ódýrara). Þau yrðu aftur mælanleg ef auðlindin væri til staðar á leigjandanum þínum.
6 point(s) de vigilance organisationnels
Þessar kröfur (líkamlegt öryggi, netskipting, vitundarvakning, stjórnarhættir) heyra undir skipulagsheildina og eru EKKI mælanlegar með lesaðgangsskönnun á Microsoft 365. Þær eru tilgreindar sérstaklega, utan einkunnar og utan fjölda fráviks: staðfestist með innri rýni.
Til að ganga lengra
Þessi úttekt mælir öryggisstöðu þína. Hún segir ekki enn til um hvort árás sé möguleg - eða þegar hafin án þess að sjást.
Þekjan hér að ofan svarar: hvar ertu berskjaldaður? Tvær spurningar með meira vægi eru enn ósvaraðar:
Er árás MÖGULEG? Leiðir til aukinna réttinda: reikningar, hlutverk, OAuth-samþykki, sambandsauðkenning, ytri boð.
Er árás ÞEGAR HAFIN? Falin málamiðlun: framsendingarreglur, of víðtæk samþykki, viðbætur stjórnenda, sniðgöngur á endurskoðun.
Að svara þessu krefst sérstakrar handvirkrar rannsóknar, byggðrar á sömu merkjum og án þess að gögn þín séu afhjúpuð. Óskaðu eftir tilboði fyrir markvisst innbrotspróf.
SYAGA AuditDiagnostic de posture Microsoft 365 · système zéro-knowledge · lecture indépendante NIST SP 800-30
Audit reproductible Ódulkóðuð gögn ykkar eru aldrei send frá ykkur
Lestur sniðinn að stjórn. Sama úttekt fæst fyrir öryggisstjóra, tæknimann, regluvörslu og tryggingafélag: ein mæling, fimm frásagnir, auk fullbúinnar möppu.