Jūsų 85 neatitikimai nėra 85 atskiros problemos: jos susiveda į 4 pagrindinę(-es) priežastį(-is). Spręskite jas tvarka ir sutelktomis pastangomis neutralizuosite didžiąją dalį rizikos, nereikės perdaryti viso darbo.
70/100
Reikia sustiprinti
reali bazė, tačiau viena kritinė spraga vis dar atvira
67
Sujets distincts
4
Chantiers
280
Contrôles tranchés
63
Non collectés (angle mort)
92%
Correctifs gratuits
63 kontrolės nebuvo surinktos. Jų nepavyko išmatuoti šio nuskaitymo metu: nei neatitiktis, nei atitiktis, aklzona, neįtraukta į įvertinimą. Kiekvienos priežastis nurodyta jūsų audito surinkimo žurnale.
Répartition par gravité
Svarbu ne tik skaičius, bet ir sunkumas.
Jūsų 85 neatitiktys susiveda į 67 atskiras temas, suskirstytas pagal sunkumą (vienas nustatymas = vienas sunkumo lygis, pats blogiausias) pagal NIST SP 800-30 poveikio matricą.
Critique 1
Élevée 22
Moyenne 41
Faible 3
Critique : 1Élevée : 22Moyenne : 41Faible : 3
1 écart critique à traiter en priorité
Objectif non atteint aujourd'hui : MFA exigé pour tous les utilisateurs via une politique d'accès conditionnel
Par quoi commencer
4 chantiers, un seul ordre logique.
Išdėstyti pagal poveikį (rizikos sumažinimą) ir pastangas. Pirmenybė teikiama poveikiui (kuo aukščiau, tuo svarbiau); esant vienodam poveikiui, sprendžia pastangos (kuo kairiau, tuo greičiau).
Vite fait, fort impact
Fort impact, plus lourd
Rapide, impact ciblé
À planifier
1
2
3
4
Impact fort ↑
Impact faible
Effort faible
Effort élevé →
1Konfigūracija ir atitiktis34 écarts
2Tapatybė ir prieiga31 écarts
3Aptikimas ir stebėsena14 écarts
4Duomenys ir pažeidžiamumas6 écarts
Burbulų dydis = darbų paketo neatitikčių skaičius. Sprendimo eiliškumas: pirmiausia poveikis (iš viršaus į apačią), esant vienodam poveikiui sprendžia pastangos (pirmas tas, kuris kairiausiai).
La réduction
85 contrôles en écart, 67 sujets distincts, 4 chantiers.
Ta pati spraga kartojasi keliose vietose. Pašalinkite priežastį ir iš karto uždarysite kelias neatitiktis.
1
Konfigūracija ir atitiktis
Vidutinis34
2
Tapatybė ir prieiga
Didelis31
3
Aptikimas ir stebėsena
Aukštas14
4
Duomenys ir pažeidžiamumas
Aukštas6
Trys pirmieji jūsų sprendimai
Sutelkite pastangas ten, kur jos atsiperka.
1
Konfigūracijos sugriežtinimas
nesugriežtinta bazė tyliai plečia atakos plotą, be jokio matomo perspėjimo.
Écarts
34
No purchase
33 / 34
Poveikis
Vidutinis
2
Tapatybė ir prieiga
paskyros perėmimas yra dažniausiai naudojamas atakos įėjimo taškas; tai vienintelė tema, kurioje ribotos pastangos uždaro visą riziką klasę vienu ypu.
Écarts
31
No purchase
30 / 31
Poveikis
Didelis
3
Stebėsena ir žurnalinimas
be aktyvaus aptikimo ir pilno žurnalo, ataka gali pavykti nebūdama sustabdyta, laiku aptikta ar vėliau įrodyta: tai tiesioginis trūkumas incidento, reguliuojamos patikros ar draudimo bylos atveju.
Écarts
14
No purchase
12 / 14
Poveikis
Aukštas
Kodėl mūsų įvertis, o ne Microsoft įvertis
Microsoft Secure Score matuoja Microsoft kontrolių įdiegimą, o ne tikrąją riziką. Gamintojas negali būti savo paties saugumo teisėjas ir šalis vienu metu: mūsų vertinimas yra nepriklausomas.
Audit indépendant. Atskiriame tai, kas ištaisoma nemokamai, nuo to, kas reikalauja pirkinio iš Microsoft, o kiekvieną licencijuojamą neatitiktį taip pat galima išspręsti pasitelkiant alternative tierce ou souveraine, atsižvelgiant į jūsų aplinkybes. Sprendžiate žinodami visus faktus.
Veikti: ramybės kaina
Presque rien.
78 iš jūsų 85 neatitikčių išsprendžiamos paprastu konfigūravimu, už 0 €. Svarbiausios saugumo dalies nenusipirksite.
✓MFA, authentification forte, journalisation : gratuits, quelques heures de paramétrage.
✓7 neatitiktims reikia Microsoft licencijos arba lygiavertės suverenios alternatyvos.
✓Pastangos sutelkiamos į 3 pirmąsias priežastis: rizika krinta greitai.
Nedaryti nieko: sąskaita ateis 3 kartus
Trys sąskaitos, o ne viena.
Atsisakymas veikti dabar nesutaupo atitikties užtikrinimo: jį apmokėsite quand même, po incidento, be viso kito.
1Išpirka. Išpirkos reikalaujanti programa užšifruoja jūsų duomenis: arba mokate, arba viską atkuriate iš naujo.
2VDAI skirta bauda. Iki 20 mln. EUR arba 4 % pasaulinės metinės apyvartos (BDAR 83 str.).
3Šiandien atmestas sugriežtinimas. Vis tiek teks tai padaryti vėliau, skubos tvarka ir brangiai.
Sankcijos riba: Reglamentas (ES) 2016/679 (BDAR), 83 str. Kita priklauso nuo jūsų veiklos.
Už viešų sistemų ribų
Tai, ką išmatavome, negalėdami to palyginti su standartu.
Šios 29 išvados yra realios ir išmatuotos jūsų nuomininke, tačiau jokia vieša sistema jų neįvardija: tai mūsų vertinimas, o ne taisyklė, kuria galima remtis. Todėl jos neįtrauktos į įvertinimą ir į pažymą. Pateikiame jas, nes jos teisingos.
Mūsų rekomenduojami sugriežtinimai (29)
La méthode d'authentification par code à usage unique envoyé par e-mail (E-mail OTP) est-elle désactivée ?
Des limites de messages sortants sont-elles définies dans la politique anti-spam sortante pour contenir un compte compromis ?
Les utilisateurs standards sont-ils empêchés de créer eux-mêmes des groupes de sécurité ?
La consultation en libre-service des clés de récupération BitLocker par les utilisateurs est-elle restreinte ?
Le rôle Global Administrator est-il exclu de l'attribution automatique d'administrateur local lors de la jonction d'un appareil à Entra ID ?
ir dar 24, išsamiai techniniame skaityme
Le plan
Trois temps, un cap.
Pirmiausia
Konfigūracijos sugriežtinimas
Stipriausias pašalintos rizikos ir pastangų santykis. Kol tai neatlikta, likusieji veiksmai saugo namą, kurio durys lieka atviros.
Toliau
Tapatybė ir prieiga
Kai pirmasis svertas pasiektas, mažiname plotą, per kurį rizika gali materializuotis.
Tada
Stebėsena ir žurnalinimas
Belieka įtvirtinti šiuos rezultatus ilgainiui: valdymas, reguliarios peržiūros ir saugomi įrodymai, kad padėtis išsilaikytų laikui bėgant, o ne tik audito dieną.
Papildoma pasirinktinė SharePoint funkcija (3 kontrolės punktas(-ai))
Complément optionnel : Microsoft ne propose pas de mode lecture seule pour ces réglages SharePoint par site - y accéder exige un droit d'écriture (limite Microsoft, pas la nôtre). Désactivé par défaut, disponible en option de votre côté, et hors score tant que non activé.
Šie kontrolės punktai neskaičiuojami NEI kaip atitinkantys, NEI kaip neatitinkantys, NEI kaip nesurinkti: jie lieka už balo ribų, kol jūs neaktyvuosite šios papildomos funkcijos (savo iniciatyva, jūsų pusėje, niekada pas mus).
Netaikoma: funkcija nuomotojo sąskaitoje neįdiegta (24 kontrolės punktas(-ai))
Šie kontrolės punktai netaikomi jūsų nuomotojo sąskaitai: atitinkama funkcija (Microsoft Entra ID P2 / Governance licencija, arba produktas, pvz., Copilot, Sentinel, Defender for Endpoint, Power Platform...) joje neįdiegta. Todėl nėra ko matuoti: tai nei nesėkmė, nei akla zona.
Šie kontrolės punktai neskaičiuojami NEI kaip atitinkantys, NEI kaip neatitinkantys: tai konstatavimas, ne nesėkmė. Nesiūlome pirkti papildomos licencijos: siekiamas saugumo tikslas dažnai gali būti pasiektas kitaip (nustatymai, vidinė procedūra ar trečiosios šalies įrankis, kartais atviro kodo ir pigesnis). Jie taptų vėl išmatuojami, jei ištekliai atsirastų jūsų nuomotojo sąskaitoje.
6 point(s) de vigilance organisationnels
Šie reikalavimai (fizinė apsauga, tinklo segmentavimas, sąmoningumas, valdymas) priklauso organizacijai ir NĖRA išmatuojami tik skaitymo teisėmis atliekamu Microsoft 365 nuskaitymu. Jie pateikiami atskirai, neįskaitant į balą ir į neatitikimų skaičių: tikrinti vidaus peržiūra.
Norintiems gilintis
Šis auditas įvertina jūsų poziciją. Jis dar nesako, ar ataka galima - ar jau vyksta tyliai.
Aukščiau pateikta aprėptis atsako į klausimą: kur esate pažeidžiami? Lieka atviri du klausimai, turintys didesnę vertę:
Ar ataka JAU VYKSTA? Tylus kompromitavimas: persiuntimo taisyklės, per didelis sutikimas, administratorių pridėjimas, audito apėjimai.
Norint atsakyti į šiuos klausimus reikia specialaus rankinio tyrimo, atliekamo pagal tuos pačius signalus ir neatskleidžiant jūsų duomenų. Paprašykite pasiūlymo dėl tikslinio įsilaužimo testo.
SYAGA AuditDiagnostic de posture Microsoft 365 · système zéro-knowledge · lecture indépendante NIST SP 800-30
Audit reproductible Jūsų duomenys atviru tekstu niekada neperduodami
Skaitymas pritaikytas vadovybei. Tas pats auditas yra ir saugumo vadovui, technikui, atitikčiai bei draudikui: vienas matavimas, penki pasakojimai ir pilna byla.