Microsoft 365 -auditointi tulee vastaan yhä useammin: vakuutusyhtiö kysyy sitä, hallitus kysyy sitä NIS2:n takia, ja kumppanin vaihdon tai yrityskaupan yhteydessä joku haluaa tietää, mitä on oikeasti ostettu. Hyvin usein pyyntö tulee myös uudelta toimitusjohtajalta tai IT-päälliköltä, joka haluaa ymmärtää, millaisen ympäristön on perinyt ja mistä on nyt vastuussa. Sana on silti epämääräinen. Toiselle se tarkoittaa automaattista raporttia Secure Scoresta, toiselle viikon konsulttityötä. Tässä kirjoituksessa käyn läpi, mitä kunnollinen Microsoft 365 -tietoturva-auditointi sisältää, mitä sen tekijä tarvitsee, mitä raportista pitää löytyä ja kuinka usein se kannattaa tehdä. Samalla selitän, miksi kutsun omaa versiotani kuntokartoitukseksi enkä auditoinniksi.

Mitä Microsoft 365 -auditointi tarkoittaa

Microsoft 365 -auditointi on ulkopuolisen tekemä läpikäynti siitä, miten ympäristö on asetettu, kenellä on oikeuksia mihinkin ja mistä maksetaan. Lopputulos on raportti, joka kertoo, mikä on kunnossa, mikä ei ja missä järjestyksessä puutteet kannattaa korjata. Samasta asiasta käytetään myös nimiä tietoturva-auditointi, tietoturvatarkastus ja tietoturva-arviointi. Käytännössä ne tarkoittavat samaa, ja ero on lähinnä siinä, kuinka laajasti ympäristö käydään läpi ja kuinka hyvin löydökset on priorisoitu.

Kaksi asiaa erottaa oikean auditoinnin klikkitestistä. Ensimmäinen on konteksti: Secure Score tai mikä tahansa automaattinen työkalu kertoo, että jokin asetus poikkeaa suosituksesta, mutta ei sitä, onko sillä teidän ympäristössänne merkitystä. Pääkäyttäjätili ilman MFA:ta on kriittinen; vanha testitili ilman MFA:ta, jolla ei ole mitään oikeuksia, ei ole. Toinen on riippumattomuus: jos auditoinnin tekee sama taho, joka ympäristöä ylläpitää tai joka myy siihen lisenssejä, raportti arvioi myös tekijän omaa työtä tai omaa laskua. Hyvälläkin kumppanilla on sokea piste omaan tekemiseensä.

Oma palveluni, Microsoft 365 Kuntokartoitus, on tämä auditointi paketoituna: kiinteä laajuus, kiinteä hinta, tulos viikossa siitä, kun oikeudet on myönnetty, ja hyödyllisyystakuu. Takuu tarkoittaa, että sinä päätät, oliko raportista hyötyä, ja jos ei ollut, et maksa siitä. Valitsin nimeksi kuntokartoituksen, koska auditointi kuulostaa siltä, että joku tulee etsimään syyllisiä. Kartoitus arvioi ympäristöä, ei ihmisiä. Jos olette etsineet Microsoft 365 -auditointia, kyse on samasta asiasta.

Mitä Microsoft 365 -tietoturva-auditoinnissa käydään läpi

Microsoft 365 -ympäristön tietoturva koostuu viidestä alueesta, ja kunnollinen auditointi käy läpi ne kaikki. Jos tarjous kattaa vain yhden, kyse on osatarkastuksesta, mikä voi olla ihan perusteltua, mutta se kannattaa tietää etukäteen.

Identiteetti ja pääsynhallinta. Entra ID on ympäristön ovi, ja lähes jokainen Microsoft 365 -ympäristöön kohdistuva hyökkäys alkaa käyttäjätilistä. Auditoinnissa katsotaan monivaiheisen tunnistautumisen kattavuus ja laatu (pelkkä MFA ei enää riitä), ehdollisen pääsyn säännöt ja niiden aukot, pääkäyttäjätilien määrä ja suojaus, vanhentuneet tunnistautumistavat sekä kumppaneille ja sovelluksille myönnetyt oikeudet. Viimeinen on se, josta löytyy useimmin yllätyksiä: entisen IT-kumppanin delegoidut oikeudet tai vuosia sitten hyväksytty sovellus, jolla on edelleen lukuoikeus kaikkiin postilaatikoihin.

Laitteet. Mihin laitteisiin yrityksen tiedot päätyvät ja onko niillä mitään vaatimuksia. Intunen kattavuus, laitteiden vaatimustenmukaisuussäännöt, Defenderin tila ja se, pääseekö hallitsemattomalta kotikoneelta kirjautumaan sisään ilman rajoituksia.

Sähköposti. Toimialueen todennus eli SPF, DKIM ja DMARC, jotka kertovat vastaanottajille, mitkä viestit ovat aidosti teiltä. Yleinen löydös on, että tietueet on lisätty, mutta ne eivät vielä käytännössä suojaa teidän nimissänne lähetetyiltä väärennöksiltä. Lisäksi Exchange Onlinen suodatus, automaattiset edelleenlähetykset ulkopuolelle ja jaettujen postilaatikoiden tila.

Data ja jakaminen. SharePointin ja OneDriven jakoasetukset, “kuka tahansa linkin saanut” -linkit, vierailijoiden pääsy ja ylijaetut sivustot. Tämä alue on noussut tärkeäksi Copilotin takia: Copilot näyttää käyttäjälle kaiken, mihin hänellä on oikeus, myös sen, mihin hänellä ei olisi pitänyt olla oikeutta. Kirjoitin siitä erikseen: Ennen Copilotia: kuka näkee mitäkin?

Lisensointi. Tämä puuttuu useimmista tietoturva-auditoinneista, mutta minusta se kuuluu samaan läpikäyntiin, koska lisenssit ratkaisevat, mitä suojauksia on ylipäätään käytettävissä. Jokaisen käyttäjän todellista käyttöä verrataan hänen lisenssiinsä. Tyypillisessä sekalisenssiympäristössä merkittävä osa lisensseistä on joko käyttämättömiä tai ylimitoitettuja, ja toisaalta jostain puuttuu ominaisuus, jolla tietoturvalöydös korjattaisiin. Lisenssilasku kasvaa, eikä kukaan katso miksi kertoo, miten tähän yleensä päädytään.

Tarkistuksia on satoja, ja ne tehdään tunnettuja perustasoja vasten, ennen kaikkea CIS Microsoft 365 Benchmarkia ja Microsoftin Zero Trust -suosituksia. Perustaso on tärkeä siksi, että ilman sitä löydökset ovat tekijän mielipiteitä.

Mitä oikeuksia auditoinnin tekijä tarvitsee

Tämä vaihtelee tekijän mukaan, joten kysy etukäteen, mitä oikeuksia pyydetään ja miksi. Yksi periaate pätee kaikkiin: auditointi on lukemista, ei muuttamista. Jos tekijä haluaa muuttaa asetuksia auditoinnin aikana, kyse on jostain muusta kuin auditoinnista.

Omassa työssäni suurin osa tarkastuksesta tehdään sovelluksilla, jotka lukevat ympäristön asetuksia ja käyttötietoja, ja osa käsin hallintaportaaleista. Oikeuksiin on kaksi tapaa: joko saan riittävät oikeudet luodakseni tarkastussovellukset itse, mikä on nopein tapa, tai asiakas luo ne ohjeideni mukaan, jolloin minulle riittävät lukuoikeudet. Kumpi sopii teille, riippuu siitä, kuinka tiukat säännöt ulkopuolisten oikeuksista teillä on, ja se sovitaan aloituspuhelussa.

Sähköpostien ja tiedostojen sisältö ei ole auditoinnin kohde. Tarkastus koskee asetuksia, oikeuksia ja käyttötietoja, ei sitä, mitä viesteissä tai dokumenteissa lukee. Kun auditointi on valmis, tilapäiset oikeudet ja sovellukset kannattaa poistaa, ellei yhteistyö jatku korjausvaiheessa. Se on hyvä sopia ja merkitä jonkun vastuulle jo alussa, koska se unohtuu helposti molemmilta osapuolilta.

Kuntokartoituksessa käyttäjät eivät huomaa mitään, ja teiltä kuluu noin vartti oikeuksien myöntämiseen ja tunti tulosten läpikäyntiin. Jos auditointi vaatii teiltä päiviä työtä, kannattaa kysyä miksi.

Mitä auditointiraportissa pitää olla

Raportti on auditoinnin ainoa tuote, joten sen laatu ratkaisee, oliko koko työstä hyötyä. Kolme asiaa erottaa käyttökelpoisen raportin löydöslistasta.

Ensimmäinen on priorisointi. Sadan rivin lista, jossa kaikki on punaista, ei auta ketään. Jokaisella löydöksellä pitää olla vakavuus, joka perustuu teidän ympäristöönne eikä yleiseen taulukkoon, ja raportista pitää nähdä yhdellä silmäyksellä, mitkä kolme tai viisi asiaa korjataan ensin.

Toinen on konkreettinen korjaus. Jokaiseen löydökseen kuuluu kuvaus siitä, mitä tehdään, ja tieto siitä, onnistuuko se nykyisillä lisensseillä. Suurin osa tyypillisistä löydöksistä, kuten pääkäyttäjien MFA, ehdollisen pääsyn aukot, vanhat kumppanioikeudet ja sähköpostin todennus, korjataan ilman uusia ostoja. Jos jokin vaatii lisenssin, jota ei ole, se pitää sanoa suoraan, mutta raportti ei saa olla myyntilista.

Kolmas on johdon luettavuus. Raportin pitää vastata kysymykseen “missä kunnossa olemme ja mitä se maksaa” niin, että toimitusjohtaja tai talousjohtaja ymmärtää sen ilman teknistä taustaa. Lisenssianalyysi kannattaa esittää euroina, koska se on ainoa osa raportista, joka maksaa itsensä takaisin ennen kuin yhtään tietoturvalöydöstä on korjattu. Hyvä raportti on sellainen, jonka IT-vastaava voi viedä johdolle omana saavutuksenaan.

Kuntokartoituksessa nämä ovat kiinteä osa toimitusta: priorisoidut löydökset, korjauspolku, euromääräinen lisenssisäästöarvio ja tunnin purkukeskustelu, jossa raportti käydään yhdessä läpi.

Kuinka usein Microsoft 365 -ympäristö pitäisi auditoida

Tähän ei ole yhtä vastausta, ja epäilen jokaista, joka sanoo miettimättä “vuosittain” tai “kerran riittää”. Molemmat ovat todennäköisesti väärin. Minusta asia jakautuu kolmeen osaan.

Lisensointi kannattaa tarkistaa kerran vuodessa, ja ajoitus kannattaa sitoa vuosisopimuksen uusimispäivään. Lähes kaikilla on sellainen, ja siihen asti lisenssimäärät ja -tasot ovat vielä auki. Tarkistus kannattaa tehdä hyvissä ajoin ennen uusimista, jotta ehditte oikeasti päättää ja tehdä muutokset, ei viikkoa ennen. Microsoft tuo vuosittain uusia ominaisuuksia ja muuttaa hintoja, joten viime vuoden mitoitus ei välttämättä ole enää oikea.

Tietoturvan osalta yhden tai kahden vuoden väli on useimmille järkevä, mutta tärkeämpää kuin kalenteri ovat muutokset: yrityskauppa, IT-kumppanin vaihto, Copilotin käyttöönotto, iso henkilöstömuutos tai uusi vastuuhenkilö voivat kaikki olla syitä katsoa ympäristö läpi riippumatta siitä, milloin edellinen auditointi tehtiin.

Ja jos ympäristöä kehitetään jatkuvasti ja sen tilaa seurataan mittareilla kuukausittain, erillistä auditointia ei tarvita samalla tavalla. Silloin auditoinnin rooli on lähinnä varmistaa ulkopuolisen silmin, että seuranta oikeasti kattaa olennaisen.

Mitä auditoinnin jälkeen

Raportti ei korjaa mitään. Päätös siitä, kuka korjaukset tekee, on teidän: oma IT tai nykyinen kumppani raportin perusteella, tai joku muu. Hyvä raportti toimii kaikissa tapauksissa, koska se antaa kaikille saman priorisoidun listan. Kaikki auditoijat eivät tee korjauksia; minä teen, jos niin haluatte. Se on kuitenkin erillinen päätös, ei ehto. Jos auditoinnin ehtona on, että korjaukset ostetaan samalta toimittajalta, kyse ei ole riippumattomasta auditoinnista.

Jos haluatte tietää, missä kunnossa teidän Microsoft 365 -ympäristönne on, kuntokartoitus on tässä kuvattu auditointi valmiiksi paketoituna. Se alkaa maksuttomalla 30 minuutin puhelulla, jossa selviää, kannattaako se teille ylipäätään tehdä.

Mitä Microsoft 365 -tietoturva-auditointi sisältää ja mitä raportista pitää löytyä