Większość firm z 5–150 osobami żyje w Microsoft 365 albo Google Workspace. Atakujący też. Ten baseline to lista kontroli, które warto domknąć przed zakupem kolejnego „pakietu bezpieczeństwa”.
Nie jest to pełna dokumentacja produktu ani ocena zgodności. Po każdym punkcie: fakt (jest / nie ma) i właściciel.
Wspólne dla obu platform
- Imienne konta. Brak wspólnego hasła „biuro@” używanego przez trzy osoby.
- MFA na wszystkich kontach użytkowników, mocniejsze (passkey / klucz FIDO2) na administratorach i na poczcie właściciela firmy.
- Oddzielne konto administracyjne od codziennej poczty — standard konta administratora.
- Brak legacy auth (stare protokoły, które omijają MFA), o ile nie ma spisanego wyjątku z datą wygaśnięcia.
- Konta gości i partnerów z terminem i właścicielem; po projekcie dostęp znika.
- Reguły przekierowania i filtry — okresowy przegląd: kto przekazuje pocztę na zewnątrz.
- Aplikacje OAuth / „połączone aplikacje” — usuń nieznane; ogranicz, kto może zgadzać się na dostęp do skrzynki.
- Role administracyjne — jak najmniej osób z Global Admin / Super Admin; osobny dziennik zmian.
- Urządzenia — przynajmniej: wiadomo, które laptopy mają dostęp do poczty firmowej; zgubiony telefon ma procedurę (runbook).
- DNS poczty — SPF, DKIM, DMARC w trybie, który nie blokuje legalnej poczty, ale zbiera raporty (etapy).
Microsoft 365 — dopiski
- Wyłącz lub ogranicz Basic Authentication / legacy protocols w Entra ID.
- Sprawdź mailbox forwarding (Inbox rules + transport) pod kątem cichych przekierowań.
- Konta z rolą Global Administrator: MFA odporne na phishing; konta break-glass w sejfie, nie w Slacku.
- SharePoint / OneDrive: linki „każdy z linkiem” tylko świadomie; domyślnie węższy dostęp.
- Jeśli jest Intune albo inny MDM — nawet prosty profil: szyfrowanie dysku, blokada ekranu, zdalne wymazanie służbowego telefonu.
Google Workspace — dopiski
- Wymuś 2-Step Verification dla jednostki organizacyjnej; preferuj klucze bezpieczeństwa dla adminów.
- Sprawdź filtry Gmail i adresy przekazywania na kontach krytycznych.
- Super Admin: minimum osób; osobne konto od codziennej pracy.
- OAuth: przegląd aplikacji z dostępem do Gmail / Drive.
- Drive: domyślne udostępnianie w organizacji, nie „publiczne w internecie”.
Czego ten baseline nie robi
- Nie zastępuje EDR, SIEM ani pentestu.
- Nie mówi „jesteście zgodni z ISO / NIS2”.
- Nie wycenia wdrożenia — do tego jest formularz z opisem tenantów i liczby użytkowników.
Następny krok
Ułóż wynik w trzech kolumnach: jest, brak, świadomie odroczone. Potem kolejność z przewodnika dla małej firmy.