أساس MFA وتنبيهات المشرفين الذي تتوقعه Google وMicrosoft أن تفعّله

تنشر Google Workspace وMicrosoft 365 الفكرة نفسها بصيغ مختلفة: لا ينبغي أن يدخل المشرفون بكلمة مرور وحدها، ويجب أن يُبلَّغ أحد عند تغيّر الإعدادات المتميّزة. لا يتطلب ذلك منتج أمن جديداً. يتطلب إعدادات افتراضية تشغّلها وقناة يقرأها إنسان فعلاً.

Google Workspace: التحقق بخطوتين ليس اختيارياً للمشرفين

تفرض Google التحقق بخطوتين على حسابات المشرف في Workspace. افرضه على بقية المؤسسة بسياسة أمنية لا برسالة تطلب التطوع. فضّل مطالبات Google أو مفاتيح الأمان أو مفاتيح المرور على الرسائل النصية. يجب أن يملك المشرفون الأعلى مفتاحاً فعلياً وحساب طوارئ مخزّناً دون اتصال. في وحدة التحكم، فعّل التنبيهات لتعيين مشرف أعلى جديد وتسجيل الدخول المشبوه ومنح تطبيقات OAuth.

Microsoft 365: الإعدادات الافتراضية الأمنية أو الوصول المشروط، لا الفراغ بينهما

تسجّل الإعدادات الافتراضية الأمنية في Entra المستخدمين في MFA وتحظر المصادقة القديمة. إذا كان لديك Entra ID P1 أو P2 فاستبدل الافتراضيات بالوصول المشروط لتفرض MFA مقاومة للتصيّد على المشرفين وتحظر الدخول من دول لا تعمل فيها وتطلب أجهزة متوافقة لأدوار المالية. مطابقة الأرقام في Microsoft Authenticator هي الأساس الحالي؛ الرسائل النصية استثناء لا خطة.

• عطّل قواعد إعادة توجيه البريد إلى خارج البيئة ما لم يوافق فريق الأمن.
• نبّه عند تعيين Global Administrator أو Privileged Role Administrator، لا عند فشل تسجيل الدخول فقط.
• راجع الضيوف والتطبيقات غير المستخدمة كل ربع سنة. الضيوف القدامى ثغرة مملة وشائعة.

تنبيهات تصل إلى مكان يُراقَب

وجّه Google Alert Center وتنبيهات Entra (أو سجل التدقيق الموحّد على الخطط الأدنى) إلى صندوق بريد أو قناة Teams مُراقَبة. ملخص أسبوعي في صندوق مشترك لا يفتحه أحد ليس مراقبة. إذا أسندت ذلك لمزوّد خدمات، يجب أن يسمي دليل التشغيل المستجيب الأول وجهة اتصال العميل خارج أوقات العمل.