Wiedza

Uwierzytelnianie wieloskładnikowe to pojedyncze zabezpieczenie o największym stosunku skuteczności do kosztu — eliminuje zdecydowaną większość udanych przejęć kont. Problemem nie jest jednak technologia, tylko wdrożenie: źle przeprowadzone potrafi na dwa dni zatrzymać pracę firmy i zniechęcić ludzi na lata.

Dlaczego samo hasło już nie wystarcza

Typowy atak na firmę nie zaczyna się od łamania zabezpieczeń, tylko od wiadomości phishingowej udającej powiadomienie o dokumencie do podpisu albo o wygasającym haśle. Pracownik wpisuje dane na podrobionej stronie i od tego momentu napastnik ma dostęp do jego skrzynki — a przez nią do korespondencji, plików i kolejnych osób w firmie.

Hasło samo w sobie nie odróżnia właściciela konta od kogoś, kto je zna. MFA dokłada element, którego przejęcie hasła nie daje.

Metody — od najlepszej do najgorszej

Metoda	Ocena
Klucz sprzętowy / Windows Hello	Najwyższa odporność, także na phishing. Warto dla kont administracyjnych i zarządu.
Aplikacja z powiadomieniem i dopasowaniem numeru	Optymalne dla większości firm. Wygodne i odporne na zmęczenie powiadomieniami.
Kod z aplikacji	Dobre rozwiązanie zapasowe, gdy telefon nie ma internetu.
SMS	Lepsze niż nic, ale podatne na przejęcie numeru. Wyłącznie jako metoda awaryjna.

Ważne: zwykłe powiadomienie „zatwierdź logowanie” bez dopasowania numeru jest podatne na atak polegający na zasypywaniu użytkownika powiadomieniami, aż któreś zatwierdzi z rozdrażnienia. Dopasowanie numeru — użytkownik przepisuje liczbę z ekranu logowania do aplikacji — rozwiązuje ten problem.

Jak wdrożyć bez buntu

1. Zacznij od siebie i od administratorów

Konta z uprawnieniami administracyjnymi to najcenniejszy cel. Włącz MFA dla nich najpierw — przy okazji poznasz proces, zanim zetkną się z nim pracownicy.

2. Uprzedź z wyprzedzeniem

Krótka informacja na tydzień wcześniej: co się zmieni, dlaczego i co trzeba przygotować. Najczęstsza przyczyna oporu to zaskoczenie, nie sama niedogodność.

3. Przygotuj instrukcję z obrazkami

Jedna strona ze zrzutami ekranu z konkretnego telefonu. Instrukcja odsyłająca do dokumentacji producenta nie zadziała.

4. Wdrażaj grupami

Jeden dział na raz, zaczynając od najbardziej cierpliwego. Pozwala to wyłapać problemy przy dziesięciu osobach zamiast przy stu.

5. Zapewnij wsparcie w dniu włączenia

Ktoś dostępny pod telefonem przez pierwsze godziny. Większość zgłoszeń to drobiazgi, ale bez pomocy zamieniają się w blokadę pracy.

6. Zaplanuj przypadki brzegowe

• Pracownik bez telefonu służbowego — aplikacja na prywatnym telefonie nie daje pracodawcy dostępu do urządzenia, co warto jasno zakomunikować. Alternatywą jest klucz sprzętowy.
• Zgubiony lub wymieniony telefon — ustal wcześniej, kto i w jaki sposób weryfikuje tożsamość przed zresetowaniem metody.
• Praca w miejscu bez zasięgu — kody z aplikacji działają bez internetu.
• Konta serwisowe i urządzenia — drukarki i systemy wysyłające pocztę wymagają osobnego podejścia, nie MFA.

Co zrobić po włączeniu MFA

• Wyłącz starsze protokoły uwierzytelniania. Bez tego MFA da się obejść — to najczęstszy błąd przy wdrożeniu.
• Sprawdź, czy nie zostały wyjątki. Konta pominięte „tymczasowo” mają tendencję do pozostawania takimi na stałe.
• Przejrzyj konta z uprawnieniami administracyjnymi i ogranicz ich liczbę do niezbędnej.
• Rozważ dostęp warunkowy — pozwala nie pytać o drugi składnik w biurze, a wymagać go poza siecią firmową. Wymaga planu Business Premium.

Czego MFA nie załatwia

MFA chroni przed przejęciem konta hasłem, ale nie przed zainfekowanym komputerem, nie przed pracownikiem, który świadomie wynosi dane, i nie przed skasowaniem plików. Jest pierwszym krokiem, nie całością — pozostałe warstwy opisujemy przy bezpieczeństwie i backupie.

Pracownik odchodzi z firmy. Co dokładnie zrobić z jego kontem, skrzynką i plikami — żeby nie stracić danych, nie płacić dalej za licencję i nie zostawić otwartego dostępu? Poniżej procedura krok po kroku dla Microsoft 365.

Dlaczego to nie jest oczywiste

Dwa najczęstsze podejścia są jednakowo złe. Pierwsze: usunąć konto od razu — dane znikają, a po kilku miesiącach okazuje się, że w skrzynce była jedyna kopia ustaleń z klientem. Drugie: zostawić konto aktywne „na wszelki wypadek” — firma płaci za licencję, a aktywne konto byłego pracownika jest jednym z najczęstszych punktów wejścia przy włamaniach.

Właściwa procedura leży pośrodku i zajmuje kilkanaście minut.

Procedura krok po kroku

1. Zablokuj logowanie

Pierwsza czynność, wykonywana w momencie zakończenia pracy — nie następnego dnia. Blokada logowania w Entra ID uniemożliwia dostęp, ale nie usuwa żadnych danych.

2. Unieważnij aktywne sesje

Sama blokada konta nie kończy sesji już otwartych na urządzeniach. Trzeba je unieważnić osobno — inaczej zalogowana aplikacja na prywatnym telefonie może działać jeszcze przez pewien czas.

3. Zabezpiecz pliki z OneDrive

Przekaż dostęp do zawartości OneDrive przełożonemu albo przenieś istotne pliki do współdzielonej witryny SharePoint. To krok, o którym najczęściej się zapomina — a zawartość OneDrive znika po usunięciu konta.

4. Ustaw automatyczną odpowiedź i przekierowanie

Odpowiedź informująca o zmianie osoby kontaktowej plus przekierowanie przychodzącej poczty do następcy lub przełożonego. Rozwiązuje najbardziej praktyczny problem: klienci przez wiele miesięcy piszą na stary adres.

5. Przekształć skrzynkę w współdzieloną

Kluczowy krok dla kosztów. Skrzynka współdzielona nie wymaga licencji do określonej pojemności, a zachowuje całą historię korespondencji z możliwością dostępu dla wskazanych osób. Konwersję wykonuje się przed zwolnieniem licencji.

6. Zwolnij licencję

Dopiero po konwersji skrzynki i zabezpieczeniu plików. Licencja wraca do puli i może zostać przypisana następcy.

7. Przekaż właścicielstwo zasobów

Sprawdź, czy odchodząca osoba nie była jedynym właścicielem zespołów Teams, witryn SharePoint, grup albo współdzielonych skrzynek. Zespół bez właściciela z czasem staje się problemem administracyjnym.

8. Wyczyść urządzenia

Jeżeli firma korzysta z Intune, usuń dane firmowe z prywatnych urządzeń i zresetuj sprzęt służbowy. Bez zarządzania urządzeniami zostaje kwestia zaufania — powód, dla którego warto rozważyć plan Business Premium.

9. Odbierz dostęp do systemów spoza Microsoft 365

VPN, systemy branżowe, panele hostingowe, konta w usługach zewnętrznych. Jeżeli dostęp do sieci jest powiązany z kontem firmowym — jak przy autoryzacji zintegrowanej — blokada konta załatwia to automatycznie. Bez takiej integracji trzeba przejść listę ręcznie.

Czego procedura nie załatwia

Skrzynka współdzielona i przekazane pliki chronią przed utratą dostępu, ale nie przed skasowaniem danych. Jeżeli pracownik usunął korespondencję przed odejściem, a zauważysz to po kilku miesiącach, wbudowane mechanizmy Microsoft 365 mogą już nie mieć czego przywrócić. Ochronę przed tym scenariuszem daje wyłącznie niezależny backup Microsoft 365.

Kiedy usunąć konto na dobre

Nie ma powodu, żeby się spieszyć. Skrzynka współdzielona nic nie kosztuje, a korespondencja bywa potrzebna długo po odejściu pracownika — przy rozliczeniach, reklamacjach czy sporach. Rozsądna praktyka to przegląd raz do roku i usuwanie tego, co przestało mieć znaczenie, z uwzględnieniem wymogów RODO dotyczących minimalizacji danych.

Warto przygotować to wcześniej

Najlepszy moment na spisanie tej procedury to dzień, w którym nikt nie odchodzi. Lista kontrolna z przypisaną odpowiedzialnością sprawia, że offboarding przestaje zależeć od tego, czy akurat ktoś o czymś pamiętał. Warto ustalić też krok odwrotny — listę czynności przy przyjmowaniu nowego pracownika.

Plany Microsoft 365 dla firm różnią się nie tym, co zawierają, lecz tym, czego w nich brakuje. Poniżej porównanie tego, co realnie odróżnia Business Basic, Standard i Premium — i wskazówka, jak dobrać plany do stanowisk zamiast kupować jeden dla wszystkich.

Co odróżnia poszczególne plany

Element	Business Basic	Business Standard	Business Premium
Poczta Exchange Online	tak	tak	tak
Teams, SharePoint, OneDrive	tak	tak	tak
Aplikacje Office w przeglądarce	tak	tak	tak
Office instalowany na komputerze	nie	tak	tak
Zarządzanie urządzeniami (Intune)	nie	nie	tak
Ochrona urządzeń (Defender for Business)	nie	nie	tak
Dostęp warunkowy	nie	nie	tak
Ochrona informacji i etykiety poufności	nie	nie	tak

Trzy progi decyzyjne

Basic czy Standard — czy potrzebujesz Office na komputerze

To jedyna istotna różnica między tymi planami. Wersje webowe Worda i Excela są dziś w pełni użyteczne do przeglądania i prostej edycji. Zawodzą przy rozbudowanych arkuszach, makrach, dodatkach i pracy bez internetu.

Praktyczna wskazówka: pracownik magazynu, produkcji czy kierowca korzystający głównie z poczty i Teams zwykle nie potrzebuje Standard. Księgowość i osoby pracujące na złożonych arkuszach — potrzebują.

Standard czy Premium — czy chronisz urządzenia

Premium to nie „Standard z dodatkami”, tylko zupełnie inna kategoria pod względem bezpieczeństwa. Dokłada trzy rzeczy, które trudno zastąpić:

• Intune — zarządzanie komputerami i telefonami, wymuszanie szyfrowania dysku, zdalne czyszczenie zgubionego sprzętu.
• Defender for Business — ochrona klasy XDR na stacjach roboczych, z automatyczną izolacją zainfekowanego urządzenia.
• Dostęp warunkowy — logowanie tylko z zaufanych urządzeń i lokalizacji.

Jeżeli w firmie przetwarzane są dane wrażliwe, pracownicy używają laptopów poza biurem albo obowiązują wymagania kontrahentów co do zabezpieczeń — Premium zwykle wychodzi taniej niż kupowanie tych funkcji osobno.

Czy w ogóle potrzebujesz poczty w chmurze

Jeżeli firma ma własny serwer pocztowy i nie planuje tego zmieniać, plan Microsoft 365 Apps daje same aplikacje Office i OneDrive, bez Exchange Online. Wariant niszowy, ale w niektórych sytuacjach sensowny.

Najczęstszy błąd: jeden plan dla wszystkich

Typowa sytuacja w firmie na 30 osób: wszyscy mają Business Standard, bo „tak było prościej”. Tymczasem realny podział wygląda zwykle inaczej:

• kilka osób z dostępem do danych wrażliwych i pracą na laptopach poza biurem — Premium,
• większość pracowników biurowych — Standard,
• osoby korzystające wyłącznie z poczty i komunikatora — Basic.

Takie zróżnicowanie zwykle obniża łączny rachunek, a jednocześnie podnosi poziom bezpieczeństwa tam, gdzie faktycznie ma to znaczenie. Płacenie za Premium dla wszystkich rzadko ma uzasadnienie; płacenie za Standard dla osób pracujących z danymi wrażliwymi to oszczędność pozorna.

O czym warto pamiętać przy liczeniu kosztów

• Skrzynki współdzielone są bezpłatne do określonej pojemności. Adresy typu biuro@ czy kontakt@ nie muszą mieć własnej licencji.
• Konta byłych pracowników. Skrzynkę można przekształcić w współdzieloną i zwolnić licencję, zachowując dostęp do korespondencji.
• Rozliczenie roczne bywa tańsze od miesięcznego, ale wiąże na rok — przy zmiennym zatrudnieniu warto to policzyć.
• Backup nie jest wliczony w żaden plan. Niezależnie od wybranej licencji ochrona danych przed skasowaniem pozostaje po Twojej stronie — wyjaśniamy to w osobnym artykule o backupie Microsoft 365.

Zmiana planu w trakcie

Plany można zmieniać w obie strony. Przejście na wyższy jest bezproblemowe. Przy obniżaniu warto sprawdzić, czy użytkownik nie korzysta z funkcji, które znikną — na przykład zejście ze Standard na Basic oznacza dezaktywację Office zainstalowanego na komputerze.

Jeżeli wiadomości z Twojej firmy trafiają do spamu albo ktoś podszywa się pod Twoją domenę, przyczyna niemal zawsze leży w trzech rekordach DNS: SPF, DKIM i DMARC. Poniżej wyjaśnienie, co robi każdy z nich i w jakiej kolejności je wdrożyć w Microsoft 365.

Co robi każdy z tych rekordów

Rekord	Odpowiada na pytanie	Chroni przed
SPF	Które serwery mogą wysyłać pocztę w imieniu tej domeny?	Wysyłką z serwerów, które nie należą do Ciebie
DKIM	Czy wiadomość nie została zmieniona po drodze i czy pochodzi z tej domeny?	Podszywaniem się i modyfikacją treści w tranzycie
DMARC	Co zrobić z wiadomością, która nie przeszła SPF i DKIM?	Brakiem reakcji na nieudane weryfikacje

Same SPF i DKIM tylko informują serwer odbiorcy o wyniku sprawdzenia. Dopiero DMARC mówi mu, co z tym zrobić — i dopiero on daje realną ochronę przed podszywaniem się pod Twoją domenę.

Krok 1. SPF

SPF to pojedynczy rekord TXT w domenie. Dla domeny wysyłającej wyłącznie przez Microsoft 365 ma zwykle postać:

v=spf1 include:spf.protection.outlook.com -all

Na co zwrócić uwagę:

• Tylko jeden rekord SPF na domenę. Dwa osobne rekordy TXT z v=spf1 to błąd — weryfikacja kończy się niepowodzeniem. Jeśli masz kilka źródeł wysyłki, łączysz je w jednym rekordzie.
• Uwzględnij wszystkie systemy wysyłające w Twoim imieniu: system fakturowy, sklep, narzędzie do newslettera, drukarka wielofunkcyjna skanująca do e-maila, monitoring wysyłający alerty.
• Limit dziesięciu odwołań DNS. Każdy include: to zapytanie. Po przekroczeniu limitu SPF przestaje działać — cicho, bez komunikatu.
• -all czy ~all. Pierwsze oznacza odrzucenie, drugie oznaczenie jako podejrzane. Zacznij od ~all, a przejdź na -all, gdy masz pewność, że lista źródeł jest kompletna.

Krok 2. DKIM

DKIM podpisuje wiadomości kluczem kryptograficznym. W Microsoft 365 wymaga dwóch rekordów CNAME w DNS (selektory selector1 i selector2) oraz włączenia podpisywania dla domeny w centrum bezpieczeństwa.

Częsty błąd: rekordy CNAME zostają dodane, ale nikt nie włącza podpisywania w panelu — albo odwrotnie. Po poprawnej konfiguracji nagłówki odebranej wiadomości powinny zawierać dkim=pass.

Warto od razu skonfigurować oba selektory. Microsoft rotuje klucze, a przy jednym selektorze rotacja przerywa podpisywanie.

Krok 3. DMARC

DMARC to rekord TXT w subdomenie _dmarc. Wdraża się go etapami, bo od razu ustawiona restrykcyjna polityka potrafi zablokować legalną pocztę.

Etap 1 — obserwacja

v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl

Nic nie jest blokowane, ale zaczynasz otrzymywać raporty. Zostaw to na dwa do czterech tygodni i przeanalizuj, co faktycznie wysyła pocztę w imieniu Twojej domeny. Prawie zawsze pojawiają się w tym momencie systemy, o których nikt nie pamiętał.

Etap 2 — kwarantanna

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@twojadomena.pl

Wiadomości niespełniające wymagań trafiają do spamu, początkowo dla części ruchu. Stopniowo zwiększasz pct do 100.

Etap 3 — odrzucanie

v=DMARC1; p=reject; rua=mailto:dmarc@twojadomena.pl

Docelowy stan. Wiadomości podszywające się pod Twoją domenę są odrzucane przez serwery odbiorców, zanim dotrą do skrzynek.

Dlaczego to dziś obowiązkowe

Więksi dostawcy poczty zaostrzyli wymagania wobec nadawców. Brak poprawnie skonfigurowanych SPF, DKIM i DMARC w praktyce oznacza, że część korespondencji nie dotrze do odbiorców korzystających z popularnych usług pocztowych — a Ty się o tym nie dowiesz, bo wiadomość zostanie odrzucona po ich stronie.

Najczęstsze błędy

• Dwa rekordy SPF po dodaniu nowego systemu wysyłkowego obok istniejącego.
• Pominięcie drukarki lub systemu alertów — po zaostrzeniu polityki przestają działać, a nikt nie łączy tego ze zmianą w DNS.
• Przejście od razu na p=reject bez etapu obserwacji. Skutkiem bywa zablokowana korespondencja z systemu fakturowego.
• Adres raportowy, którego nikt nie czyta. Raporty DMARC są jedynym źródłem wiedzy o tym, kto podszywa się pod Twoją domenę.
• Zmiana rekordów bez uwzględnienia czasu propagacji DNS — efekty widać po kilku–kilkunastu godzinach, nie od razu.

Jak sprawdzić, czy działa

Najprostszy test: wyślij wiadomość na własne konto w zewnętrznej usłudze pocztowej i sprawdź jej nagłówki. Powinny zawierać spf=pass, dkim=pass i dmarc=pass. Jeżeli którykolwiek z nich pokazuje fail lub none, konfiguracja jest niekompletna.

To jedno z najczęstszych nieporozumień dotyczących chmury: skoro dane są u Microsoftu, to Microsoft je archiwizuje. Nie archiwizuje — przynajmniej nie w sensie, w jakim rozumie to większość firm. Poniżej wyjaśnienie, co dokładnie chroni Microsoft, co zostaje po Twojej stronie i po jakim czasie dane znikają bezpowrotnie.

Model współdzielonej odpowiedzialności

Microsoft opisuje podział obowiązków wprost, choć zapis ten rzadko trafia do świadomości użytkowników. W uproszczeniu:

Za co odpowiada Microsoft	Za co odpowiadasz Ty
Dostępność usługi i infrastruktury	Zawartość — Twoje dane
Odporność na awarię własnych centrów danych	Konta użytkowników i uprawnienia
Bezpieczeństwo platformy	Konfiguracja zabezpieczeń i polityk
Replikacja danych między centrami danych	Ochrona przed skasowaniem i nadpisaniem

Replikacja, którą stosuje Microsoft, chroni przed awarią sprzętu po ich stronie. Nie chroni przed niczym, co zrobi użytkownik lub ktoś, kto przejmie jego konto — skasowanie replikuje się równie sprawnie jak zapis.

Ile czasu naprawdę masz na odzyskanie danych

Mechanizmy wbudowane w Microsoft 365 działają, ale mają ograniczenia czasowe. Wartości domyślne wyglądają zwykle tak:

• Exchange Online — element usunięty trafia do folderu Elementy usunięte, potem do odzyskiwalnych elementów. Łącznie to zwykle kilkanaście do kilkudziesięciu dni, zależnie od konfiguracji.
• OneDrive i SharePoint — kosz użytkownika, następnie kosz zbioru witryn. W sumie zwykle około 93 dni.
• Skrzynka po usunięciu konta — dane zachowywane są przez ograniczony czas po zwolnieniu licencji, po czym są usuwane trwale.
• Microsoft Teams — rozmowy i pliki żyją w powiązanych skrzynkach i witrynach SharePoint, więc podlegają tym samym ograniczeniom.

Kluczowa konsekwencja: jeżeli ktoś skasuje dane, a zorientujesz się po czterech miesiącach — nie ma czego odzyskiwać. Bardzo częsty scenariusz: pracownik odchodzi, jego konto zostaje wyłączone dla oszczędności, a pół roku później okazuje się, że w jego skrzynce była jedyna kopia istotnej korespondencji.

Cztery scenariusze, przed którymi Microsoft nie chroni

1. Skasowanie przez użytkownika

Najczęstszy i najbardziej banalny. Ktoś czyści skrzynkę, żeby zwolnić miejsce, albo usuwa folder na dysku współdzielonym. Zauważone w ciągu miesiąca — do odzyskania. Zauważone później — nie.

2. Działanie odchodzącego pracownika

Skasowanie korespondencji lub plików przed odejściem. Bywa złośliwe, częściej jest zwykłym „porządkowaniem”. Bez niezależnej kopii nie ma jak tego cofnąć ani nawet ustalić, co zniknęło.

3. Ransomware po przejęciu konta

Napastnik, który zdobył hasło, ma te same uprawnienia co użytkownik. Może masowo kasować i nadpisywać pliki synchronizowane z OneDrive — a zmiany propagują się do chmury. Wersjonowanie SharePoint pomaga, ale przy dużej liczbie plików odtwarzanie wersja po wersji bywa nierealne.

4. Błąd konfiguracji

Źle ustawiona polityka retencji lub przypadkowe usunięcie witryny SharePoint potrafi skasować dane szybciej i szerzej niż jakikolwiek atak.

Czym backup różni się od retencji i archiwum

To trzy różne rzeczy, często mylone:

• Retencja zatrzymuje dane przed trwałym usunięciem przez określony czas. Chroni przed skasowaniem, ale nie daje wygodnego odtwarzania i sama podlega konfiguracji, którą można zmienić.
• Archiwum przenosi starsze wiadomości do dodatkowej skrzynki. To rozwiązanie problemu miejsca, nie problemu utraty danych.
• Backup to niezależna kopia poza dzierżawą, z własną retencją i możliwością odtworzenia wybranego elementu z wybranego dnia — również wtedy, gdy ktoś ma pełne uprawnienia administratora w Twoim Microsoft 365.

Ostatni punkt jest istotny: kopia przechowywana w tej samej dzierżawie, którą napastnik właśnie przejął, nie jest zabezpieczeniem.

Co obejmuje sensowny backup Microsoft 365

• Exchange Online — skrzynki użytkowników i współdzielone, kalendarze, kontakty, foldery publiczne.
• OneDrive dla Firm — pliki wszystkich użytkowników, także tych z zawieszonymi kontami.
• SharePoint Online — witryny, biblioteki dokumentów, listy i metadane.
• Microsoft Teams — zespoły, kanały, pliki i rozmowy.

Warto zwrócić uwagę na możliwość odtworzenia pojedynczego elementu — jednej wiadomości, jednego pliku — bez przywracania całej skrzynki. To parametr, który decyduje o tym, czy backup będzie realnie używany, czy tylko formalnie istniał.

Od czego zacząć

1. Sprawdź, jaka retencja obowiązuje w Twojej dzierżawie. Wartości domyślne bywają zmienione i rzadko ktoś o tym pamięta.
2. Ustal procedurę offboardingu. Co dzieje się ze skrzynką i plikami odchodzącego pracownika i kto to wykonuje.
3. Włącz uwierzytelnianie wieloskładnikowe. Większość scenariuszy utraty danych zaczyna się od przejętego hasła.
4. Wdróż niezależny backup z retencją odpowiadającą realnym potrzebom, nie domyślnym ustawieniom producenta.
5. Przetestuj odtworzenie. Kopia, której nigdy nie odtworzono, jest wyłącznie założeniem.