Checklist de segurança do Microsoft 365 para pequenas empresas

Login

• MFA em todas as contas. Sem licenças Entra ID P1, os Padrões de Segurança (Security Defaults) são o jeito mais simples de ativar. Com Microsoft 365 Business Premium ou Entra ID P1, use políticas de Acesso Condicional (os dois não podem ficar ligados ao mesmo tempo).
• Bloqueie a autenticação legada (POP, IMAP, SMTP AUTH, clientes Office muito antigos). Esses protocolos não fazem MFA, então uma senha vazada basta. Os Padrões de Segurança já bloqueiam; com Acesso Condicional é uma política.
• Prefira o app autenticador ou passkeys a códigos por SMS, que podem ser interceptados ou desviados.
• Redefinição de senha self-service, para cada pessoa trocar a própria senha com MFA em vez de pedir por e-mail ou telefone.

Contas de administrador

• Poucos Administradores Globais. A Microsoft recomenda menos de cinco. No dia a dia, use as funções específicas (administrador de usuários, do Exchange, de suporte).
• Contas de administrador separadas, e não a conta que a pessoa usa para ler e-mail e navegar.
• Duas contas de emergência (“break-glass”): só na nuvem, protegidas com MFA resistente a phishing, como uma chave FIDO2, fora das políticas de Acesso Condicional que poderiam trancar todo mundo, e com alerta quando forem usadas.

E-mail

• SPF, DKIM e DMARC em todo domínio que envia e-mail. Comece o DMARC em p=none para ler os relatórios e depois passe para quarantine ou reject.
• Bloqueie o encaminhamento automático para fora (na política de spam de saída). Quem invade uma caixa costuma criar uma regra de encaminhamento para continuar lendo.
• Use as políticas de segurança predefinidas do Microsoft Defender (Padrão ou Estrita). Com o Defender para Office 365 (o Business Premium inclui o Plano 1), elas também ligam os Links Seguros e Anexos Seguros.

Apps e compartilhamento

• Impeça que usuários autorizem apps por conta própria e ative o fluxo de consentimento do administrador. Um app falso de “entrar com a Microsoft” consegue acesso a e-mails e arquivos sem nunca saber a senha.
• Revise o compartilhamento externo no SharePoint e no OneDrive: links para pessoas específicas em vez de “Qualquer pessoa”, e data de expiração para links de convidados.
• Revise as contas de convidados de tempos em tempos e remova as que ninguém mais usa.

Dispositivos

• Exija dispositivos em conformidade se você tem Intune: disco criptografado, atualizações e bloqueio de tela antes de acessar dados da empresa.
• Deixe os dispositivos pessoais no navegador ou em apps gerenciados, para que arquivos da empresa não fiquem gravados em celulares e notebooks que você não gerencia.

Visibilidade

• Confira se o log de auditoria está ligado (Microsoft Purview → Auditoria). Sem ele, não há o que investigar depois de um incidente.
• Garanta que uma pessoa recebe os alertas do Microsoft Defender, e não uma caixa que ninguém lê.
• Leia o Microsoft Secure Score como lista de tarefas, não como meta: cada ação diz o que muda para os usuários. Aplique uma por vez e avise as pessoas antes.

Não esqueça o backup

O Microsoft 365 guarda itens excluídos só por períodos de retenção limitados. Isso não é backup: uma exclusão, um ransomware sincronizado ou a saída de um funcionário podem durar mais que a retenção. Veja o checklist de backup e recuperação.