آیا ممکن است یک کلیک اشتباه، اطلاعات محرمانه سازمان شما را در اختیار فردی نامرتبط قرار دهد؟
مایکروسافت شیرپوینت فضای متمرکزی برای ذخیره، مدیریت و اشتراکگذاری اسناد سازمانی ایجاد میکند. با اینحال، امنیت این بستر فقط به امکانات فنی وابسته نیست و نحوه تعریف دسترسیها نیز اهمیت دارد.
شناخت خطاهای رایج کمک میکند پیش از نشت اطلاعات یا دسترسی غیرمجاز، ساختار امنیتی شیرپوینت اصلاح شود.
چرا مدیریت دسترسی در شیرپوینت اهمیت دارد؟
مایکروسافت شیرپوینت معمولا محل نگهداری قراردادها، گزارشهای مالی، اطلاعات کارکنان و مستندات مهم پروژهها است. اگر دسترسیها بدون منطق مشخص تعریف شوند، افراد ممکن است اطلاعات نامرتبط با مسئولیت خود را مشاهده یا ویرایش کنند. سطح دسترسی هر کاربر باید بر اساس نقش شغلی، واحد سازمانی و حساسیت اطلاعات تعیین شود. این ساختار احتمال خطا را کاهش میدهد و پیگیری مسئولیت کاربران را نیز سادهتر میکند.
۱. اعطای دسترسی بیشتر از نیاز واقعی کاربران
یکی از خطاهای رایج، دادن دسترسی کامل به کاربرانی است که فقط باید اسناد را مشاهده کنند. در این شرایط، احتمال ویرایش اشتباه، حذف فایل یا اشتراکگذاری ناخواسته اطلاعات افزایش پیدا میکند. برای هر نقش باید مشخص شود کاربر به کدام سایت، کتابخانه، پوشه یا سند نیاز دارد. مجوزها باید مطابق اصل حداقل دسترسی تعریف و دسترسیهای اضافه در بازبینیهای دورهای حذف شوند.
۲. استفاده بیش از حد از دسترسی مستقیم به افراد
دادن مجوز مستقیم به افراد در ابتدا ساده است، اما با افزایش کاربران به ساختاری پیچیده تبدیل میشود.
پس از مدتی، تشخیص اینکه هر فرد از چه مسیری به یک سند دسترسی دارد دشوار خواهد بود. بهتر است کاربران بر اساس نقش یا واحد کاری در گروههای مشخص قرار بگیرند. مایکروسافت نیز استفاده از گروههای شیرپوینت را برای مدیریت سادهتر مجوزها توصیه میکند.
۳. مشخص نکردن نقشها و گروههای کاربری
اگر نقشهای سازمانی مشخص نباشند، دسترسیها معمولا به شکل موردی و بر اساس درخواستهای پراکنده ساخته میشوند. در نتیجه، کاربران دارای مسئولیت مشابه ممکن است مجوزهای متفاوت و حتی متناقض داشته باشند. گروههایی مانند مدیران، کارشناسان، پیمانکاران، مهمانان و مشاهدهکنندگان باید مجوزهای روشن داشته باشند. تغییر سمت کاربر نیز باید با انتقال او به گروه مناسب همراه باشد، نه افزودن مجوزهای جدید.
۴. شکستن زنجیره دسترسیها بدون برنامهریزی
شیرپوینت مجوزها را از سایت به کتابخانه، پوشه و فایل منتقل میکند تا مدیریت دسترسی ساده بماند.
شکستن زنجیره انتقال دسترسی برای تعداد زیادی پوشه یا سند، دامنههای مجوز متعدد و مبهم ایجاد میکند. این وضعیت علاوه بر دشوار کردن مدیریت، میتواند روی عملکرد محیطهای بزرگ نیز اثر بگذارد. دسترسی اختصاصی باید فقط در موارد ضروری ایجاد و دلیل و مالک آن ثبت شود.
۵. عمومی کردن ناخواسته سایتها، پوشهها و فایلها
گاهی یک سایت برای همکاری سریع ساخته میشود، اما محدوده اشتراکگذاری آن بهدرستی تنظیم نمیشود.
در نتیجه، فایلهای یک تیم ممکن است برای تمام کارکنان یا افراد خارج از سازمان نمایش داده شوند. پیش از انتشار سایت باید مخاطبان، حساسیت محتوا و محدوده مجاز اشتراکگذاری مشخص شود. تنظیمات سازمانی نیز باید سقف اشتراکگذاری را تعیین کند و سایتهای حساس محدودتر باشند.
۶. بیتوجهی به دسترسی کاربران خارج از سازمان
همکاری با پیمانکاران و مشاوران ممکن است به دسترسی مهمان در بخشی از شیرپوینت نیاز داشته باشد. اشتباه زمانی رخ میدهد که این مجوز بدون تاریخ پایان، مالک مشخص یا محدودیت محتوایی ایجاد شود. کاربر مهمان باید فقط به اسناد ضروری دسترسی داشته باشد و پس از پایان همکاری حذف شود. اشتراکگذاری خارجی را همچنین میتوان به دامنههای تأییدشده محدود کرد.
۷. استفاده از لینکهای اشتراکگذاری بدون محدودیت
لینکهای «هر فرد دارای لینک» کنترل سازمان بر هویت مشاهدهکنندگان را کاهش میدهند. اگر لینک در پیامرسان یا ایمیل شخصی بازنشر شود، افراد بیشتری میتوانند فایل را مشاهده کنند. برای اسناد داخلی باید از لینک مخصوص افراد مشخص استفاده و ویرایش فقط در صورت نیاز فعال شود. تاریخ انقضا، محدودیت دانلود و بازبینی لینکهای فعال نیز احتمال دسترسی ناخواسته را کمتر میکند.
۸. بررسی نکردن دورهای سطح دسترسی کارکنان
مجوز کاربران نباید پس از تعریف اولیه، بدون بازبینی برای همیشه باقی بماند. تغییر مسئولیت، انتقال واحد یا پایان پروژه میتواند بسیاری از دسترسیهای قبلی را غیرضروری کند. بازبینی دورهای باید کاربران سایتهای حساس، لینکهای فعال و مجوزهای بلااستفاده را مشخص کند. مالک هر سایت باید اعضا را تأیید کند و تیم فناوری اطلاعات نتیجه را ثبت و کنترل کند.
۹. حذف نکردن دسترسی کارکنان سابق یا جابهجاشده
ترک سازمان یا تغییر سمت کارمند باید بلافاصله در دسترسیهای شیرپوینت منعکس شود. تأخیر در حذف حساب ممکن است دسترسی فرد به قراردادها، اطلاعات مالی یا فایلهای پروژه را حفظ کند. فرایند خروج باید میان منابع انسانی و فناوری اطلاعات هماهنگ و شامل انتقال مالکیت فایلها باشد. در جابهجایی داخلی نیز مجوزهای نقش قبلی باید حذف و دسترسی جدید از طریق گروه تعریف شود.
۱۰. نادیده گرفتن احراز هویت چندمرحلهای
رمز عبور بهتنهایی در برابر فیشینگ، سرقت اطلاعات ورود یا رمزهای تکراری حفاظت کافی ایجاد نمیکند.
احراز هویت چندمرحلهای ورود را به عامل دیگری مانند برنامه تأیید هویت وابسته میکند .این کنترل برای مدیران، مالکان سایتها و افرادی که بیرون از سازمان وارد میشوند اهمیت بیشتری دارد. فعالسازی آن باید همراه با کنترل دستگاهها، سیاست رمز عبور و بررسی ورودهای مشکوک باشد.
۱۱. نگهداری اطلاعات حساس بدون طبقهبندی مشخص
وقتی اسناد مالی، حقوقی و عمومی بدون طبقهبندی نگهداری شوند، حساسیت واقعی هر فایل مشخص نخواهد بود. در نتیجه، یک سند محرمانه ممکن است مانند فایلهای عادی دانلود یا به اشتراک گذاشته شود.
برچسبهای حساسیت Microsoft Purview میتوانند برای طبقهبندی و حفاظت از فایلها و سایتها استفاده شوند. سازمان باید سطوحی مانند عمومی، داخلی و محرمانه را تعریف و برای هرکدام سیاست مشخصی تعیین کند.
۱۲. ثبت نکردن فعالیت کاربران و تغییرات دسترسی
بدون ثبت رویدادها، یافتن علت حذف فایل، تغییر مجوز یا اشتراکگذاری خارجی دشوار خواهد بود.
لاگ ممیزی Microsoft 365 فعالیتهایی مانند حذف، دانلود، تغییر تنظیمات و اشتراکگذاری را ثبت میکند. صرف ثبت رویداد کافی نیست و گزارشها باید بهصورت منظم بررسی شوند. تعریف هشدار برای رفتارهای غیرعادی به تیم امنیت کمک میکند پیش از گسترش مشکل واکنش نشان دهد.
۱۳. آموزش ندادن کاربران درباره امنیت اطلاعات
بسیاری از خطاهای امنیتی از تصمیم نادرست کاربران هنگام اشتراکگذاری یا مدیریت فایلها ایجاد میشوند.
کاربری که تفاوت لینک عمومی، دسترسی مهمان و مجوز ویرایش را نداند، ممکن است اطلاعات حساس را منتشر کند. آموزش باید کوتاه، کاربردی، متناسب با نقش افراد و همراه با نمونههای واقعی باشد. تکرار آموزش و مشخص کردن مسیر گزارش خطا، کاربران را به بخشی از فرایند حفاظت تبدیل میکند.
۱۴. نداشتن سیاست مشخص برای مدیریت و اشتراکگذاری اطلاعات
بدون سیاست مکتوب، هر واحد روش متفاوتی برای ساخت سایت، تعیین مالک و اشتراکگذاری فایلها انتخاب میکند. این پراکندگی باعث ایجاد سایتهای بدون مالک، نسخههای تکراری و دسترسیهای نامشخص میشود.
سیاست حاکمیت شیرپوینت باید مسئولیتها، قواعد اشتراکگذاری، دوره نگهداری و زمان بازبینی مجوزها را تعیین کند. این سیاست باید با تغییرات سازمانی، الزامات امنیتی و ساختار جدید سامانه بازنگری شود.
چگونه با مدیریت اصولی شیرپوینت، امنیت اطلاعات سازمان را افزایش دهیم؟
امنیت شیرپوینت با نصب سامانه یا ساخت چند گروه کاربری کامل نمیشود و به کنترل مستمر نیاز دارد.
رعایت حداقل دسترسی، محدود کردن اشتراکگذاری خارجی، طبقهبندی اسناد و بررسی لاگها بسیاری از خطاها را متوقف میکند. این تصمیمها باید از مرحله ارزیابی دادهها و طراحی ساختار مقصد در نظر گرفته شوند؛ زیرا اصلاح مجوزهای نامنظم پس از انتقال دشوارتر است. برای جلوگیری از این اتفاقات و اجرای اصولی فرایند انتقال، برای مهاجرت به شیرپوینت به راتوس مراجعه کنید.
