Microsoft 365 boleh menyokong kerja yang produktif dan selamat, tetapi langganan semata-mata bukanlah program keselamatan. Banyak PKS di Malaysia mengaktifkannya, mencipta peti mel dan terus menggunakannya, sambil membiarkan tetapan asal, kata laluan yang dikongsi dan akaun lama selama bertahun-tahun.

Senarai semak ini merangkumi kawalan yang paling penting untuk organisasi kecil dan sederhana. Ia ditulis untuk pemilik perniagaan dan pengurus pejabat, bukan hanya kakitangan IT, dan kebanyakan perkara boleh disiapkan dalam beberapa hari bekerja.

Nama ciri dan keperluan lesen berubah dari semasa ke semasa. Pastikan kawalan mana yang termasuk dalam pelan anda (contohnya Business Basic, Business Standard atau Business Premium) sebelum bermula.

1. Aktifkan pengesahan pelbagai faktor untuk semua

Kata laluan yang dicuri masih merupakan cara paling biasa untuk menceroboh akaun Microsoft 365. Pengesahan pelbagai faktor (MFA) menyekat kebanyakan cubaan ini.

  • Aktifkan MFA untuk setiap pengguna, bukan pengurusan sahaja.
  • Gunakan aplikasi Microsoft Authenticator berbanding kod SMS.
  • Jika anda tiada Conditional Access, gunakan security defaults Microsoft yang mengaktifkan MFA dan menyekat kaedah log masuk lama dalam satu tetapan.
  • Jika pelan anda termasuk Conditional Access, cipta polisi yang mewajibkan MFA dan menyekat lokasi yang berisiko atau tidak dikenali.

2. Asingkan dan hadkan akaun pentadbir

  • Hadkan bilangan Global Administrator. Microsoft mengesyorkan kurang daripada lima.
  • Berikan pentadbir akaun pentadbir berasingan yang tidak digunakan untuk e-mel atau pelayaran harian.
  • Berikan peranan yang lebih terhad (contohnya User Administrator atau Exchange Administrator) jika tugas tidak memerlukan kawalan penuh.
  • Cipta dua akaun akses kecemasan ("break-glass"), lindungi dengan kelayakan yang kukuh, simpan butirannya dengan selamat dan pantau penggunaannya.

3. Sekat pengesahan lama (legacy authentication)

Protokol lama seperti pengesahan asas untuk POP, IMAP dan SMTP tidak boleh menguatkuasakan MFA. Nyahaktifkan protokol ini kecuali ada peranti atau aplikasi tertentu yang masih memerlukannya. Security defaults atau polisi Conditional Access boleh menyekat log masuk ini.

4. Lindungi domain e-mel anda

E-mel ialah pintu masuk utama untuk pancingan data (phishing) dan penipuan invois.

  • Terbitkan rekod SPF, aktifkan tandatangan DKIM dan tambah rekod DMARC untuk domain anda. Mulakan DMARC dalam mod pemantauan, kemudian ketatkan.
  • Aktifkan perlindungan anti-phishing dan anti-malware yang tersedia dalam pelan anda.
  • Tambah label yang jelas pada e-mel dari luar organisasi.
  • Tetapkan peraturan bahawa sebarang perubahan butiran bank mesti disahkan melalui telefon menggunakan nombor yang diketahui.

5. Semak perkongsian luar

Perkongsian OneDrive, SharePoint dan Teams perlu sepadan dengan cara anda bekerjasama.

  • Elakkan "Anyone with the link" sebagai tetapan asal. Gunakan "Specific people" atau "People in your organisation".
  • Tetapkan tarikh luput untuk pautan yang dikongsi di luar organisasi.
  • Tentukan siapa yang boleh menambah tetamu ke Teams, dan semak akses tetamu secara berkala.

6. Urus peranti yang mengakses data syarikat

Telefon dan komputer riba dibawa keluar dari pejabat. Jika pelan anda termasuk pengurusan peranti (contohnya Microsoft Intune dalam Business Premium), wajibkan PIN, penyulitan dan sistem operasi terkini sebelum peranti boleh membuka e-mel dan fail syarikat. Sekurang-kurangnya, pastikan anda boleh membuang data syarikat daripada peranti yang hilang atau milik kakitangan yang telah berhenti.

7. Tetapkan pemilikan akaun dan proses kakitangan berhenti

  • Setiap peti mel, peti mel kongsi dan akaun perkhidmatan perlu mempunyai pemilik yang dinamakan.
  • Gunakan senarai semak ringkas untuk kakitangan baharu, bertukar dan berhenti: cipta akaun dengan akses yang betul, ubah apabila peranan berubah dan nyahaktifkan pada hari terakhir.
  • Tukar peti mel kakitangan yang berhenti kepada peti mel kongsi atau tetapkan pemajuan, dan jangan kongsi kata laluan mereka.

8. Simpan log audit dan semak amaran

Pastikan log audit diaktifkan supaya anda boleh menyiasat log masuk yang mencurigakan, perubahan peraturan peti mel dan aktiviti fail. Semak amaran keselamatan yang dihantar oleh Microsoft, dan gunakan Microsoft Secure Score untuk cadangan mengikut keutamaan.

9. Rancang sandaran dan pemulihan

Microsoft memastikan perkhidmatan berjalan, tetapi pemulihan daripada pemadaman tidak sengaja, kakitangan yang berhenti atau ransomware ialah tanggungjawab anda.

  • Fahami tetapan pengekalan (retention) dan tempoh tong kitar semula.
  • Pertimbangkan perkhidmatan sandaran khusus Microsoft 365 untuk peti mel, OneDrive dan SharePoint.
  • Dokumenkan siapa yang boleh memulihkan akaun dan bagaimana organisasi akan terus beroperasi jika pentadbir utama tidak dapat dihubungi.

10. Latih manusia, bukan tetapan sahaja

Peringatan ringkas yang kerap lebih berkesan daripada satu taklimat tahunan. Tunjukkan kepada kakitangan rupa e-mel phishing yang sebenar, cara melaporkannya dan mengapa mereka tidak boleh meluluskan permintaan MFA yang bukan dimulakan oleh mereka.

Kaitan dengan PDPA

Jika persekitaran Microsoft 365 anda menyimpan data peribadi pelanggan, ahli atau kakitangan, kawalan ini menyokong tanggungjawab anda di bawah Akta Perlindungan Data Peribadi 2010 (PDPA), terutamanya prinsip keselamatan.

Akta Perlindungan Data Peribadi (Pindaan) 2024 berkuat kuasa secara berperingkat sepanjang 2025 dan mengetatkan beberapa keperluan. Antara perubahan utama:

  • Pemberitahuan pelanggaran data: pengawal data mesti memaklumkan Pesuruhjaya Perlindungan Data Peribadi tentang pelanggaran data peribadi dalam tempoh 72 jam, dan memaklumkan individu yang terjejas tanpa kelewatan yang tidak wajar (dalam tempoh tujuh hari) jika pelanggaran itu mungkin menyebabkan kemudaratan yang ketara.
  • Pegawai perlindungan data: pengawal dan pemproses data tertentu mesti melantik pegawai perlindungan data.
  • Pemproses data: pemproses kini tertakluk secara langsung kepada prinsip keselamatan.
  • Penalti lebih tinggi: penalti maksimum bagi pelanggaran prinsip perlindungan data dinaikkan kepada RM1,000,000, penjara sehingga tiga tahun, atau kedua-duanya.

Log yang baik, akses yang terkawal dan pelan pemulihan yang telah diuji menjadikan lebih mudah untuk mengesan pelanggaran, memahami skopnya dan melaporkannya tepat pada masanya.

Bahagian ini ialah maklumat umum, bukan nasihat undang-undang. Rujuk garis panduan Pesuruhjaya Perlindungan Data Peribadi (JPDP) atau penasihat undang-undang untuk tanggungjawab khusus organisasi anda.

Rutin semakan setiap suku tahun

Keselamatan bukan projek sekali sahaja. Setiap tiga bulan:

  1. Semak peranan pentadbir dan buang sesiapa yang tidak lagi memerlukannya.
  2. Nyahaktifkan akaun kakitangan yang telah berhenti.
  3. Semak Secure Score dan selesaikan cadangan yang paling penting.
  4. Semak perkongsian luar dan pengguna tetamu.
  5. Uji bahawa anda boleh memulihkan fail dan peti mel yang dipadam.

Langkah seterusnya

Jika anda tidak pasti sejauh mana tetapan Microsoft 365 semasa anda menepati senarai semak ini, semakan ringkas boleh mengenal pasti kelemahan dan susunan untuk membaikinya. Mohon semakan Microsoft 365 dan saya akan hantar senarai tindakan yang praktikal.