Microsoft 365 security baseline
Security baseline Microsoft 365 для Казахстана: Entra ID, MFA, Defender, Secure Score, Purview DLP, Sentinel и чеклист для регулируемых отраслей.
Tugelbay Konabayev, Marketing Specialist · 9 июня 2026 г.
Эти блоки отвечают на практические вопросы без скрытого текста и без неподтвержденных обещаний по срокам, стоимости или результату.
Microsoft 365 security baseline - это минимальный управляемый слой защиты tenant: Entra ID, MFA, admin roles, Conditional Access или security defaults, email protection, endpoint signals, data access, Purview/DLP, Secure Score review, logging, support ownership and documented exceptions. Это не сертификат и не юридический вывод.
Начните с tenant inventory: администраторы, пользователи, группы, guest users, текущие лицензии, MFA status, legacy authentication, email policies, SharePoint/OneDrive sharing, devices, Secure Score recommendations, sensitive data owners and planned Copilot/Azure/tender requirements. Без inventory baseline превращается в список случайных настроек.
Для regulated or risk-sensitive organizations важны identity compromise, phishing, privileged admin misuse, unmanaged devices, oversharing in SharePoint/OneDrive/Teams, weak guest access, missing DLP strategy, unclear logs, no incident owner and security claims in tenders that cannot be evidenced.
MFA - важный control, но identity baseline шире. Он включает admin role review, least privilege, emergency access accounts, legacy authentication blocking, Conditional Access or security defaults, guest/partner access, sign-in logs, service accounts, user communication and support readiness.
Defender XDR подходит как security operations layer внутри Microsoft ecosystem: endpoint, email, identities, apps and alerts. Microsoft Sentinel нужен, когда компании требуется SIEM/SOAR route: сбор сигналов из cloud, on-premises and multiple platforms, correlation, hunting, automation and SOC operating model.
Перед Copilot проверьте identity baseline, privileged roles, guest access, SharePoint/OneDrive permissions, sensitive data locations, Purview labels/DLP strategy, oversharing risks, Secure Score actions, user groups, pilot scope and incident/support ownership. Copilot может сделать старые access problems заметнее.
Подготовьте tenant admin list, licensing snapshot, user groups, MFA/Conditional Access state, security defaults status, Secure Score export, Defender/email policy state, device landscape, DLP/Purview status, guest users, critical data locations, logs, current incidents, planned Copilot/Azure/tender deadlines and business owners.
Security baseline должен стать входом в governance: кто администрирует tenant, какие policies enforced, какие exceptions approved, какие data/workloads critical, какие logs monitored, как меняются лицензии, как готовятся Azure landing zone, Copilot pilot, Dynamics 365 access and tender security annex.
Microsoft 365 security baseline для регулируемых или рискованных компаний в Казахстане — это не одна функция и не “включить Defender”. Это управляемый минимум защиты вокруг Microsoft tenant:
В регулируемом контексте baseline нужен по двум причинам.
Первая — практическая безопасность: снизить риск компрометации пароля, фишинга, излишнего доступа, неуправляемых устройств, неправильного использования привилегированных ролей и утечки конфиденциальных данных.
Вторая — управление и согласование: когда руководство, владелец безопасности, внутренний аудит, комитет по закупкам или внешний клиент спрашивают, что проверено и какие контроли на месте — у компании должен быть пакет доказательств, а не устные заверения.
Этот гайд не является юридической консультацией, отраслевым заключением о соответствии, пентестом, проектированием SOC или официальной оценкой Microsoft. Он также не подтверждает, что компания соответствует требованиям банка, госзаказчика, медицинского заказчика, регулятора, контракта или закона Казахстана о персональных данных. Его задача — дать практический чеклист security baseline Microsoft 365, который можно использовать перед Copilot, Azure, тендером/RFP Microsoft, проектом Dynamics 365, security-анкетой внешнего клиента или внутренним отчетом для руководства.
Главная ошибка: покупать продвинутые лицензии защиты и инструменты, не понимая состояния tenant. Secure Score, Defender XDR, Sentinel и Purview полезны только с владельцами, планом внедрения и рабочим процессом. Без этого security stack становится набором панелей управления, которые никто не смотрит.
Microsoft 365 security baseline — это согласованный стартовый набор контролей и доказательств для Microsoft tenant. Он должен быть разным для разных компаний. Малый бизнес, финансовая организация, медицинский провайдер, дистрибьютор с полевыми сотрудниками, государственная организация или региональная группа — у всех разные риски и обязательства. Но есть общая точка старта: кто входит, как защищён вход, как защищена почта, где конфиденциальные данные, какие устройства используются, что записывается в логи, кто реагирует на инциденты и какие исключения одобрены.
В Microsoft Zero Trust guidance baseline thinking строится вокруг принципов verify explicitly, least privilege access and assume breach. Это не отдельный продукт, а security model: проверять каждую попытку доступа, ограничивать привилегии and minimize blast radius if something goes wrong. Microsoft 365 Zero Trust deployment plan связывает identity, devices, data, apps, network and infrastructure с policies and monitoring. Для regulated buyer это полезная рамка, потому что она переводит разговор из “у нас включена безопасность” в “какие domains of control covered”.
На практике baseline включает несколько слоев:
Этот гайд собирает baseline package. Deep MFA и Conditional Access rollout описан в гайде Entra ID/MFA. Copilot oversharing detail описан в гайде Copilot readiness. Azure migration и data-residency decision logic описаны в гайде Azure migration. Эта страница соединяет эти маршруты в security review для regulated-buyer.
В Казахстане regulated or risk-sensitive context can mean different things: public procurement, finance, insurance, healthcare, education, industrial companies, personal-data-heavy services, large B2B suppliers, regional groups or any company that must answer customer security questionnaires. These contexts are not interchangeable. A Microsoft 365 baseline can support the security conversation, but it does not replace sector law, internal policy, contract review or regulator guidance.
Adilet публикует Закон Республики Казахстан “О персональных данных и их защите”. Публичный текст включает темы, такие как сбор и обработка, хранение, конфиденциальность, трансграничная передача и защита персональных данных. Этот гайд не интерпретирует эти статьи и не консультирует, что конкретная организация должна делать с правовой точки зрения. Это только рассматривает obligations по персональным данным как причину избегать vague security claims и привлекать legal/compliance owners перед production commitments.
Safe language for regulated industries:
Небезопасный язык:
Полезный output — не обещание. Это evidence package, который могут проверить legal, security, procurement и business owners.
Identity — первый слой, потому что большинство решений по Microsoft 365 security зависит от того, кто входит, какую роль имеет и какие условия применяются. Для regulated или risk-sensitive организаций “MFA включена” недостаточно. MFA — это control. Identity baseline — это операционная модель вокруг аккаунтов, privileges, authentication, exceptions и recovery.
Microsoft security defaults защищают от атак идентичности: перебора пароля, повтора атак и фишинга. По данным Microsoft, двухфакторная аутентификация блокирует более 99,9% атак с компрометацией учётных записей, включая атаки перебором пароля, повторные атаки и фишинг (когда используется блокировка старых способов входа). Security defaults включают: регистрацию двухфакторной аутентификации, обязательную MFA для администраторов, блокировку старых методов входа и защиту привилегированных действий (доступ в Azure).
Эта статистика важна, но не переоценивайте её. Она показывает ценность MFA и блокировки старых методов входа. Но это не значит, что tenant с включённой MFA полностью защищён, соответствует требованиям или готов к Copilot и Azure.
Identity baseline checklist:
Для компаний со сложными требованиями стандартные параметры безопасности могут быть слишком общими. Conditional Access позволяет настроить политики по пользователям, группам, приложениям, устройствам, местоположениям или риску, но это сложнее. Детальный rollout — тема отдельного гайда. Здесь вопрос проще: знаем ли мы состояние идентичности достаточно хорошо, чтобы говорить о безопасности?
Почта — первое место, где даёт сбой бизнес-безопасность. Фишинг, вредоносные вложения, подделка отправителя, компрометация аккаунтов и излишний общий доступ — это не теория. Это реальные риски для закупок, финансов, секретариев, продаж, HR, ИТ-администраторов и полевых команд.
Microsoft Defender for Office 365 preset security policies позволяют применить рекомендуемые параметры защиты почты. Microsoft описывает Standard (стандартный) и Strict (строгий) наборы, а также Built-in (встроенную) защиту для пользователей, не охваченных другими политиками. При работе с политиками важно соблюдать принцип наименьших привилегий: не все администраторы должны менять параметры почты.
Для baseline review не начинайте с настройки каждой threat policy. Начните с ответов на:
Collaboration baseline одинаково важна. SharePoint, OneDrive и Teams могут содержать контракты, customer data, procurement files, HR documents, price lists, project documents и board materials. Regulated buyer не только заботится о том, существуют ли файлы в Microsoft 365. Они заботятся о том, кто может получить доступ, кто может их поделиться, контролируются ли guests и известны ли sensitive locations.
Baseline evidence должен включать:
Устройства — это точка, где идентичность встречается с реальностью. Если пользователи получают доступ к Microsoft 365 с неуправляемых ноутбуков, общих компьютеров, домашних машин или старых мобильных телефонов — контроли идентичности могут быть недостаточными. Для регулируемых компаний состояние устройств часто решает: политика реально работает или это только желание?
Microsoft Zero Trust (нулевое доверие) соединяет защиту идентичности и устройств, затем добавляет управление устройствами и защиту от угроз. Microsoft Defender XDR собирает и анализирует сигналы угроз от конечных устройств, почты, приложений и идентичности.
Baseline device questions:
Гайд не требует немедленно разворачивать полный SOC или продвинутую защиту устройств. Но допущения о состоянии устройств должны быть видны. Письмо в тендере “доступ защищён” без знания состояния устройств — слабо. Проект Copilot или Azure с неуправляемыми компьютерами администраторов создаёт риск, который легко избежать.
Для многих казахстанских организаций первый device baseline - практический:
Данные — слой, который регулируемые покупатели волнует больше всего, но часто он наименее понятен. Компании говорят о безопасности Microsoft 365 и забывают спросить: где хранятся конфиденциальные данные? В SharePoint, OneDrive, Teams, Exchange, Power BI, Dynamics 365, Excel-файлах, локальных папках, на устройствах или в других облачных приложениях?
Microsoft Purview DLP помогает определять и применять политики для защиты конфиденциальной информации. DLP может работать с финансовыми данными, коммерческой тайной, номерами карт, медицинскими записями и идентификаторами. Purview DLP может защищать Exchange, SharePoint, OneDrive, Teams, устройства, локальные папки, другие облачные приложения и Power BI. Но перед DLP нужно плани рование: владельцы данных, категории конфиденциальности, цели и стратегия.
DLP не должен быть просто галочкой. Baseline DLP спрашивает:
Для готовности Copilot это особенно важно. Copilot не создаёт новую модель прав доступа. Он работает с тем, что уже есть в tenant. Если в SharePoint и OneDrive слишком широкий доступ, конфиденциальные файлы не отмечены, у гостей старые права — Copilot разговор становится разговором об управлении данными.
Baseline по данным должен быть скромным и честным:
Microsoft Secure Score измеряет уровень защиты. Более высокий score означает, что выполнено больше рекомендуемых действий. Secure Score показывает состояние идентичности, приложений и устройств, помогает улучшать защиту и сравнивает с ориентирами. Но не все рекомендации подходят для каждой среды.
Для регулируемых покупателей Secure Score полезен: он создаёт структурированный список работ. Он показывает, что tenant проверен, какие рекомендации рассмотрены, какие действия выполнены, какие риски приняты и что требует одобрения. Это лучше, чем просто сказать “безопасность настроена”.
Но правильно используйте Secure Score:
Baseline Secure Score package:
| Evidence | Why it matters | Boundary |
|---|---|---|
| Current score and trend | Shows posture baseline and whether actions are improving over time. | Not proof that the tenant cannot be breached. |
| Top recommended actions | Turns security review into prioritized backlog. | Needs owner and feasibility review before rollout. |
| Accepted risks | Documents why a recommendation is not implemented now. | Needs business/security approval, not silent neglect. |
| Product coverage | Connects recommendations to Entra, Defender, Purview, Teams, SharePoint and other areas. | License and technical prerequisites still need checking. |
Defender и Sentinel часто путают в закупках. Они могут работать вместе, но отвечают на разные вопросы.
Microsoft Defender XDR полезен, когда компания хочет объединённые security-операции вокруг сигналов Microsoft. Defender XDR помогает SOC и команде безопасности выявлять, контролировать и исправлять угрозы, интегрируясь с другими Defender-продуктами. Defender XDR соединяет конечные устройства, почту, идентичность, приложения и алерты в единую операционную картину.
Microsoft Sentinel — это SIEM/SOAR маршрут. Sentinel помогает получать security-инсайты из облачных и локальных данных. Но Sentinel требует зрелых security-операций: источники логов, правила аналитики, процесс работы с инцидентами, поиск угроз, автоматизация и владелец реагирования.
Decision logic:
| Need | Baseline route | When to go deeper |
|---|---|---|
| Protect Microsoft 365 email, endpoint, identities and apps | Defender XDR / Defender products review. | When alerts need SOC process, automation, investigation and response ownership. |
| Collect security signals across cloud and on-premises | Define log sources and use cases first. | Use Sentinel when SIEM/SOAR scope, ownership and budget are clear. |
| Answer a customer/tender security questionnaire | Document controls, evidence, gaps and action plan. | Bring legal/security owners if the questionnaire requires formal attestation. |
Ошибка — купить Sentinel потому что слово появилось в тендере. Лучший путь: определить нужные сигналы, хранение логов, процесс работы с инцидентами и владельцев. Если этого нет, baseline должен сказать “Sentinel требует отдельного discovery”, а не претендовать, что платформа решит все операции.
Security baseline становится коммерчески важным, когда компания готовится к Copilot, Azure, Dynamics 365, Power BI/Fabric или Microsoft тендеру/RFP.
Before Copilot:
Before Azure:
Перед тендером/RFP:
Для закупки baseline должен быть рабочим пакетом:
Проверить Microsoft 365 tenant: идентичность, защиту почты, совместный доступ, устройства, защиту данных, Secure Score и операционные требования. Доставить: резюме доказательств, список рисков для работ, одобренные исключения и план дальнейших шагов. Это не юридическая проверка, не аудит и не гарантия защиты.
Такой язык не красиво звучит, но работает. Он дает покупателю способ сравнивать предложения без давления на поставщиков раздувать обещания.
Чем более регулируемая или рискованная организация, тем важнее вводные данные. Baseline без доступа к фактам tenant становится общей мастерской. Полезный assessment начинается с данных.
Подготовьте:
Baseline output должен включать:
Если компания находится на ранней стадии, baseline может просто создать видимость. Если компания уже зрелая, она может превратиться в структурированный план устранения. В обоих случаях ценность — ясность.
Useful public sources:
Граница: этот гайд информационный и готовит к закупкам. Он не даёт юридический совет, не гарантирует безопасность, не заменяет pentest, SOC-дизайн, регуляторное подтверждение или Microsoft-сертификацию. Перед внедрением legal, compliance, security и procurement owner должны проверить применимые требования и условия Microsoft.
Нет. Baseline помогает собрать security controls and evidence, но не подтверждает соответствие отраслевому regulation, договору, тендеру или законодательству РК. Legal, compliance and security owners должны отдельно проверить применимые требования.
Secure Score можно использовать как evidence of posture review and action plan. Но это не гарантия отсутствия breach и не сертификат. Его полезно применять как dashboard, KPI and backlog for recommended actions.
Security defaults могут быть стартом для tenant без сложных требований. Если есть regulated buyer, privileged users, guest access, device requirements, Copilot/Azure plans or granular policy needs, обычно нужен Conditional Access and broader security review.
Нужно проверять licensing, risk groups and mail flow. Microsoft preset security policies дают Standard/Strict/Built-in protection approaches, но rollout должен учитывать пилот, exclusions, user impact, permissions and support process.
DLP лучше начинать с data strategy: какие sensitive information categories важны, где данные находятся, кто stakeholders, какие locations and user activities in scope, как тестируются policies and what happens when a rule triggers.
Нет. Sentinel нужен не как модное слово, а когда есть security operations need: cloud/on-prem signals, correlation, hunting, incident process, SOC ownership, log strategy and response automation. Для некоторых компаний first step - Defender XDR and baseline.
Нет. Guide не заменяет penetration test, security audit, SOC design, legal review or regulator assessment. Он помогает подготовить Microsoft 365 tenant inputs and evidence package before deeper review.
В tender/RFP baseline лучше описывать как measurable deliverables: review scope, controls checked, evidence collected, exceptions documented, action plan, roles, support process and boundaries. Не обещайте absolute protection or compliance result.
Используйте этот гайд как вход в security baseline assessment: соберите tenant, администраторов, MFA, политики, Secure Score, защиту почты, устройства, расположение данных, DLP/Purview, сроки по Copilot/Azure/тендеру и владельцев. После этого проще понять, что нужно дальше: усиление baseline, Defender XDR, Sentinel, Purview, Copilot readiness или security-приложение к тендеру.
