Microsoft 365 dla firmy – co warto wdrożyć i od czego zacząć?

1. Tożsamość i dostęp: fundament środowiska

Pracownik zmienia stanowisko, a jego stare uprawnienia zostają. Z czasem dostępów przybywa, wyjątków też, i nikt nie ma pewności, kto właściwie ma dostęp do czego. Microsoft Entra ID pozwala to uporządkować. 

Od czego zacząć: 

• MFA dla wszystkich użytkowników, a w pierwszej kolejności dla administratorów, 

• osobne konta administracyjne, niewykorzystywane do codziennej pracy, 

• wyłączenie starszych metod logowania, które nie obsługują MFA, 

• uprawnienia przez role i grupy, a nie przypisywane pojedynczym osobom, 

• Conditional Access (w bardziej dojrzałych środowiskach): dostęp zależny od użytkownika, urządzenia i warunków logowania. 

Równie ważny jest cały cykl życia konta: onboarding → zmiana stanowiska → zmiana uprawnień → offboarding. Dostęp nadajemy przy dołączeniu, aktualizujemy przy zmianie roli i odbieramy, gdy przestaje być potrzebny. 

2. OneDrive i SharePoint: najpierw uporządkuj dane

W wielu firmach migracja zaczyna się od pytania „gdzie przenieść pliki?”. Ważniejsze jest pytanie: jak chcemy nimi zarządzać? 

Najprostszy podział: 

• OneDrive: pliki użytkownika, 

• SharePoint: dokumenty zespołów i organizacji. 

Warto wiedzieć, że pliki zespołów w Teams trafiają do SharePoint, a pliki wysyłane w czatach prywatnych do OneDrive. Od tego zależy, kto je widzi i co się z nimi dzieje po odejściu pracownika. 

Przed migracją ustal: 

• które dane są prywatne, zespołowe i firmowe, 

• kto jest właścicielem każdej grupy danych, 

• kto potrzebuje dostępu i jak będą wyglądać biblioteki oraz uprawnienia, 

• jakie obowiązują zasady udostępniania (linki dla całej organizacji czy dla wskazanych osób, udostępnianie na zewnątrz), 

• co dzieje się z dokumentami po odejściu pracownika. 

Najczęstszy błąd to migracja starego serwera plików 1:1. Jest technicznie możliwa, ale przenosi też zbędne dane, historyczną strukturę folderów i odziedziczone uprawnienia. Migracja powinna być okazją do porządków, a nie tylko zmianą lokalizacji. 

3. Teams: jak uniknąć chaosu

Na początku wszystko wygląda niewinnie. Powstaje pierwszy zespół, potem projekt, potem kilka kanałów „na chwilę”. Po paru latach firma ma dziesiątki zespołów, dokumenty w różnych miejscach i trudno ustalić, co jest aktualne i kto za co odpowiada. 

Teams potrzebuje zasad od pierwszego dnia: 

• kto może tworzyć zespoły (wszyscy czy po zgłoszeniu), 

• konwencja nazw, żeby zespoły dało się znaleźć, 

• właściciele: co najmniej dwóch na zespół, 

• gdzie trzymamy dokumenty (biblioteka SharePoint zespołu, nie prywatne czaty), 

• cykl życia: kiedy nieużywany zespół jest archiwizowany lub zamykany. 

To właśnie jest governance, czyli sposób zarządzania środowiskiem. Kilka prostych reguł na początku oszczędza dużo pracy po kilku latach. 

4. Intune: jeden standard zarządzania urządzeniami

W firmie z kilkudziesięcioma laptopami każdy bywa konfigurowany w innym czasie i przez inną osobę. Na części brakuje aktualizacji, na części są inne aplikacje, a administrator nie ma jak sprawdzić stanu całej floty. Problemem nie jest wtedy brak Intune, tylko brak standardu. 

Intune pomaga go wdrożyć przez centralne polityki konfiguracji, aplikacji i zabezpieczeń. Wcześniej trzeba jednak ustalić: 

• jakie urządzenia obejmujemy (firmowe, prywatne używane do pracy), 

• jakie wymagania muszą spełniać (szyfrowanie, aktualizacje, blokada ekranu), 

• co się dzieje, gdy ich nie spełniają, 

• jak konfigurujemy nowe laptopy. Windows Autopilot automatyzuje przygotowanie urządzeń do pracy, m.in. przez zastosowanie konfiguracji, polityk i aplikacji podczas wdrożenia. 

5. Defender i poczta: narzędzie to nie proces bezpieczeństwa

Firma może mieć włączone zabezpieczenia i nadal nie wiedzieć, co dzieje się w jej środowisku. Microsoft Defender to rodzina rozwiązań chroniących pocztę, tożsamość, urządzenia i aplikacje w chmurze. Zakres zależy od licencji. 

Uruchomienie funkcji to dopiero początek. Trzeba ustalić: 

• jakie zdarzenia są monitorowane, 

• kto analizuje alerty (w mniejszej firmie może to robić zewnętrzny partner), 

• kto reaguje na incydenty i według jakiej procedury, 

• czy urządzenia spełniają wymagania bezpieczeństwa. 

Nie pomijaj poczty – to jeden z istotnych obszarów bezpieczeństwa firmy. Skonfiguruj uwierzytelnianie domeny (SPF, DKIM, DMARC) i rozważ Defender for Office 365 do ochrony przed phishingiem i złośliwymi załącznikami. 

Posiadanie narzędzia i posiadanie procesu bezpieczeństwa to dwie różne rzeczy. 

6. Backup, retencja i odzyskiwanie danych

„Przecież dane są w chmurze”. Tymczasem Microsoft 365 ma wbudowane mechanizmy, takie jak kosze, historia wersji i polityki retencji, ale retencja nie jest backupem. Bezpieczeństwo i możliwość odzyskania danych wymagają również odpowiednich działań po stronie firmy – to element modelu współdzielonej odpowiedzialności. 

Dla pełniejszej ochrony można rozważyć Microsoft 365 Backup albo rozwiązanie zewnętrznego dostawcy. Warto też odpowiedzieć na kilka pytań: co musimy odzyskać, jak szybko, jak daleko wstecz i kto może to zrobić? 

Najważniejsze jest jednak sprawdzenie, czy proces odzyskiwania rzeczywiście działa. Backup, którego nigdy nie próbowano odtworzyć, daje znacznie mniej pewności niż sprawdzony proces odzyskiwania. 

Przeczytaj o złotej zasadzie tworzenia backupu  

7. Governance danych: problem widać po latach

W dniu wdrożenia środowisko wygląda dobrze. Potem pracownicy zmieniają stanowiska, startują nowe projekty, przybywa dokumentów, a zespoły i uprawnienia rosną szybciej niż reguły, które miały nimi zarządzać. Po kilku latach wyjątków bywa więcej niż zasad. 

W bardziej wymagających środowiskach warto sięgnąć po Microsoft Purview: klasyfikację informacji, etykiety poufności, retencję, audyt czy DLP (zapobieganie wyciekom danych). Dla wielu polskich firm powodem są też wymogi RODO, a dla części organizacji również NIS2, która nakłada na objęte nią podmioty wymagania dotyczące zarządzania ryzykiem cyberbezpieczeństwa i ochrony informacji. 

Nie każda firma potrzebuje od razu zaawansowanych narzędzi. Każda powinna jednak wiedzieć, kto odpowiada za dane, kto ma do nich dostęp i jak ten dostęp jest kontrolowany. 

8. Copilot i AI: najpierw uporządkuj dane

Wdrożenie AI często zaczyna się od pytania: „Co możemy zrobić z Copilotem?”. Lepiej zacząć od innego: do jakich danych użytkownicy mają dostęp? 

Copilot korzysta z informacji, do których użytkownik ma już uprawnienia. Jeśli więc dokumenty są zbyt szeroko udostępnione lub uprawnienia są nieaktualne, problem nie leży w samym Copilocie, ale w organizacji dostępu do danych. 

Przed wdrożeniem warto sprawdzić: 

• kto ma dostęp do jakich danych i czy jest on uzasadniony, 

• które zasoby są nadmiernie udostępnione, 

• czy informacje są aktualne, 

• czy firma ma odpowiednie licencje, ponieważ Copilot wymaga osobnej licencji. 

Najpierw fundamenty, potem AI. 

Dowiedz się więcej o Copilot w firmie  

1. Włącz MFA dla wszystkich użytkowników, zaczynając od administratorów. 
2. Przejrzyj konta administracyjne i usuń zbędne uprawnienia. 
3. Sprawdź konta nieaktywne i byłych pracowników, a następnie wyłącz lub usuń te, które nie są już potrzebne. 
4. Przejrzyj udostępnianie na zewnątrz: kto spoza firmy ma dostęp do jakich plików. Na tej podstawie ustal zasady udostępniania wewnątrz i na zewnątrz organizacji. 
5. Sprawdź urządzenia: czy mają aktualizacje i włączone szyfrowanie. 
6. Przeprowadź test odzyskania usuniętych danych. Lepiej sprawdzić to teraz niż po incydencie. 

To nie jest pełny plan wdrożenia. To punkt wyjścia, który pozwala uporządkować najważniejsze obszary i przygotować środowisko do dalszych zmian. 

Dobre wdrożenie nie kończy się w chwili uruchomienia usług. Środowisko trzeba monitorować, rozwijać i okresowo przeglądać, bo firma, ludzie i zagrożenia się zmieniają. Celem jest środowisko pracy, które jest bezpieczne, zarządzalne i dopasowane do potrzeb organizacji.