الأساس الأمني لـ Microsoft 365 للشركات في الإمارات: Defender وIntune والوصول المشروط والجاهزية لـ Copilot

لماذا أساس أمني، ولماذا بهذا الترتيب

نادراً ما يخترق المهاجمون Microsoft 365 نفسه. بل يسجّلون الدخول باسم أحد موظفيك بكلمة مرور مسروقة عبر التصيّد أو مستخدمة في مكان آخر، ثم يقرؤون البريد، وينشئون قواعد إعادة توجيه، ويرسلون تعليمات دفع مزيفة إلى عملائك. لهذا تأتي الهوية أولاً. ضوابط الأجهزة والبريد تقلل عدد المرات التي يُخدع فيها المستخدم، وضوابط البيانات تحدّ مما يتسرب عندما يُخدع. Copilot لا يغيّر شيئاً من ذلك، لكنه يسهّل العثور على المشاركة المفرطة لمن يبحث عنها.

يأتي الضغط الخاص بالإمارات من ثلاثة مصادر: العملاء والبنوك يرسلون استبيانات أمنية، وشركات التأمين السيبراني تسأل عن MFA وEDR قبل تقديم عرض السعر، وقانون حماية البيانات الشخصية يتوقع تدابير تقنية مناسبة لحماية البيانات الشخصية. والأساس الأمني الموثّق يجيب عن الثلاثة. ويصدر مجلس الأمن السيبراني لدولة الإمارات إرشادات وطنية تستحق القراءة إلى جانب هذا الدليل.

الطبقة 1: الهوية (Microsoft Entra ID)

إذا لم تكن لديك تراخيص Entra ID P1، ففعّل الإعدادات الأمنية الافتراضية اليوم. وإن كانت لديك، فابنِ سياسات الوصول المشروط بدلاً منها:

• اشترط MFA لكل المستخدمين ولكل التطبيقات السحابية. فضّل تطبيق Microsoft Authenticator أو مفاتيح المرور (Passkeys) على الرسائل النصية (راجع طرق المصادقة لدى Microsoft).
• احظر بروتوكولات المصادقة القديمة.
• اشترط MFA مقاومة للتصيّد لأدوار المسؤولين.
• اشترط جهازاً متوافقاً أو مرتبطاً هجيناً للوصول إلى البريد والملفات (بعد تطبيق Intune).
• احظر أو أضف تحققاً إضافياً لعمليات الدخول من دول لا تعمل فيها أبداً.
• حسابا طوارئ (Break-glass) للإدارة، مستثنيان من السياسات، بكلمات مرور طويلة محفوظة خارج الأنظمة، مع تنبيهات عند تسجيل الدخول.

كذلك: أزل صلاحيات Global Administrator الدائمة من الحسابات المستخدمة يومياً، وراجع حسابات الضيوف كل ربع سنة.

الطبقة 2: الأجهزة (Microsoft Intune)

يتيح لك Intune وضع قواعد لأجهزة Windows وmacOS وiOS وAndroid والتحقق منها قبل منح الوصول.

• سجّل حواسيب الشركة عبر Windows Autopilot لتصل الأجهزة الجديدة مُعدّة مسبقاً.
• سياسة التوافق: تشفير القرص مفعّل، وإصدار نظام تشغيل مدعوم، والجدار الناري مفعّل، وEDR يعمل.
• حلقات تحديث Windows حتى تصل التحديثات بترتيب مضبوط.
• سياسات حماية التطبيقات للهواتف الشخصية: تبقى بيانات الشركة داخل التطبيقات المُدارة ويمكن مسحها دون المساس بالصور الشخصية.
• إزالة صلاحيات المسؤول المحلي من المستخدمين العاديين.

الطبقة 3: البريد والأجهزة الطرفية (Microsoft Defender)

تجمع Microsoft Defender XDR إشارات البريد والأجهزة والهوية في مكان واحد. والأساس هو:

• Defender for Office 365: سياسات الحماية المُعدّة مسبقاً، وSafe Links، وSafe Attachments، والحماية من انتحال الشخصية لكبار التنفيذيين وموظفي المالية.
• سجلات SPF وDKIM وDMARC منشورة ومراقَبة لكل نطاق ترسل منه. تختبر ذلك أداة فحص أمان البريد (بالإنجليزية).
• حظر إعادة التوجيه التلقائي إلى عناوين خارجية.
• Defender for Business أو Defender for Endpoint على كل حاسوب وخادم، مع تفعيل قواعد تقليل سطح الهجوم (ASR).
• شخص يقرأ التنبيهات. التنبيهات غير المقروءة هي أكثر حالات الإخفاق التي نراها. وإذا لم يكن هناك من يراقب خارج ساعات العمل، فاطّلع على خدمة الاكتشاف والاستجابة المُدارة.

الطبقة 4: البيانات (Microsoft Purview)

• مجموعة قصيرة من تصنيفات الحساسية، مع تصنيف افتراضي للمستندات الجديدة في المكتبات الحساسة.
• سياسات DLP لأرقام الهوية الإماراتية وجوازات السفر وIBAN والبطاقات.
• مشاركة خارجية في SharePoint وOneDrive مقصورة على ضيوف محددين بالاسم، مع انتهاء صلاحية الروابط.
• سياسات احتفاظ تطابق جدول السجلات لديك.
• سجل التدقيق الموحّد مفعّل.

الجاهزية لـ Copilot

تؤكد Microsoft أن Copilot لا يصل إلا إلى البيانات التي يملك المستخدم صلاحية رؤيتها (راجع بيانات Copilot وخصوصيته وأمانه). هذا تصميم سليم، وهو أيضاً سبب أهمية الجاهزية: سنوات من روابط "المشاركة مع الجميع" والمجموعات الواسعة تعني أن المستخدمين يستطيعون فتح أكثر بكثير مما يدركون. وCopilot يجعل العثور على ذلك سريعاً فقط.

1. استخرج تقريراً بالمواقع والملفات المشتركة مع "Everyone" أو عبر روابط مجهولة. عالج الأخطر أولاً: الموارد البشرية والمالية ومجلس الإدارة والشؤون القانونية.
2. طبّق تصنيفات الحساسية على المكتبات الحساسة.
3. أرشف المواقع وفرق Teams القديمة التي لا مالك لها.
4. جرّب Copilot مع مجموعة من 10 إلى 30 مستخدماً لديهم حالات استخدام واضحة، ثم توسّع.

يغطي دليل إطلاق Copilot ودليل تراخيص Copilot بقية الجوانب.

قائمة التحقق للأساس الأمني

• MFA مفروضة على 100% من المستخدمين، والمصادقة القديمة محظورة.
• MFA مقاومة للتصيّد للمسؤولين، وحسابا طوارئ.
• لا حسابات يومية بصلاحيات Global Administrator.
• كل أجهزة الشركة مسجّلة في Intune ومتوافقة مع السياسات.
• سياسات Defender for Office 365 المُعدّة مسبقاً مفعّلة، وإعادة التوجيه الخارجي محظورة.
• SPF وDKIM وDMARC في وضع الإنفاذ على كل نطاقات الإرسال.
• EDR على كل جهاز طرفي وخادم، والتنبيهات مراقَبة.
• تصنيفات الحساسية وDLP للبيانات الشخصية والمالية.
• المشاركة الخارجية مقيّدة، وتقرير المشاركة المفرطة مُراجَع.
• سجل التدقيق مفعّل، وSecure Score يُراجَع شهرياً.
• نسخ احتياطي مستقل لبيانات Exchange وSharePoint وOneDrive وTeams.

كيف تطبّقه دون أن تمنع الموظفين من الدخول

تبدأ كل سياسة في وضع التقرير فقط (Report-only)، ثم تُطبّق على فريق تقنية المعلومات، ثم على قسم تجريبي، ثم على الجميع. يتلقى المستخدمون إشعاراً قصيراً قبل التسجيل في MFA ورقماً للمساعدة في يوم التطبيق. والاستثناءات (صندوق بريد مشترك لماسح ضوئي، أو تطبيق قديم) توثَّق مع مسؤول وتاريخ انتهاء بدلاً من استثنائها بصمت إلى الأبد. ونطبّق الترحيل المرحلي مع خطة رجوع في تسجيل الأجهزة أيضاً، بحيث يمكن التراجع عن أي سياسة خاطئة خلال دقائق.

كيف تساعد ميسان

ندعم بيئات Microsoft في الإمارات منذ أكثر من 22 عاماً، ونحن شريك Microsoft للحلول في حلول الأعمال بالذكاء الاصطناعي. نقيّم مستأجرك مقابل هذا الأساس، ونعالج الفجوات حسب الأولوية، وننشر Intune وDefender، وننظّف المشاركة المفرطة قبل Copilot، ويمكننا مراقبة التنبيهات بعد ذلك. وإن قررت الانتقال يبقى مستأجر Microsoft وحساباتك باسمك. ابدأ بصفحة Microsoft 365 وCopilot وDefender أو بفحص صحة مجاني.

خدمات ميسان ذات الصلة

• Microsoft 365 وCopilot وDefender
• الأمن السيبراني المُدار وخدمة MDR
• أداة ضبط تراخيص Microsoft 365 (بالإنجليزية)
• بطاقة تقييم الجاهزية للأمن السيبراني (بالإنجليزية)

الأسئلة الشائعة

ما ترخيص Microsoft 365 الذي نحتاجه لهذا الأساس الأمني؟

يتطلب الوصول المشروط ترخيص Microsoft Entra ID P1، وهو مضمّن في Microsoft 365 Business Premium وE3 وE5. ويأتي Intune ضمن الخطط نفسها. تتضمن Business Premium خدمة Defender for Business وحدّها الأقصى 300 مستخدم، وفوق ذلك يكون المسار المعتاد E3 مع إضافات Defender أو E5. راجع مزيج تراخيصك الحالي بأداة ضبط التراخيص لدينا قبل شراء المزيد.

هل تكفي الإعدادات الأمنية الافتراضية (Security Defaults)؟

الإعدادات الافتراضية نقطة بداية مجانية ومعقولة: تفرض التسجيل في MFA وتحظر المصادقة القديمة. لكنها تعمل كحزمة واحدة إما كلها أو لا شيء، فلا تتعامل مع الاستثناءات أو الأجهزة الموثوقة أو القواعد المبنية على المخاطر. وعندما يتوفر لديك Entra ID P1 تحل سياسات الوصول المشروط محلها.

هل سيكشف Copilot ملفات سرية لأشخاص غير مخوّلين؟

لا يستخدم Copilot إلا المحتوى الذي يملك المستخدم المسجّل صلاحية الوصول إليه أصلاً. المشكلة أن كثيراً من المستخدمين يملكون اليوم صلاحيات أوسع مما ينبغي عبر روابط مشاركة قديمة ومجموعات واسعة. ومعالجة المشاركة المفرطة قبل إطلاق Copilot هي مهمة الجاهزية الأساسية.

كم يستغرق تطبيق هذا الأساس الأمني؟

لبيئة من 100 إلى 500 مستخدم، تستغرق ضوابط الهوية والبريد عادةً من أسبوعين إلى أربعة أسابيع، وتسجيل الأجهزة من أربعة إلى ثمانية أسابيع بحسب عدد الأجهزة غير المُدارة، وتسير ضوابط البيانات بالتوازي. ننفذ التغييرات على مراحل تبدأ بفريق تقنية المعلومات، فلا يُمنع أحد من الدخول في اليوم الأول.

هل ما زلنا نحتاج إلى برنامج مكافحة فيروسات أو EDR منفصل؟

إذا كان لديك ترخيص Defender for Business أو Defender for Endpoint ونُشر بشكل صحيح، فكثير من الشركات تستغني عن المنتج المنفصل. وبعضها يحتفظ بحل EDR من طرف ثالث لأسباب تشغيلية. ونادراً ما يكون تشغيل وكيلين كاملين على الجهاز نفسه فكرة جيدة، فحدد أيهما الأساسي.

ماذا يحدث لمستأجرنا إذا توقفنا عن العمل مع ميسان؟

إذا قررت الانتقال، يبقى مستأجر Microsoft وحساباتك باسمك. نوثّق كل سياسة نُعدّها ونسلّم صلاحيات الإدارة بطريقة منظمة.

هذا الدليل معلومات عامة للتخطيط، وليس استشارة قانونية أو ضريبية. تتغيّر الأنظمة والمواعيد، لذا تحقّق من الوضع الحالي في المصدر الرسمي المذكور في النص ومع مستشاريك. آخر مراجعة: 17/10/2026.

كل أدلة قادة تقنية المعلومات