Baza wiedzy / Cyberbezpieczeństwo

Audyt Microsoft 365 – zakres, dowody i rezultat

Jak wygląda audyt bezpieczeństwa Microsoft 365 i Entra ID? Lista sprawdzanych obszarów, artefaktów oraz praktycznych wyników audytu.

Autor: Michał Matuszczyk · Opublikowano: 5 listopada 2026 r.

Odpowiedź w skrócie: audyt Microsoft 365 powinien ocenić bezpieczeństwo tożsamości, uprawnień, poczty, danych i zdolności wykrywania incydentów. Wynikiem powinny być ustalenia poparte dowodami, priorytetami ryzyka i planem wdrożenia, a nie tylko wartość Microsoft Secure Score.

Jakie obszary należy sprawdzić?

• Entra ID: role uprzywilejowane, MFA, Conditional Access, konta awaryjne, aplikacje i zgody;
• Exchange Online: polityki ochrony poczty, delegacje, SPF/DKIM/DMARC, reguły transportowe;
• SharePoint i OneDrive: współdzielenie zewnętrzne, dostęp gości, poziomy uprawnień;
• Defender i Intune: zasady ochrony, stan urządzeń, widoczność alertów i działania reakcyjne;
• Purview: klasyfikacja danych, DLP, retencja i ślady audytowe — zależnie od licencji.

Jakich dowodów wymaga rzetelny audyt M365?

Przykładami są eksporty konfiguracji, przegląd ról i przypisań, ustalenia dotyczące zasad dostępu, potwierdzenie działania logowania i alertów oraz zanonimizowane przykłady naruszeń polityk. Uprawnienia audytora powinny być ograniczone do minimum.

Co otrzymuje klient?

Raport zarządczy, rejestr ustaleń technicznych z dowodami, ocenę ryzyk, rekomendacje oraz plan 30/60/90 dni. Warto przewidzieć powtórną weryfikację działań naprawczych.

Oficjalne punkty odniesienia

Zobacz Microsoft Learn – Conditional Access i Microsoft Defender for Office 365. Zakres konkretnego audytu trzeba dostosować do używanych usług i licencji.

Sprawdź usługi MSecure albo porozmawiaj o zakresie audytu.

O autorze

Michał Matuszczyk – audytor wiodący ISO/IEC 27001:2022, konsultant cyberbezpieczeństwa i wykładowca akademicki. Profil i doświadczenie autora.

Powiązane tematy

Audyty cyberbezpieczeństwa · ISO 27001 · Jak wybrać firmę audytorską

Materiał informacyjny, nie zastępuje indywidualnej oceny bezpieczeństwa ani opinii prawnej.