إعدادات أمان Microsoft 365: قائمة تحقق للشركات الصغيرة والمتوسطة

من أين تبدأ إعدادات أمان Microsoft 365؟

ابدأ إعدادات أمان Microsoft 365 بالتحقق من التراخيص، لأن الخطة تحدد الضوابط المتاحة لك. تتضمن خطط Business Basic وStandard وPremium (التي كانت تُباع سابقًا باسم Office 365) حماية البريد من الرسائل غير المرغوب فيها والبرامج الضارة والتصيد. ووفق صفحة Microsoft 365 for business security best practices، فإن الوصول المشروط وIntune Plan 1 وDefender for Business وDefender for Office 365 Plan 1 مضمّنة في Business Premium وحدها.

تقدّم Microsoft خطة Business Premium للمؤسسات التي يصل عدد مستخدميها إلى 300. تجد بقية الفروق في مقارنتنا بين Business Basic وStandard وPremium وفي صفحة منتج Business Premium.

أي إن الشركات الصغيرة والمتوسطة على Basic أو Standard تستطيع تنفيذ خطوات الهوية والبريد والمشاركة والمراقبة. وإذا كنت تخطط للمكتب كاملًا، فإن دليلنا للبنية التقنية لمكاتب الشركات الصغيرة والمتوسطة يوضح موقع هذه القائمة من الصورة العامة.

الهوية: الإعدادات الافتراضية أم الوصول المشروط؟

إن لم يتضمن ترخيصك الوصول المشروط فأبقِ الإعدادات الافتراضية للأمان مفعّلة؛ ومع Business Premium أو Entra ID P1 انتقل إلى سياسات الوصول المشروط. يذكر مقال Microsoft Learn عن الإعدادات الافتراضية للأمان أنها تُلزم كل المستخدمين بالتسجيل في MFA، وتُلزم المسؤولين بها عند كل تسجيل دخول، وتحظر المصادقة القديمة. ويذكر المقال نفسه أن MFA قادرة على صد أكثر من 99.2% من الهجمات القائمة على الهوية.

لا يمكن الجمع بين الأسلوبين، فاعتماد الوصول المشروط يعني تعطيل الإعدادات الافتراضية. ولتجنب فجوة في الحماية أنشئ السياسات أولًا في وضع التقرير فقط (report-only)، حيث تُقيَّم ولا تُطبَّق ويُسجَّل الناتج في سجل تسجيل الدخول. كما تصل السياسات التي تديرها Microsoft بهذا الوضع، وتفعّلها Microsoft عادةً بعد 30 يومًا على الأقل مع إشعار مسبق ما لم توقفها.

1. أنشئ حسابَي وصول للطوارئ (break-glass): حسابات سحابية فقط (*.onmicrosoft.com) بدور Global Administrator، مستثناة من السياسات التي تحظر الدخول، ومحمية بمفتاح FIDO2، وتُختبر كل 90 يومًا على الأكثر.
2. قلّل عدد Global Administrator: توصي Microsoft بأقل من خمسة، وتحدد خطوط الأساس CISA SCuBA ما بين اثنين وثمانية. استخدم أدوارًا أضيق وحسابات إدارية منفصلة للعمل اليومي.
3. اطلب MFA مقاومة للتصيد للمسؤولين: تقبل قوة المصادقة المدمجة Phishing-resistant MFA strength مفاتيح FIDO2 وWindows Hello for Business.
4. افرض MFA على جميع المستخدمين: يطلب Microsoft Authenticator إدخال رقم عند الموافقة، ما يُصعّب هجمات إرهاق MFA.
5. قيّد موافقة المستخدمين على التطبيقات: توصي Microsoft بقصرها على تطبيقات الناشرين الموثَّقين.
6. أوقف انتهاء صلاحية كلمات المرور: توصي Microsoft بكلمات مرور لا تنتهي صلاحيتها للحسابات السحابية وبطول 14 حرفًا على الأقل.

عطّلت Exchange Online المصادقة الأساسية نهائيًا لبروتوكولات POP وIMAP وEWS وActiveSync، ويبقى SMTP AUTH استثناءً. ووفق إعلان فريق Exchange في يناير 2026، ستُعطَّل افتراضيًا في المستأجرين الحاليين نهاية ديسمبر 2026 مع إمكانية إعادة تفعيلها من المسؤول. اجرد الطابعات والتطبيقات التي ترسل البريد بهذه الطريقة، وإن كنت تنتقل من Exchange المحلي فأضف القائمة إلى خطة الترحيل، وقارن الخيارات في مقالنا عن انتهاء دعم Exchange Server.

يجمع Baseline security mode في مركز إدارة Microsoft 365 (Settings > Org Settings > Security and Privacy) هذه الإعدادات، وتنصح Microsoft بتشغيل تقرير الأثر أولًا وتفعيل ما أثره صفر.

كيف تحمي Intune وDefender for Business الأجهزة؟

سجّل كل جهاز يصل إلى بيانات الشركة في Intune، وأضفه إلى Defender for Business، واسمح في الوصول المشروط للأجهزة المتوافقة فقط. تصف Microsoft منتج Defender for Business بأنه حل لحماية نقاط النهاية مبني على Defender for Endpoint ومصمم للشركات حتى 300 مستخدم.

• سياسة التوافق (compliance policy): حدّد قواعد مثل الحد الأدنى لإصدار نظام التشغيل، وعدم كسر الحماية (jailbreak أو root)، ومستوى التهديد. القيمة الافتراضية لإعداد وسم الأجهزة التي لا سياسة لها هي «متوافق»، وتوصي Microsoft بجعلها «غير متوافق» عند استخدامها مع الوصول المشروط.
• الأجهزة الشخصية: يتضمن Intune Plan 1 إدارة تطبيقات الأجهزة المحمولة (MAM)، فتُحمى الهواتف الشخصية على مستوى التطبيق.
• Defender for Business: يمنح معالج الإعداد صلاحية الوصول إلى البوابة، ويضبط إشعارات البريد، ويضيف أجهزة Windows، ويطبّق سياسات افتراضية للحماية من الجيل التالي وجدار الحماية. تحتاج الخوادم إلى تراخيص إضافية.

إن كنت تستخدم منتجًا من جهة أخرى مثل Bitdefender GravityZone فحدّد دور كل منتج مسبقًا: يعمل Microsoft Defender Antivirus حينها في وضع نشط أو سلبي أو معطّل بحسب ما إذا كان الجهاز مضافًا إلى Defender for Endpoint. راجع مقارنتنا لباقات GravityZone ودليل تقليص سطح الهجوم.

ما إعدادات أمان البريد التي يجب تفعيلها؟

طبّق سياسة أمان معدّة مسبقًا، وأكمل SPF وDKIM وDMARC، وأوقف إعادة التوجيه التلقائي إلى العناوين الخارجية. تطبّق السياستان المعدّتان مسبقًا Standard وStrict الحماية من الرسائل غير المرغوب فيها والبرامج الضارة والتصيد بالقيم التي توصي بها Microsoft في خطوة واحدة، وتضيف Business Premium إليها Safe Links وSafe Attachments والحماية من انتحال الهوية.

بعد نشر السجلات افحص نطاقك عبر أداتنا لفحص أمان البريد، وتجد خطوات الانتقال المرحلي في دليل Microsoft لإعداد DMARC. وفي سياسة البريد العشوائي الصادر اضبط إعادة التوجيه على Off بدل Automatic - System-controlled، إذ تذكر Microsoft أن هذه القيمة الافتراضية يختلف سلوكها بين المؤسسات وأن قواعد إعادة التوجيه قد يُنشئها حساب مخترَق. المزيد في مقالنا عن Defender for Office 365 وصفحة المنتج.

كيف تُقيَّد مشاركة الملفات؟

اضبط المشاركة الخارجية في SharePoint وOneDrive على أضيق مستوى تحتاجه فعلًا، واجعل «أشخاص محددون» نوع الرابط الافتراضي. ووفق وثائق Microsoft عن المشاركة، يمكن أن يكون إعداد OneDrive أكثر تقييدًا من SharePoint لا أقل، ولا يتجاوز أي موقع إعداد المؤسسة.

خط الأساس CISA SCuBA الخاص بـ SharePoint أشد: «الضيوف الحاليون» أو أضيق، وإذن العرض فقط افتراضيًا، وانتهاء روابط «أي شخص» خلال 30 يومًا كحد أقصى. كُتب للجهات الفدرالية الأمريكية، فهو مرجع للمقارنة لا التزام على الشركات الصغيرة والمتوسطة. وتضيف Business Premium تسميات الحساسية وDLP. ولا تعيد إعدادات المشاركة البيانات المحذوفة أو المشفّرة؛ راجع مقالنا عن النسخ الاحتياطي لـ Microsoft 365.

كيف تدعم سجلات التدقيق وSecure Score المراقبة؟

تأكد أولًا من تفعيل سجل التدقيق، ثم راجع توصيات Secure Score شهريًا. يذكر Microsoft Learn أن التدقيق غير مفعّل افتراضيًا في تراخيص الشركات الصغيرة والمتوسطة مثل Business Basic وStandard وPremium. يجب أن يُرجع الأمر Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled في Exchange Online PowerShell القيمة True، ويحتفظ Audit (Standard) بالسجلات 180 يومًا.

في Microsoft Secure Score تساوي كل توصية 10 نقاط كحد أقصى، وبعضها يمنح نقاطًا جزئية: إذا كان 50 من أصل 100 مستخدم محميين بـ MFA تحصل على نصف النقاط. وتمنح الإعدادات الافتراضية للأمان النقاط كاملة في ثلاث توصيات: MFA لجميع المستخدمين (9)، وMFA لأدوار المسؤولين (10)، وحظر المصادقة القديمة (7). استخدم الدرجة قائمة مهام، وراجع شهريًا عمليات دخول حسابات الطوارئ.

قائمة التحقق لأمان Microsoft 365: بأي ترتيب تُطبَّق؟

طبّق أولًا الإعدادات واسعة الأثر السهلة التراجع، واختبر في وضع التقرير فقط كل ما قد يمنع المستخدمين. يبيّن العمود الأخير كيف تتحقق من تنفيذ كل بند.

1. التحضير: جرد التراخيص وأدوار المسؤولين والأجهزة التي تستخدم بروتوكولات قديمة، وإنشاء حسابات الطوارئ، وتفعيل التدقيق.
2. الهوية: تفعيل الإعدادات الافتراضية، أو بناء الوصول المشروط في وضع التقرير فقط وتفعيله بعد المراجعة.
3. البريد والمشاركة: السياسات المعدّة مسبقًا وDKIM وسجل DMARC بقيمة p=none، وإيقاف إعادة التوجيه، وتضييق المشاركة.
4. الأجهزة والتقوية: Intune وDefender for Business، وشرط الجهاز المتوافق، ورفع DMARC إلى p=reject.

أنشئ حسابات الطوارئ قبل الوصول المشروط، ولا تشترط الأجهزة المتوافقة إلا بعد تسجيلها، وإلا فقد المستخدمون الوصول.

الأسئلة الشائعة

هل يمكن تفعيل الإعدادات الافتراضية للأمان والوصول المشروط معًا؟

لا. بحسب Microsoft Learn يجب على المؤسسة التي تعتمد سياسات الوصول المشروط تعطيل الإعدادات الافتراضية للأمان. ولتفادي فجوة في الحماية أنشئ السياسات الجديدة أولًا في وضع التقرير فقط، وراجع النتائج في سجل تسجيل الدخول، ثم فعّلها وعطّل الإعدادات الافتراضية. وتُسهّل السياسات التي تديرها Microsoft هذا الانتقال لأنها تغطي MFA وحظر المصادقة القديمة.

نستخدم Business Standard، فهل نحتاج إلى Business Premium من أجل MFA؟

لا. الإعدادات الافتراضية للأمان متاحة في كل الخطط دون تكلفة إضافية وتفرض MFA على جميع المستخدمين. وتصبح Business Premium أو Entra ID P1 مجدية حين تحتاج إلى قواعد بحسب الموقع أو توافق الجهاز أو مجموعة المستخدمين، أو إلى MFA مقاومة للتصيد للمسؤولين. لمناقشة الخيارات: تواصل معنا.

ماذا سيحدث للطابعات والتطبيقات التي ترسل البريد؟

وفق إعلان فريق Exchange في يناير 2026، ستُعطَّل المصادقة الأساسية لـ SMTP AUTH افتراضيًا في المستأجرين الحاليين نهاية ديسمبر 2026 مع إمكانية إعادة تفعيلها من المسؤول، ولن تكون متاحة افتراضيًا في المستأجرين المنشأين بعد ذلك. وسيُعلن موعد الإزالة النهائية في النصف الثاني من 2027. اجرد هذه الأجهزة، وتحقق من دعم الشركة المصنعة لـ OAuth، وخطّط لبدائل مثل Microsoft Graph.

إذا كنا نستخدم Bitdefender، فهل نحتاج أيضًا إلى Defender for Business؟

اعتماد منتج رئيسي واحد لحماية نقاط النهاية يبسّط الإدارة. يعمل Microsoft Defender Antivirus بجوار برنامج مكافحة فيروسات من جهة أخرى في وضع نشط أو سلبي أو معطّل، بحسب ما إذا كان الجهاز مضافًا إلى Defender for Endpoint. وأيًّا كان المنتج الذي تختاره، يظل ضبط MFA والوصول المشروط وإعدادات البريد في Microsoft 365 مطلوبًا بشكل منفصل.

ما حساب الوصول للطوارئ وكيف يُحمى؟

هو حساب Global Administrator غير مخصص لشخص بعينه، يُحتفظ به لحالات تعذّر دخول حسابات المسؤولين العادية. توصي Microsoft بحسابين سحابيين على الأقل (*.onmicrosoft.com) يُستثنيان من سياسات الوصول المشروط التي تحظر الدخول، ويُحميان بطريقة مقاومة للتصيد مثل مفتاح FIDO2، وتُراقب كل عملية استخدام لهما، ويُختبران كل 90 يومًا على الأكثر.

الخلاصة

• الترخيص يحدد النطاق: الإعدادات الافتراضية في كل خطة، والوصول المشروط مع Business Premium أو Entra ID P1.
• حسابات الطوارئ وMFA وحظر المصادقة القديمة وتقليل Global Administrator هي الخطوات الأسرع أثرًا.
• تكمل سياسات البريد المعدّة مسبقًا وDKIM وDMARC المرحلي وإيقاف إعادة التوجيه الخارجي خطوات الهوية.
• فعّل سجل التدقيق يدويًا وراجع Secure Score شهريًا.

Sora Yazılım Teknolojileri شركة تقنية مقرها إسطنبول (أتاشهير)، تقدم لـ Microsoft 365 خدمات اختيار التراخيص والتوريد والتركيب والدعم، ويُحدَّد نطاق العمل في العقد. تجد الخطط في صفحة حلول Microsoft 365.

مكالمة استكشاف مجانية · واتساب: دعم واتساب · الهاتف: +90 544 785 21 87 · البريد الإلكتروني: talep@sorayazilim.com

المصادر

1. Security defaults in Microsoft Entra ID — Microsoft Learn، 16.10.2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
2. Conditional Access overview; Microsoft-managed policies — Microsoft Learn، 2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
3. Emergency access accounts; Best practices for Microsoft Entra roles — Microsoft Learn، يونيو 2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
4. Microsoft 365 for business security best practices — Microsoft Learn، 28.05.2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
5. Baseline security mode settings — Microsoft Learn، 30.09.2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
6. What is Microsoft Defender for Business? — Microsoft Learn، 2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
7. Device compliance policies in Microsoft Intune — Microsoft Learn، 02.07.2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
8. Microsoft Defender Antivirus compatibility — Microsoft Learn، 21.08.2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
9. DKIM وDMARC وإعادة التوجيه الخارجي (Defender for Office 365) — Microsoft Learn، 2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
10. Manage sharing settings for SharePoint and OneDrive — Microsoft Learn، 30.06.2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
11. Turn auditing on or off — Microsoft Learn، 19.06.2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
12. Microsoft Secure Score — Microsoft Learn، 07.03.2026. learn.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
13. Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline — Microsoft Exchange Team، 27.01.2026. techcommunity.microsoft.com (تاريخ الوصول: 19 أكتوبر 2026)
14. CISA SCuBA M365 Secure Configuration Baselines — CISA، ScubaGear 2.0.0. github.com (تاريخ الوصول: 19 أكتوبر 2026)

كيف أُعدّ هذا المقال

إعداد: فريق Sora Yazılım. أُعدّ هذا المقال بمساعدة الذكاء الاصطناعي، وقورنت المعلومات التقنية بمصادر الشركات المصنّعة والمصادر الرسمية المرتبطة في النص حتى تاريخ 19 أكتوبر 2026.

مقالات ذات صلة

• دليل البنية التقنية لمكاتب الشركات الصغيرة والمتوسطة — الشبكة والهاتف والبريد ونقاط النهاية معًا.
• الفرق بين Microsoft 365 Business Basic وStandard وPremium — أي خطة تناسب فريقك.
• انتهاء دعم Exchange Server 2016/2019 — Exchange Online أم Exchange SE.
• مقارنة باقات Bitdefender GravityZone — Business Security وPremium وEnterprise.
• تقليص سطح الهجوم على نقاط النهاية — خطوات التقوية مع GravityZone.
• Ruijie Reyee أم سلسلة RG المؤسسية؟ — اختيار عائلة المنتجات.
• متى يكون Wi-Fi 7 منطقيًا في الشبكات المؤسسية؟ — توقيت التحديث.
• خيارات تركيب مقسم 3CX الهاتفي (IP PBX) — السحابة والتركيب المحلي وSIP trunk.
• تكامل 3CX مع Microsoft Teams — الاتصال من Teams عبر المقسم.