Microsoft Office 365 文件共享指南和最佳实践
您可能已经知道，Microsoft Office 365 使员工（和其他相关利益相关者）能够轻松地进行项目协作，并允许他们以统一的方式集体共享、编辑和评论文档。正如人们所说，权力越大，责任越大，但这当然不是我们可以指望的。现实情况是，员工通常不知道他们与谁共享文档，以及这些文档是否包含敏感信息。随着时间的推移，随着用户随意抛出不受限制的链接并将文件下载到他们的设备上，我们发现自己处于一种几乎不可能跟踪谁有权访问我们的敏感数据的情况。
Microsoft Office 365 中的文件共享系统
Office 365 依赖于两个无缝集成的平台来共享文件； SharePoint Online 和 OneDrive。 SharePoint Online 提供了用于共享文件的界面，而 OneDrive 用于存储数据本身。这两个平台都使用 Exchange Online 通过电子邮件共享信息，并使用 Azure AD 进行身份访问管理 (IAM)。
如何在 Office 365 中共享文件
要在 Office 365 中共享文件，您只需输入要与其共享文件的人员的姓名，允许编辑（如果需要），单击“复制链接”，然后将链接发送给您选择的任何人。还值得注意的是，管理员可以选择阻止下载，如果您不希望文件的多个副本分布在多个位置，这是一个好主意。
Office 365 为您提供内部和外部共享文件的选项：
如何内部共享文件：内部共享文件时，您只需将文件保存到您的 SharePoint 文件夹中，然后将自动生成的链接共享给相关方即可。
如何外部共享文件：外部共享文件也是如此，尽管管理员必须确保在允许外部共享之前仔细检查共享选项。例如，SharePoint 管理员能够阻止用户在外部共享文档，考虑到组所有者可以轻松地授予来宾访问 SharePoint 网站和 Teams 对话的权限，这通常是一个明智的选择。管理员可以通过 Azure AD 限制对 SharePoint 内容的访问、启用来宾访问，或与经过任何 Office 365 或 Microsoft 帐户身份验证的任何用户共享内容。
Microsoft 365 文件共享的最佳实践
Microsoft 365 的外部共享功能允许用户与组织外部的个人协作，而无需他们拥有批准的帐户。 SharePoint Online 和 OneDrive 是 Office 365 中的两个文件共享系统。它们协同工作以提供完整的文件共享功能。 OneDrive 充当存储，而 SharePoint 充当界面。 OneDrive 中存储的文档的链接实际上指向 SharePoint Online。用户可以选择共享整个团队、频道、站点或单个文件。然而，在 Office 365 中共享和协作可能会产生意想不到的后果，因为用户可能无法完全理解他们正在共享什么以及与谁共享。这可能会导致系统杂乱无章，无法不受限制地访问敏感数据。以下是在 OneDrive 和 SharePoint 中共享文件的一些最著名的最佳实践。
1.启用多重身份验证
多重身份验证 (MFA) 在增强 Office 365 中文件共享的安全性方面发挥着至关重要的作用，提供了额外的保护层以防止未经授权的访问。通过要求多种形式的身份验证来访问文件共享，MFA 可以有效防止密码泄露和网络钓鱼攻击。启用 MFA 后，系统会提示用户提供额外的身份验证因素，例如指纹扫描、发送到其移动设备的唯一代码或硬件令牌，确保只有拥有实际所有权或了解身份验证因素的授权个人才能进入。
2. 强制对 Office 365 数据进行最低特权访问
最小权限原则 (PoLP) 强调应仅向用户授予执行其工作职能所需的访问权限，从而增强数据的安全性。为此，建议根据用户帐户的工作职能（例如 IT、HR、财务、开发等）将用户帐户组织为组。应向这些组（而不是单个用户帐户）授予访问 Office 365 中数据的权限。此外，为每个组分配一个组所有者也很重要。此人将负责批准新的小组成员并定期审核小组。不应使用有限访问或仅查看权限。相反，非成员应根据文件共享规则向群组成员请求访问权限。此外，建议为面向公众的文档创建单独的公共 SharePoint 站点。将这些公共站点与您的团队站点分开以维护适当的组织和安全性非常重要。
3. 对 Office 365 中存储的敏感数据进行分类
发现任何个人身份信息 (PII)、受保护的健康信息 (PHI)、知识产权和任何其他类型的敏感数据并对其进行分类，以确保其安全，这一点至关重要。一旦您对数据进行了适当标记，您就可以验证它们的访问权限是否符合最小权限原则。标记数据还有助于安全工具将数据识别为敏感数据并进行相应处理。例如，此类工具可以自动加密敏感文件并实施策略以防止下载到非托管设备。
4. 防止下载到非托管设备
确保您的数据处于组织的控制范围内非常重要。实现此目的的一种方法是禁止将任何数据下载到不受 IT 团队管理的设备。但是，如果您拥有必要的授权，则可以通过非托管系统上的浏览器查看数据，但前提是需要链接并获得群组所有者的同意。
5. 限制和监控外部共享
在 Office 365 中，用户可以创建共享链接，并将其发送给其他人以访问同一文档。但是，必须小心谨慎，因为这些链接可能会被窃取或滥用，从而获得对文件或文件夹的未经授权的访问。为了确保您的数据安全，您应该采取某些措施。首先，您应该防止用户创建授予对多个文件（无论是内部还是外部）访问权限的文件夹共享链接。如果用户需要访问另一个组拥有的文件，他们应该向组所有者请求访问权限。仅允许非敏感文件进行外部共享。如果需要与第三方共享敏感文件，则应将其添加为 Azure AD 中的来宾，并应仔细控制其访问权限。由于这些来宾列在群组成员资格中，群组所有者可以定期审核该列表并删除任何不必要的用户。此外，建议为所有用户创建的链接设置一个有效期，通常为几天到一周。虽然这可能需要用户生成多个链接来协作处理一个文件，但它有助于防止指向数据的链接数量无休止地增长。通过允许这些链接自然过期，可以显着降低未经授权访问的风险。
6. 监控 Office 365 是否有未经授权的活动
您可以通过主动监控内部和外部各方可能进行的任何潜在违规或未经授权的活动来确保对 Office 365 的保护。 Lepide 数据安全平台旨在监控 Office 365（和其他平台），保护存储在 OneDrive、SharePoint 网站、Teams 和 Exchange Online 中的数据。它可以帮助您跟踪文件和文件夹活动的更改、组成员身份的修改、管理操作等。此外，您可以根据 GDPR、CCPA、HIPAA 和其他数据隐私法规对 Office 365 数据进行分类。它可以帮助建立一个允许批准、拒绝和管理数据访问的工作流程，最终将数据的真正托管权授予组所有者。 Lepide 还创建用户行为配置文件来检测 Office 365 内的任何异常活动，提供潜在内部或外部威胁的早期预警信号。
6. 监控 Office 365 是否有未经授权的活动
您可以通过主动监控内部和外部各方可能进行的任何潜在违规或未经授权的活动来确保对 Office 365 的保护。 Lepide 数据安全平台旨在监控 Office 365（和其他平台），保护存储在 OneDrive、SharePoint 网站、Teams 和 Exchange Online 中的数据。它可以帮助您跟踪文件和文件夹活动的更改、组成员身份的修改、管理操作等。此外，您可以根据 GDPR、CCPA、HIPAA 和其他数据隐私法规对 Office 365 数据进行分类。它可以帮助建立一个允许批准、拒绝和管理数据访问的工作流程，最终将数据的真正托管权授予组所有者。 Lepide 还创建用户行为配置文件来检测 Office 365 内的任何异常活动，提供潜在内部或外部威胁的早期预警信号。