Office 365 tai Microsoft 365 terveystarkastus (2021 poistuvat protokollat)

Office 365 tai Microsoft 365 on Microsoftin tarjoama pilvipalvelu, joka tarjoaa yritykselle lukuisia sähköisen viestinnän välineitä (esim. sähköpostin). Vuonna 2020 julkaistujen laajennusten myötä, Office 365 tuotteet ovat käytännössä alkaneet kulkemaan uudella nimellä: Microsoft 365. Merkittävä osa suomalaisista organisaatioista nojaa viestinnässään juuri tähän palveluun.

Microsoftin pilvipalveluiden sisältö, tietoturva-asetukset ym. ovat kuitenkin asiakkaan itsensä vastuulla, samalla ne päivittyvät jatkuvasti itsestään. Asiakkaan oman ympäristön tilanne tulisi tarkastaa huolellisesti esimerkiksi puolen vuoden välein. Englanniksi tällaista tarkastusta kutsutaan nimellä ”health check”.

Microsoftin pilvipalvelut päivittyvät automaattisesti, mitä tämä tarkoittaa yrityksellesi?

Palvelun osalta on tärkeää ymmärtää, että se todella päivittyy jatkuvasti ja itsestään. Yritysympäristöihin Microsoft ei kuitenkaan yleensä aja näitä uusia asetuksia tai ominaisuuksia ns. ”asiakkaan ohi”. Siksi esimerkiksi vuonna 2015 käyttöön otetussa palvelussa kaikki asetukset ovat edelleen vuoden 2015 asennossa, mikäli ylläpitotoimenpiteitä ei ole tehty. Vanhentuneet asetukset asettavat yrityksesi alttiiksi tietoturvaloukkauksille.

Vuonna 2021 terveystarkastuksesta tulee entistäkin tärkeämpää. Palvelusta tullaan ensikertaa ottamaan joitakin vanhentuneita toimintoja pois. Näitä ominaisuuksia käyttäviltä organisaatioilta lähtee matto jalkojen alta, sillä toimintojen poistumista asiakkaat eivät voi mitenkään estää. Poistuvat ominaisuudet vaikuttavat erityisesti mobiililaitteiden käytettävyyteen, monitoimilaitteiden (printterit ja skannerit) käytettävyyteen ja kaikkiin sähköpostia käyttäviin liitännäisiin järjestelmiin. Jos teillä on käytössä järjestelmä, joka lähettää asiakkaillenne sähköpostia, nyt olisi viimeistään aika tarkastaa vaikuttaako mainitut muutokset myös teidän toimintaan.

Ostin Office 365 tai Microsoft 365 pilvipalvelun palveluntarjoajalta – Eikö palveluntarjoajani huolehdi tietoturvasta ja -suojasta ja siitä että muut järjestelmät toimivat palvelun kanssa yhteen?

Office 365 tai Microsoft 365 ympäristön asetuksista, integraatiosta ja sen sisällä olevista tiedoista on vastuussa asiakas itse. Microsoft vastaa puolestaan esimerkiksi laitteista, joilla palvelu toteutetaan.

Mitä vähintään kannattaa tehdä?

Jatkuvuuden varmistamisen osalta nyt kannattaa välittömästi varmistaa vähintään nämä kolme asiaa (toimenpiteet vaativat ylläpitäjän admin-tunnukset):

Mene ensin osoitteeseen https://protection.office.com/homepage – täällä valitse vasemman laidan valikosta ”postinkulku” ja ”koontinäyttö”. Koontinäytöllä näet kohdan ”SMTP todennusta käyttävät ohjelmat”.

SMTP todennusta käyttävien ohjelmistojen raportti
Kuva1, kuvakaappaus postinkulun koontinäytöltä.

Kuvassa näkyvä numero on linkki, jota klikkaamalla saat SMTP-todennusta käyttävistä ohjelmista lisätietona käytetyt TLS protokollat.

Käytetyt TLS protokollat. Kuvassa käytössä poistuva TLS 1.1.
Kuva2, SMTP-todennusta käyttävät ohjelmistot Office 365 tai Microsoft 365 ympäristössä

Microsoft on ilmoittanut Office 365:n hallintaportaalissa poistavansa TLS 1.0 ja TLS 1.1 protokollat käytöstä jo lokakuussa 2020 (https://docs.microsoft.com/en-us/microsoft-365/compliance/tls-1.0-and-1.1-deprecation-for-office-365?view=o365-worldwide). Microsoft on kuitenkin monen onneksi lykännyt tätä päätöstä Covid-19 kriisin vuoksi. Mikäli käytössänne on kyseisiä protokollia käyttäviä ohjelmistoja, näiden toiminta on kuitenkin edelleen vaarassa päättyä ”varoittamatta” ja hyvinkin nopealla aikataululla. Pienimmillään liiketoiminnalle aiheutuneet häiriöt ovat luokkaa ”monitoimilaite lakkaa toimimasta”, suurimmillaan koko asiakasviestintä häiriintyy.

Toinen tärkeä tarkastettava asia on vuonna 2021 poistuvat kirjautumisprotokollat. Microsoft on uutisoinut ja tiedottanut asiasta (kaikessa hiljaisuudessa) täällä: https://techcommunity.microsoft.com/t5/exchange-team-blog/basic-auth-and-exchange-online-february-2020-update/ba-p/1191282

Viimeisin uutinen tämän osalta on että mikään ns. vanhoista autentikaatiotavoista ei toimi enää loppuvuodesta 2021. Samoin tässä alkuperäistä aikataulua on siirretty vuodella. Todettakoon että monen onneksi, sillä erittäin suuri osa kolmannen osapuolen ohjelmistoja käyttää nimenomaan näitä poistuvia ”perinteisiä protokollia” toimiakseen. Usein esimerkiksi IT-palveluntarjoajien ServiceDesk-järjestelmät ovat rakennettu juuri näiden protokollien varaan.

Entä Microsoftin vastuu liitännäisten toiminnasta heidän ympäristössään? Microsoftin kommentit vahvasti kritisoituunkin aiheeseen on lyhyt viittaus blogikirjoituksessa: ”What about 3rd party apps that integrate with your email, and use POP or IMAP to access a mailbox you have in Exchange Online? First port of call should be to speak to that vendor and ask what their plans are. ” – Soita ohjelmistotoimittajalle ja vaadi muutosta.

Poistuvien kirjautumisprotokollien käytön voit varmistaa täältä: https://admin.microsoft.com/Adminportal/Home?#/reportsUsage/EmailClients

Valitse suodatuksen ylävalikosta ”sovellukset”.

Kuvakaappaus Exchange client-sovellusten käytöstä.
Kuva 3, sovellukset käyttöraportti

Kolmantena asiana kannattaa tarkastaa monivaiheisen tunnistautumisen tilanne organisaatiossanne. Monivaiheinen tunnistautumisen osalta usein organisaation ulkopuoliset käyttäjät, konsulttien käyttämät sisäiset tilit ja yhteiskäyttöiset tilit ovat usein jääneet alttiiksi myös kaikista yleisimmille tietoturvahyökkäyksille.

Monivaiheisen tunnistautumisen osalta tilanteen voit tarkastaa täältä: https://account.activedirectory.windowsazure.com/UserManagement/MultifactorVerification.aspx?BrandContextID=O365

Mikäli kaipaat kattavaa Office 365 tai Microsoft 365 -ympäristön terveystarkastusta, tai apua ympäristönne ongelmakohtien ratkaisemiseen, jätä yhteystietosi oikean alakulman chatin kautta.