لا تقرأ البريد بحساب المسؤول

مدير التقنية لديه حساب واحد. يقرأ به البريد، ويتصفح الويب، وينضم إلى الاجتماعات، وهو مسؤول عام في Microsoft 365 ومسؤول نطاق على الخوادم. ضغطة تصيد واحدة، أو مرفق خبيث واحد، ويحصل المهاجم على كل ذلك.

الفصل بينها من أرخص التحسينات الكبيرة التي أعرفها:

• حساب عادي للعمل اليومي، دون صلاحيات إدارة.
• حساب مسؤول منفصل، يُستخدم فقط لمهام الإدارة، دون صندوق بريد ودون تصفح ويب.
• تحقق متعدد العوامل مقاوم للتصيد على حساب المسؤول، والسماح بالدخول فقط من أجهزة مُدارة إن استطعت.
• للخوادم، حساب مسؤول مختلف أيضًا، حتى لا يمنحك اختراق السحابة النطاق، أو العكس.

نعم، هذا أقل راحة قليلًا. وهذا هو المقصود. حساب المسؤول يجب أن يكون كإخراج المفاتيح من الدرج.