SharePoint 是 Microsoft 365 中最強大的協作平台之一。團隊可利用它共同編輯文件、在組織內外分享資訊，以及儲存關鍵的企業資料。
然而，由於 SharePoint 已深度融入日常工作流程，它也常常面臨意外資料外洩、內部人員風險，以及存取權限設定錯誤等問題。
雖然 Microsoft 已為 SharePoint 提供強大的內建安全機制，但多數 SharePoint 的安全事件並不是因為系統漏洞被攻擊（雖然有時也可能發生）。通常是因為預設設定沒有調整、權限範圍過於寬鬆，或是分享機制缺乏適當的管控所導致。
本指南將介紹如何管理 SharePoint Online 的安全性以及相關的重要最佳實務。繼續閱讀，你將了解如何控管分享設定、強化權限管理，並保護整個 SharePoint 環境中的敏感資料。
SharePoint 的 安全性 有多高？
SharePoint Online 建立在 Microsoft 的企業級雲端基礎架構之上，並受益於同樣保護整個 Microsoft 365 與 Microsoft Azure 的安全投資。
在平台層級，Microsoft 主要負責以下安全項目：
🟦實體安全（Physical security）
🟦服務可用性（Service availability）
🟦資料靜態與傳輸中的加密（Encryption at rest and in transit）
🟦基礎威脅防護（Baseline threat protection）
然而，SharePoint 的安全性最終仍取決於實際的設定方式。大多數資料外洩事件並不是因為 Microsoft 平台被攻破，而是因為：
🟦外部分享設定過於開放
🟦權限直接指派給個別使用者，而不是透過群組進行管理
因此，正確的設定與權限治理，才是確保 SharePoint 環境安全的關鍵。
SharePoint 安全機制如何運作
SharePoint 的安全性是由多個彼此關聯的層級所構成，這些層級決定了誰可以存取內容、如何存取，以及可以執行哪些操作。
身分識別與驗證（Identity and Authentication）
每一次存取 SharePoint 的請求，都會先從身分識別與驗證開始。
SharePoint Online 依賴 Microsoft Entra ID（原稱 Azure AD）來驗證使用者身分，其中包含：
🟢組織內部員工
🟢外部來賓使用者
授權與權限（Authorization and Permissions）
當使用者通過身分驗證後，SharePoint 會進一步判斷他們可以執行哪些操作。
這是透過**權限（Permissions）**來管理的，例如決定使用者是否可以：
🟢檢視內容（Read）
🟢編輯內容（Edit）
🟢分享內容（Share）
🟢管理內容（Manage）
分享與協作控制（Sharing and Collaboration Controls）
分享設定決定了內容如何在組織內部與外部流動。
這些控制機制包括：
🟢整個租戶（Tenant）層級的外部分享設定
🟢網站（Site）層級的分享選項
🟢分享連結類型與連結到期政策
透過這些多層級的安全控制，企業可以在維持協作效率的同時，確保資料的安全與可控性。
管理 SharePoint Online 的安全性
SharePoint Online 的安全管理是一項共同責任，涉及多個角色，包括：
🟦Microsoft 365 管理員
🟦SharePoint 管理員
🟦網站擁有者（Site Owners）
🟦法遵與合規團隊（Compliance Teams）
多數安全問題並不是因為平台本身不夠安全，而是因為：
🟦團隊沒有調整預設設定
🟦使用了過於寬鬆的權限配置
🟦安全責任歸屬不清楚
在了解基本概念之後，接下來需要進一步思考如何有效管理 SharePoint Online 的安全性。需要注意的是，安全管理並不是一次性的工作，而是一個持續且永不停止的過程。
從租戶層級的安全設定開始
租戶層級（Tenant-level）設定定義了整個 SharePoint Online 環境的最外層安全邊界。這些設定會在整個環境中全域套用，因此應在使用者開始積極協作或分享資料之前先進行檢視與調整。
若要修改這些設定，可以進入 SharePoint Admin Center 進行管理。
開始操作：
1.前往 Microsoft 365 Admin Center，並使用你的公司或學校帳戶登入。
2.在左側導覽中前往 Admin centers → SharePoint。
3.此時你將進入 SharePoint Admin Center，在這裡可以設定與管理整個租戶（Tenant）層級的安全與分享政策。
設定租戶層級的分享政策
不受控的分享是 SharePoint 資料外洩最常見的原因之一。
在預設情況下，SharePoint 可能允許相當寬鬆的外部分享，甚至包含匿名存取連結。
若要管理分享設定，請前往 SharePoint Admin Center，然後進入：
Policies → Sharing
接著檢視 SharePoint 與 Microsoft OneDrive 的分享滑桿設定。
此滑桿決定了組織內外內容分享的範圍與方式。
如果你的目標是確保資料安全，這些設定必須經過明確且審慎的配置，而不是維持預設值。
套用進階外部分享控制
除了主要的分享滑桿設定之外，SharePoint 還提供更細緻的控制機制，以進一步降低安全風險。
依網域限制外部分享
你可以明確允許或封鎖特定的外部網域進行分享。操作方式如下：
1.前往 Policies → Sharing。
2.向下捲動到 More external sharing settings。
3.啟用 Limit external sharing by domain（依網域限制外部分享）。
接著選擇以下其中一種方式：
🟢Allow only specific domains（僅允許特定網域）
▪️建議用於與合作夥伴分享資料時使用。
🟢Block specific domains（封鎖特定網域）。
透過這種方式，可以更精準地控制資料分享對象，降低敏感資訊外洩的風險。
控制從裝置與位置存取 SharePoint
SharePoint Online 提供存取控制功能，可以限制使用者如何以及從哪裡存取內容。
設定存取控制政策
若要設定存取控制，請依照以下步驟操作：
1.前往 SharePoint Admin Center。
2.在功能選單中進入 Policies → Access control。
小心管理權限繼承
有些情況下，特定的文件庫或文件確實需要限制存取權限。
解除權限繼承的步驟：
1.前往需要設定的文件庫或文件。
2.開啟 Settings → Site Permissions（設定 → 網站權限）。
3.在 Permissions（權限） 選單中選擇 Stop inheriting permissions（停止繼承權限）。
4.如有需要，可移除預設群組（Default Groups）。
5.只新增需要存取該文件的使用者或群組。
控制使用者在網站層級的內容分享
SharePoint 允許網站擁有者（Site Owners）控制誰可以分享檔案、資料夾與整個網站。
為網站成員設定分享權限
操作步驟：
1.前往 Site Settings → Site Permissions → Site Sharing settings（網站設定 → 網站權限 → 網站分享設定）。
2.選擇以下其中一種分享權限：
🟢Owners and members can share everything
▪️網站擁有者與成員都可以分享所有內容。
🟢Only owners can share the entire site
▪️僅網站擁有者可以分享整個網站。
🟢Only owners can share files, folders, and the site
▪️只有網站擁有者可以分享檔案、資料夾與網站。
SharePoint 安全最佳實務
要確保 SharePoint 的安全，需要採取雙重策略：
1.保護 SharePoint 環境本身
▪️強化租戶層級（Tenant-wide）與網站層級（Site-level）的設定，控制存取與分享權限。
2.保護存放在 SharePoint 的資料
▪️對內容套用保護措施，確保資料無論被分享或移動到何處，都能持續受到安全控管。
這樣的雙管齊下策略能最大化防護，降低資料外洩與誤用風險。
將 SharePoint 環境本身保護起來
保護 SharePoint 環境，重點在於控制誰可以存取 SharePoint、如何存取，以及預設的分享行為。這些控制措施構成了你 SharePoint 安全策略的基礎。
遵循以下最佳實務，來加強 SharePoint 的安全性：
1.檢視並強化租戶層級的分享設定
租戶層級分享設定是 SharePoint Online 的第一道安全防線，決定整個環境中可允許的最高分享範圍。
將這些設定維持預設值，是資料外洩最常見的原因之一。
實作方式：
1.開啟 SharePoint Admin Center。
2.前往 Policies → Sharing（政策 → 分享）。
3.檢視 SharePoint 與 OneDrive 的外部分享滑桿設定。
最佳實務：
🟢盡可能避免使用匿名「Anyone」連結。
🟢優先與已驗證的外部來賓（Authenticated External Guests）分享。
🟢將 OneDrive 的分享設定與 SharePoint 對齊，以避免安全漏洞。
2.依網域與安全群組限制外部分享
並非所有外部協作都具有相同的風險程度。SharePoint 允許你控制誰可以分享以及分享對象是誰。
實作方式：
🟢設定允許或封鎖的外部網域。
🟢將外部分享權限限制在指定的安全群組（Security Group）內。
🟢要求外部分享連結設定到期時間。
3.控制來自未受管理的裝置與位置的存取
從未受管理或不安全的裝置存取 SharePoint，會大幅增加風險。
實作方式：
1.開啟 SharePoint Admin Center。
2.前往 Policies → Access control（政策 → 存取控制）。
3.設定以下項目：
▪️未受管理裝置的存取限制。
▪️非活動狀態自動登出。
▪️允許存取的網路位置。
▪️基於應用程式的存取限制。
透過這些控制，可以有效降低因裝置或位置不安全而造成的資料外洩風險。
4.使用 SharePoint 群組而非單一使用者權限
在使用者層級管理權限很快就會變得難以維護，且增加風險。
最佳實務：
🟢使用 SharePoint 預設群組（Owners、Members、Visitors）。
🟢將 Microsoft 365 或 Entra ID 安全群組新增至 SharePoint 群組中。
🟢避免直接將權限分配給單一使用者。
透過群組管理權限，可以簡化管理流程並降低誤用或外洩風險。
保護存放在 SharePoint 的資料
在鎖定環境之後，下一個重點是保護資料本身。這些最佳實務著重於防止未授權存取、意外外洩、刪除或資料外流（data exfiltration）。
5.使用結構化存取保護敏感文件
敏感內容不應該存放在一般用途的文件庫中。
最佳實務：
🟢將敏感檔案存放在專用文件庫。
🟢使用 SharePoint 群組限制存取權限。
🟢啟用敏感文件庫與清單的**內容核准（Content Approval）**功能。
6.重新評估預設的「組織內人員」連結
整個組織的分享連結可能會將內容暴露給比預期更廣的範圍。
最佳實務：
🟢評估組織範圍的連結是否適合各使用案例。
🟢對機密內容使用更嚴格的連結類型。
🟢分享時鼓勵有意識地選擇連結類型。
這些做法能降低敏感資料被不當分享或意外外洩的風險。
7.套用敏感性標籤（Sensitivity Labels）與資料防洩（DLP）
僅靠權限不足以保護敏感資訊。
最佳實務：
🟢對 SharePoint 檔案套用 Microsoft 365 敏感性標籤。
🟢使用加密、水印、頁首與頁尾保護文件。
🟢部署 DLP（Data Loss Prevention）政策，以偵測並限制敏感資料的分享。
8.為勒索軟體與惡意行為做準備
雲端平台也可能遭遇勒索軟體或惡意事件。
最佳實務：
🟢監控異常檔案活動或大量變更。
🟢若懷疑勒索軟體，立即停止同步活動。
🟢準備快速還原受影響的內容。
這些措施能幫助你降低資料遺失或遭惡意攻擊的風險。
總結：如何強化 SharePoint 安全性
即使 SharePoint 已有完善的設定，資料仍可能因使用者操作失誤、勒索軟體或惡意行為而遺失。原生的資源回收桶與保留政策存在限制，並非設計用於快速且精細的資料還原。
如果你希望進一步鎖定 SharePoint 環境，雅閣科技可以提供協助。
雅閣科技為整個 Microsoft 365 生態系統（包含 SharePoint Online）提供額外的保護層，包括自動備份、快速還原，以及安全洞察。
Comments are closed, but trackbacks and pingbacks are open.