Một tenant email khỏe không chỉ là tenant có policy mạnh. Nó còn là tenant có quy trình vận hành rõ: thư nào bị quarantine, ai được phép release, báo cáo phishing đi đâu, và khi nào gửi submission để Microsoft phân tích. Nếu không có quy trình, đội IT sẽ bị kéo vào các việc lặp đi lặp lại nhưng vẫn không cải thiện được chất lượng lọc.
Quarantine không phải là "thùng rác"
Quarantine là vùng kiểm soát an toàn cho email, file hoặc tin nhắn có rủi ro. Nó cho phép admin và trong một số trường hợp người dùng xem, release, block hoặc báo cáo lại. Với Teams, Microsoft hiện vẫn xử lý theo hướng rất bảo thủ để bảo vệ tenant khỏi nội dung độc.
Submissions là nơi admin gửi email, URL, attachment hoặc nội dung bị người dùng báo cáo tới Microsoft để phân tích. Còn User Reported Messages giúp người dùng biến cảm giác "hơi lạ" thành tín hiệu có cấu trúc, để SOC có thể triage thay vì chỉ nghe mô tả miệng.
Quy trình vận hành gợi ý
| Bước | Ai làm? | Mục tiêu |
|---|---|---|
| Người dùng report | User | Đưa nội dung nghi ngờ vào dòng xử lý chính thức. |
| Admin review | IT/SOC | Xác minh false positive hay mối đe dọa thật. |
| Submission | Admin/SOC | Gửi mẫu nghi ngờ cho Microsoft phân tích. |
| Remediation | IT/SOC | Release, block, purge hoặc điều chỉnh policy. |
Giá trị cho doanh nghiệp
- Giảm thời gian xử lý sự cố lặp lại vì có một đường phản hồi chuẩn.
- Chuyển tri thức từ người dùng và admin thành policy có thể cải tiến.
- Giúp SOC nhìn được xu hướng spam/phishing thay vì chỉ thấy từng email riêng lẻ.
Checklist triển khai
- Bật user reported settings và chọn mailbox/reporting workflow phù hợp.
- Định nghĩa ai được release email từ quarantine và trong trường hợp nào.
- Thiết lập quy trình submissions cho spam, phish, URLs, attachments và Teams nếu có Plan 2.
- Theo dõi email security reports và user reported messages định kỳ.
Sai lầm thường gặp
- Để người dùng tự release toàn bộ email bị quarantine mà không kiểm soát.
- Không có mailbox xử lý report nên báo cáo bị rơi vào hố đen.
- Không ghi lại kết quả triage nên lặp lại đúng một lỗi nhiều lần.
