Un tenant Microsoft 365 n'est pas sécurisé du seul fait d'activer la MFA pour certaines personnes. La base minimale combine des identités protégées, des administrateurs séparés, Security Defaults ou Conditional Access, le blocage de l'authentification héritée, des appareils gérés, la protection du courrier électronique, des autorisations de partage maîtrisées, l'audit, la récupération et des sauvegardes alignées sur l'activité de l'entreprise.
Inventaire initial
- Domaines
- Licences
- Utilisateurs
- Invités
- Administrateurs
- Boîtes aux lettres partagées
- Groupes
- Applications d'entreprise
- Appareils
- Règles de messagerie
- SharePoint/Teams
- Sauvegardes et rétention
Il convient de vérifier les comptes inactifs et les privilèges existants avant d'ajouter de nouveaux contrôles.
MFA et accès conditionnel
Microsoft recommande de conserver Security Defaults, sauf s'il est remplacé par des stratégies de Conditional Access. Les deux ne doivent jamais être désactivés en même temps.
Priorité :
- MFA pour toutes les personnes.
- Méthodes résistantes au phishing pour les administrateurs et les profils à risque élevé.
- Bloquer l'authentification héritée.
- Stratégies par risque, localisation et appareil.
- Comptes d'urgence contrôlés.
Les comptes break-glass sont surveillés et testés ; ils ne sont pas utilisés au quotidien.
Administrateurs
- Compte distinct du compte de travail habituel
- Nombre minimal de Global Admin
- Rôles spécifiques
- Activation temporaire avec PIM si disponible
- MFA renforcée
- Alertes
- Revue mensuelle
Un compte d'administrateur ne doit jamais être partagé avec un prestataire.
Arrivées, mutations et départs
Le cycle doit intégrer les ressources humaines :
- Création avec un rôle minimal
- Licence et groupes
- Appareil
- Changement de poste
- Révocation immédiate
- Transfert contrôlé
- Fermeture des sessions/jetons
- Conservation et suppression
Un départ ne se limite pas au blocage de la connexion.
Messagerie
Principales menaces : phishing, BEC, malware et règles malveillantes.
Contrôles :
- SPF, DKIM et DMARC
- Protection anti-hameçonnage
- Safe Links/Attachments selon la licence
- Blocage du transfert automatique externe
- Alertes sur les règles
- Revue des boîtes aux lettres partagées
- Formation et canal de signalement
Les changements d'IBAN sont toujours vérifiés par un canal indépendant.
Applications OAuth
Il convient de vérifier le consentement des applications, leurs autorisations et leur éditeur. Il est possible de bloquer le consentement large de la part des utilisateurs ou de mettre en place un circuit d'approbation.
Il est nécessaire d'inventorier les service principals, les secrets, les certificats et leur usage, et de révoquer les applications sans propriétaire.
SharePoint, OneDrive et Teams
- Partage externe en fonction du besoin
- Liens avec date d'expiration
- Éviter « toute personne disposant du lien » par défaut
- Groupes, et non des autorisations individuelles
- Propriétaires de sites
- Revue des invités
- Étiquettes de confidentialité
- DLP le cas échéant
- Cycle de vie de Teams
La facilité de partage ne justifie pas un accès illimité dans le temps.
Appareils
Avec Intune ou un autre outil de gestion :
- Chiffrement
- Code PIN/biométrie locale
- Correctifs
- Antivirus/EDR
- Verrouillage
- Effacement à distance
- Conformité
- Restriction des appareils non gérés
Le BYOD exige de séparer les données de l'entreprise des données personnelles.
Protection des données et rétention
Il faut définir ce qui doit être conservé ou supprimé. Les stratégies de rétention servent la conformité et le cycle de vie de l'information ; elles ne doivent pas être confondues avec une stratégie de sauvegarde complète.
Des étiquettes, l'eDiscovery et l'audit sont appliqués selon le besoin et la licence disponible.
Sauvegardes et récupération
Microsoft 365 Backup offre une protection pour SharePoint, OneDrive et Exchange, et il existe des solutions tierces associées. L'entreprise doit définir :
- Charges couvertes
- RPO/RTO
- Rétention
- Immuabilité
- Restauration granulaire/massive
- Comptes et clés
- Tests
- Coût
La corbeille ou le versionnage ne remplacent pas nécessairement une sauvegarde préparée pour des scénarios de ransomware et de suppression accidentelle.
Secure Score
Secure Score aide à mesurer la posture de sécurité et à prioriser les recommandations. Ce n'est ni une certification ni une garantie de sécurité. Chaque action est évaluée en fonction de l'activité de l'entreprise, et le risque accepté est documenté le cas échéant.
Il s'utilise comme une tendance, non comme un objectif d'atteindre 100 %.
Audit et alertes
Il convient de surveiller :
- Connexion impossible ou à risque
- Création d'un administrateur
- Consentement OAuth
- Règles de boîte aux lettres
- Transfert
- Téléchargement massif
- Partage public
- Changement de stratégie
- Utilisation des comptes break-glass
Chaque alerte doit avoir un responsable et une procédure associée.
Prestataires
Si un MSP administre le tenant :
- Comptes nominatifs
- Rôles minimaux
- Accès délégué contrôlé
- MFA
- Journaux
- SLA
- Incidents
- Départ
- Contrat de sous-traitance
Le prestataire ne doit pas opérer avec des identifiants clients partagés.
Plan sur 30 jours
Semaine 1
Inventaire, administrateurs, MFA et authentification héritée.
Semaine 2
Messagerie, OAuth, invités et partage.
Semaine 3
Appareils, rétention, sauvegardes et alertes.
Semaine 4
Tests, incidents, documentation et formation.
Erreurs fréquentes
- Désactiver Security Defaults sans mettre en place Conditional Access.
- Administrer avec le compte d'usage quotidien.
- MFA uniquement par SMS pour les administrateurs.
- Transfert automatique externe activé.
- Applications OAuth non vérifiées.
- Liens anonymes sans date d'expiration.
- Invités permanents.
- Confondre la rétention avec la sauvegarde.
- Ne pas tester la restauration.
- MSP avec un compte partagé.
Liste de contrôle
- Inventaire
- MFA/Conditional Access
- Administrateurs séparés
- Authentification héritée bloquée
- Messagerie et domaines
- OAuth
- SharePoint/Teams
- Appareils
- Rétention et sauvegardes
- Alertes, prestataires et incidents
Questions fréquentes
Security Defaults ou Conditional Access ?
Security Defaults constitue une base simple ; Conditional Access permet des stratégies avancées. On ne désactive pas l'un sans mettre en place l'autre.
Secure Score démontre-t-il la conformité ?
Non. Il aide à prioriser la posture de sécurité, mais nécessite une analyse et des preuves supplémentaires.
Microsoft effectue-t-il des sauvegardes ?
Il existe Microsoft 365 Backup et d'autres solutions associées. L'organisation doit configurer la couverture et tester la récupération.
Summum Sistemas peut auditer et appliquer une base de référence proportionnée aux licences et au risque de chaque organisation.