Sécuriser Microsoft 365 : les contrôles à faire en priorité
Sécuriser Microsoft 365, c'est contrôler les identités, les droits d'administration, les partages et la capacité à récupérer ses données. Commencez par vérifier les réglages réellement appliqués, puis traitez les exceptions avec un responsable et une échéance.
L’essentiel
- Vérifiez la couverture de la double authentification, compte par compte, et les comptes d'administration.
- Séparez les comptes d'administration des comptes de travail quotidiens, et prévoyez un accès d'urgence documenté.
- Maîtrisez les partages externes, les invités et les applications autorisées à lire vos données.
- Conserver n'est pas sauvegarder : la rétention de Microsoft 365 ne remplace pas une sauvegarde restaurable.
Sommaire de l’article
Microsoft 365 concentre la messagerie, les fichiers, les agendas et souvent l'annuaire de l'entreprise. Un compte compromis donne donc accès à beaucoup. La bonne nouvelle : la plupart des protections existent déjà dans l'abonnement, encore faut-il qu'elles soient activées et vérifiées.
Par où commencer ?
Par les comptes et l'authentification : qui peut se connecter, avec quelle méthode, à quoi. Recensez les utilisateurs actifs, les anciens comptes et les identités d'administration. Contrôlez les réglages appliqués dans votre environnement, plutôt que de déduire la protection du nom de l'abonnement.
- La double authentification Activée pour tous, sans exception oubliée.
- Les comptes d'administration Peu nombreux, séparés, surveillés.
- Les partages et invités Revus, avec un propriétaire par espace.
- La messagerie Règles de transfert, délégations, boîtes partagées.
- La récupération Une sauvegarde testée, distincte de la rétention.
Comment généraliser la double authentification ?
Par les paramètres de sécurité par défaut, ou par des stratégies d'accès conditionnel selon vos licences. Microsoft documente les deux mécanismes : les paramètres de sécurité par défaut, gratuits et simples, et l'accès conditionnel, plus fin, inclus notamment dans Microsoft 365 Business Premium.
Paramètres de sécurité par défaut
- Inclus dans tous les abonnements
- Activation en quelques minutes
- Peu de nuances selon le contexte
Accès conditionnel
- Règles selon l'utilisateur, l'appareil, le lieu
- Blocage des connexions à risque
- Nécessite une licence Entra ID P1 ou plus
Faites valider le scénario avant de changer une politique qui pourrait empêcher des utilisateurs, ou des administrateurs, de se connecter. Privilégiez une application d'authentification ou une clé de sécurité plutôt que le SMS, comme le recommande l'ANSSI.
Comment limiter les droits d'administration ?
Peu d'administrateurs, des rôles ajustés aux tâches, des comptes séparés du travail quotidien. Les opérations courantes ne nécessitent pas toutes l'administration globale.
- Utilisateurs Travail quotidien, aucun droit d'administration.
- Rôles délégués Support, gestion des licences ou de la messagerie, selon la tâche.
- Administrateurs globaux Deux ou trois comptes nominatifs, dédiés, surveillés.
- Accès d'urgence Un compte de secours documenté, pour ne jamais perdre la main.
L'accès d'urgence se conçoit avec un spécialiste, se documente et se surveille : son existence ne doit pas devenir une exception invisible. Vérifiez aussi que l'entreprise peut reprendre la main si son interlocuteur habituel est absent, un point clé lors d'un changement de prestataire.
Comment maîtriser les partages et les accès externes ?
En donnant un propriétaire à chaque espace sensible et en revoyant les invités à la fin des projets. La collaboration laisse des accès ouverts longtemps après qu'ils ont cessé d'être utiles.
| Contrôle | La question opérationnelle |
|---|---|
| Invités | Le partenaire travaille-t-il encore avec nous ? |
| Liens de partage | Le document est-il ouvert au bon public, et pour combien de temps ? |
| Propriétaires | Qui valide les accès de cet espace ? |
| Applications | Qui a autorisé cette application à lire nos données, et pourquoi ? |
| Règles de transfert | Une boîte envoie-t-elle des copies à une adresse extérieure ? |
Microsoft 365 sauvegarde-t-il mes données ?
Microsoft garantit la disponibilité du service, pas la restauration de vos erreurs. Les mécanismes de rétention et la corbeille aident, mais ne couvrent ni tous les scénarios, ni toutes les durées.
Rétention Microsoft 365
- Garde des éléments selon des règles
- Restauration en masse laborieuse
- Ne protège pas d'une suppression malveillante par un administrateur
Sauvegarde dédiée
- Copie hors du compte Microsoft
- Restauration ciblée, à une date choisie
- Testable et prouvable
Écrivez les scénarios à couvrir : suppression accidentelle, compte compromis, restauration d'un dossier entier. Puis testez. Notre méthode de test de restauration aide à vérifier le résultat attendu et à garder une preuve.
Questions fréquentes
Une licence plus complète suffit-elle à sécuriser l'environnement ?
Non. Les fonctions doivent être configurées, suivies et adaptées aux usages. Vérifiez les réglages avant de changer d'offre.
Peut-on tout modifier en une fois ?
Un déploiement progressif permet de vérifier les effets sur les utilisateurs et les applications, et d'éviter de bloquer des connexions légitimes.
Le SMS est-il une double authentification suffisante ?
C'est mieux que rien, mais une application d'authentification ou une clé de sécurité résistent mieux au détournement. À privilégier pour les administrateurs.
Que faire si un compte est compromis ?
Réinitialiser le mot de passe, révoquer les sessions, vérifier les règles de transfert et les applications autorisées, puis chercher ce qui a été lu ou envoyé. Si des données personnelles sont concernées, la notification à la CNIL peut s'imposer sous 72 heures.
