7 faiblesses structurelles exposent votre assurabilité Microsoft 365.

L'exposition : la prise de contrôle d'un compte est la porte d'entrée la plus courante d'une attaque ; c'est le seul thème où un effort limité ferme une classe entière de risques d'un coup.
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : S'assurer que l'authentification multifacteur est activée pour tous les utilisateurs ; La MFA DOIT être imposée pour tous les utilisateurs ; S'assurer que le flux de consentement administrateur est activé ; Activer les stratégies de risque de connexion d'Identity Protection.
Ce que l'audit a relevé : Une politique Identity Protection sur le risque de connexion doit être activée pour exiger le MFA (ou bloquer) sur les connexions à risque élevé. Activer le flux de consentement administrateur dans Entra ID pour qu'une demande d'accès bloquée côté utilisateur soit routée vers un réviseur plutôt que simplement rejetée sans suite. Une politique Identity Protection sur le risque utilisateur doit être activée pour exiger un changement de mot de passe (ou bloquer) lorsqu'un compte est évalué à risque élevé.

L'exposition : une suppression massive, un rançongiciel, la perte d'un administrateur unique ou une dépendance externe non maîtrisée peut interrompre l'activité sans retour arrière possible. La sauvegarde restaurable est le point vital de ce pilier : Microsoft 365 n'en fournit pas nativement, et elle mérite une vérification dédiée (cet audit mesure les dépendances de configuration ; la couverture de sauvegarde elle-même reste à contrôler).
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : S'assurer que les utilisateurs sont empêchés de récupérer les clés BitLocker.
Ce que l'audit a relevé : Restreindre l'accès en libre-service aux clés de récupération BitLocker stockées dans Entra ID, afin qu'un utilisateur standard ne puisse pas récupérer la clé de déchiffrement d'un poste autre que le sien sans validation du support. Inventorier et documenter les paramètres d'accès inter-tenants configurés avec des tenants Entra partenaires comme dépendances de continuité échappant au contrôle de l'entreprise.

L'exposition : sans détection active ni journal complet, une attaque peut réussir sans être bloquée, ni repérée à temps, ni prouvée après coup : un handicap direct en cas de sinistre, de contrôle réglementaire ou de dossier d'assurance.
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : L'action pour le spam à haut niveau de confiance (High Confidence Spam) est définie sur Mettre le message en quarantaine ; Les liens sûrs (Safe Links) ne sont pas contournés ; Le niveau de seuil du filtre anti-hameçonnage avancé (Advanced Phish filter) est adéquat ; L'action en cas d'usurpation de domaine (Domain Impersonation) est définie sur déplacer vers la quarantaine.
Ce que l'audit a relevé : Inclure tous les utilisateurs dans la protection Defender for Office 365 via le preset de sécurité Standard ou Strict. Définir des limites de messages sortants (limite de débit par destinataire, en interne et externe) dans la politique anti-spam sortante pour limiter les comptes compromis. Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Durée de rétention en quarantaine portée à 30 jours ».

L'exposition : une donnée qui quitte l'entreprise sans garde-fou est le vecteur de fuite le plus banal, et le plus coûteux en image comme en réglementaire.
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : S'assurer que les stratégies d'étiquettes de confidentialité Information Protection sont publiées ; S'assurer que le partage de contenu OneDrive est restreint ; Une solution de prévention des pertes de données (DLP) DOIT être utilisée ; L'action de la politique personnalisée DEVRAIT être configurée pour bloquer le partage d'informations sensibles avec tout le monde.
Ce que l'audit a relevé : Publier au moins une politique d'étiquettes de sensibilité (sensitivity labels) auprès des utilisateurs ou groupes cibles, afin de permettre la classification et la protection des documents selon leur niveau de confidentialité. Restreindre le partage de contenu OneDrive au niveau le plus restrictif approprié (au plus 'Invités existants'), sachant qu'OneDrive peut être plus restrictif que SharePoint mais jamais plus permissif. Mettre en place une solution de prévention des pertes de données (DLP) couvrant Exchange Online.

L'exposition : un écart non documenté devient opposable lors d'un contrôle RGPD ou NIS2, ou d'une demande d'un donneur d'ordre ; l'absence de preuve coûte plus que l'écart lui-même.
Aujourd'hui : Sur ce thème, 5 réglages mesurés ne sont pas conformes ; le détail, référence par référence, figure dans l'inventaire détaillé.
Ce que l'audit a relevé : Désigner des adresses et numéros de contact dédiés aux notifications de sécurité et de conformité (securityComplianceNotificationMails/Phones), canal opérationnel en cas de violation de données. Renseigner le profil de confidentialité (privacyProfile) du tenant avec une adresse de contact et une URL vers la politique de confidentialité, information exigée dans les mentions aux personnes concernées. Restreindre le niveau de partage externe SharePoint/OneDrive (sharingCapability) et les domaines autorisés pour limiter l'exposition non maîtrisée de données à caractère personnel à des tiers.

L'exposition : sans gouvernance, les droits et les comptes s'accumulent en silence et alimentent à la fois le risque de sécurité, le gaspillage et la non-conformité.
Aujourd'hui : Sur ce thème, 2 réglages mesurés ne sont pas conformes ; le détail, référence par référence, figure dans l'inventaire détaillé.
Ce que l'audit a relevé : Activer le workflow de demande de consentement administrateur et désigner les réviseurs chargés d'approuver ou refuser les demandes d'accès des applications, afin d'établir un circuit de décision au lieu de laisser les demandes bloquées. Assigner aux groupes Microsoft 365 une classification de sensibilité et/ou un label de sensibilité (Purview), et rendre cette métadonnée obligatoire à la création, afin que chaque groupe porte son niveau de sensibilité.

L'exposition : une base non durcie élargit la surface d'attaque en silence, sans alerte visible.
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : S'assurer que les comptes prioritaires bénéficient des paramètres prédéfinis de protection stricte (Strict protection) ; S'assurer que la synchronisation OneDrive est restreinte pour les appareils non gérés ; Les utilisateurs détectés comme à risque élevé DOIVENT être bloqués ; La protection contre l'usurpation d'utilisateur DEVRAIT être activée pour les comptes sensibles dans les politiques standard et stricte.
Ce que l'audit a relevé : Sensibiliser les utilisateurs aux bonnes pratiques élémentaires (hameçonnage, gestion des mots de passe, MFA, signalement) par des campagnes récurrentes et des simulations ; mesure principalement organisationnelle. Appliquer le preset de protection Strict aux comptes prioritaires pour leur garantir le niveau de filtrage le plus élevé. Bloquer la synchronisation OneDrive depuis les appareils non gérés via une politique d'accès conditionnel (AllowLimitedAccess) limitant l'accès au web sans téléchargement/synchronisation.