Contenu préparé par l’équipe Cybeary à partir de situations rencontrées auprès de TPE, PME, cabinets et collectivités.
Microsoft 365 concentre la messagerie, les identités, les documents et une partie des échanges de l’entreprise. Lorsqu’un compte est compromis, l’attaquant peut lire des conversations, créer des règles de transfert, usurper un collaborateur ou accéder à des fichiers partagés. La priorité est donc de protéger les identités avant d’ajouter des outils complexes.
Activer le MFA pour tous les comptes
L’authentification multifacteur réduit le risque qu’un mot de passe volé suffise à ouvrir une session. Elle doit couvrir les utilisateurs, mais aussi les administrateurs et les comptes moins visibles. Les méthodes résistantes au phishing, comme les clés de sécurité ou les mécanismes sans mot de passe compatibles, sont à privilégier pour les comptes les plus sensibles.
Le déploiement doit inclure une procédure d’enrôlement, la gestion des téléphones perdus, les comptes de secours et la suppression des anciennes méthodes devenues inutiles. Un MFA activé mais mal administré peut créer de nouvelles possibilités de contournement.
Séparer les comptes administrateurs
Un administrateur ne devrait pas utiliser son compte privilégié pour lire ses e-mails ou naviguer au quotidien. Un compte distinct limite l’exposition et rend les actions d’administration plus faciles à suivre. Le nombre d’administrateurs globaux doit rester limité, avec des rôles moins puissants attribués lorsque cela suffit.
- Créer un compte nominatif dédié à l’administration.
- Retirer les droits qui ne sont plus nécessaires.
- Contrôler régulièrement la liste des rôles privilégiés.
- Protéger les comptes de secours et tester leur disponibilité.
- Documenter les interventions réalisées par les prestataires.
Maîtriser les accès et les appareils
Les règles d’accès conditionnel permettent d’adapter les contrôles selon le niveau de risque, le pays, l’appareil ou l’application. Elles doivent être testées avant généralisation afin d’éviter de bloquer les usages légitimes. Les anciens protocoles d’authentification, lorsqu’ils ne sont plus nécessaires, doivent être désactivés.
La sécurité dépend aussi de l’état des appareils. Un compte protégé utilisé depuis un poste compromis reste exposé. Les postes doivent être mis à jour, chiffrés, inventoriés et couverts par une protection adaptée. Les accès depuis les appareils personnels doivent faire l’objet d’une décision explicite.
Surveiller la messagerie et les changements sensibles
Une compromission Microsoft 365 laisse souvent des indices : connexion inhabituelle, nouvelle méthode MFA, règle de transfert, consentement donné à une application, changement de rôle ou envoi massif. Ces événements doivent être collectés et revus avec un processus d’escalade.
La protection de la messagerie doit également traiter l’usurpation de domaine, les pièces jointes, les liens et les demandes de paiement. Les procédures internes restent essentielles : une modification de RIB ou une demande urgente doit être vérifiée par un canal connu, même si le message semble provenir d’un dirigeant.
Gérer le cycle de vie des utilisateurs
Les arrivées, changements de poste et départs sont des moments sensibles. Chaque compte doit avoir un responsable, des droits justifiés et une date de révision. Lors d’un départ, les sessions sont révoquées, les accès retirés, les données transférées selon une procédure définie et les équipements récupérés.
Les comptes invités et les partages externes méritent le même suivi. Un document partagé pour un projet ponctuel ne doit pas rester accessible indéfiniment.
Préparer la sauvegarde et la réponse à incident
La disponibilité native de Microsoft 365 ne remplace pas nécessairement une stratégie de sauvegarde correspondant à vos exigences de conservation et de restauration. Il faut définir les données prioritaires, la durée de conservation, les scénarios de suppression ou de chiffrement et la manière de restaurer.
Une fiche réflexe doit préciser qui contacter, comment révoquer les sessions, préserver les journaux, rechercher les règles malveillantes et prévenir les personnes concernées. Cette préparation peut être intégrée à votre PRA/PCA et à votre dispositif de gestion de crise.
Questions fréquentes
Le MFA suffit-il à sécuriser Microsoft 365 ?
Non. Il réduit fortement un risque majeur, mais doit être associé à la gestion des privilèges, au contrôle des applications, à la sécurité des appareils et à la surveillance.
Microsoft 365 sauvegarde-t-il toutes nos données ?
Microsoft assure la disponibilité de sa plateforme et propose des mécanismes de rétention. L’entreprise doit vérifier si ces mécanismes répondent à ses propres objectifs de restauration, de durée et d’indépendance.
Par où commencer ?
Commencez par inventorier les comptes, activer le MFA, séparer les administrateurs et vérifier les règles de transfert. Un audit ciblé Microsoft 365 permet ensuite de prioriser les écarts.
Votre contexte
Besoin d’une réponse adaptée à votre organisation ?
Un échange permet de distinguer les mesures réellement prioritaires des recommandations génériques.
Recevoir un cadrage adapté →