Sécuriser Microsoft 365 en PME : les réglages essentiels
Identités, messagerie, partage de fichiers, appareils, sauvegarde : les contrôles à vérifier dans votre tenant, dans l'ordre d'efficacité.
Pourquoi Microsoft 365 est une cible
Microsoft 365 concentre la messagerie, les fichiers et les identités de l'entreprise : un compte compromis donne souvent accès à tout. C'est aussi un point d'entrée très ciblé par l'hameçonnage. Or beaucoup de tenants sont gardés dans leur configuration par défaut. Bonne nouvelle : l'essentiel des gains vient de quelques réglages.
Identités et accès : la priorité
- Imposez la double authentification (MFA) à tous les utilisateurs, administrateurs d'abord. Les « paramètres de sécurité par défaut » d'Entra ID l'activent gratuitement ; les licences supérieures (par exemple Microsoft 365 Business Premium) ajoutent l'accès conditionnel pour des règles plus fines.
- Bloquez l'authentification héritière (protocoles anciens qui contournent le MFA) partout où elle subsiste.
- Séparez les comptes d'administration des comptes du quotidien : un administrateur ne lit pas ses mails avec son compte à privilèges. Limitez le nombre d'administrateurs globaux.
- Surveillez le Secure Score du tenant et traitez les recommandations les plus rentables.
Messagerie et hameçonnage
- SPF, DKIM et DMARC sur votre domaine : ils réduisent l'usurpation de votre adresse et améliorent la délivrabilité. Passez DMARC progressivement vers une politique stricte.
- Filtrage anti-hameçonnage et pièces jointes activé et vérifié ; alertes sur les règles de transfert automatique créées par des attaquants dans les boîtes compromises.
- Sensibilisation : un message suspect doit pouvoir être signalé en un clic. Voir nos formations.
Fichiers, appareils et journaux
- Partage externe SharePoint / OneDrive : limitez-le aux utilisateurs et aux domaines nécessaires, évitez les liens « tout le monde » ; fixez des durées d'expiration.
- Appareils : exigez chiffrement, verrouillage et mises à jour (gestion des appareils type Intune) pour accéder aux données de l'entreprise.
- Journalisation : activez et conservez les journaux d'audit pour pouvoir enquêter après un incident.
Sauvegarde : pas incluse par défaut
Microsoft sécurise la plateforme, mais la responsabilité des données et des accès reste la vôtre (modèle de responsabilité partagée). La corbeille et la rétention de base ne remplacent pas une vraie sauvegarde : suppression par un attaquant, erreur, rançongiciel synchronisé vers le cloud. Prévoyez une sauvegarde indépendante de Microsoft 365 et testez la restauration. Voir aussi la checklist cybersécurité PME.
Questions fréquentes
Le MFA suffit-il à protéger un compte Microsoft 365 ?
Il bloque la grande majorité des prises de contrôle par mot de passe volé, mais pas toutes les attaques (hameçonnage de session, fatigue MFA). Combinez-le avec l'accès conditionnel, la sensibilisation et la surveillance.
Faut-il une licence particulière ?
Les réglages de base (MFA via les paramètres de sécurité par défaut, SPF/DKIM/DMARC) sont accessibles à tous les tenants. Les fonctions avancées (accès conditionnel, gestion des appareils) dépendent de la licence ; vérifiez les offres Microsoft en vigueur.
Microsoft sauvegarde-t-il mes données ?
Microsoft assure la disponibilité du service, pas une sauvegarde au sens métier. Une suppression, une erreur ou un chiffrement malveillant peuvent être répliqués ; une sauvegarde indépendante reste recommandée.
Kapelgy peut-il auditer notre tenant ?
Notre audit réseau porte sur l'exposition réseau et la configuration technique. Pour la configuration d'un tenant Microsoft 365, parlons-en lors d'un appel de cadrage afin de définir ce qui est couvert.
Faire le point sur votre environnement
30 minutes pour cadrer votre besoin, sans engagement. Aucun test technique sans votre autorisation écrite.