Microsoft 365 ist nicht automatisch sicher: Die sieben Stellschrauben

Microsoft 365 est souvent acheté comme une plateforme sécurisée nativement. Ce n'est que la moitié de la vérité : Microsoft exploite l'infrastructure de manière sécurisée — mais Identités, configuration et données relèvent de votre responsabilité. Cette « responsabilité partagée » (Shared Responsibility) est le point où les choses échouent en pratique. La bonne nouvelle : les paramètres critiques sont connus et limités.

1. Authentification multi-facteurs sans exception

MFA pour tous les comptes — y compris la direction générale et les prestataires externes. Tout aussi important : Désactiver l'authentification héritée (POP, IMAP, Basic Auth), car elle contourne complètement le MFA et constitue le vecteur d'entrée le plus fréquent pour les prises de contrôle de comptes.

2. Comptes administrateurs distincts

Le compte quotidien n'est pas le compte administrateur. Les administrateurs travaillent avec deux identités : une pour les e-mails et les documents, et une pour l'administration. Le compte administrateur reçoit pas de boîte aux lettres et n'est utilisé à aucune autre fin. Ainsi, un clic de phishing au quotidien n'atteint pas le centre de données.

3. L'accès conditionnel (Conditional Access) plutôt que la confiance dans le mot de passe

Vérifiez les politiques d'accès : analysez le contexte plutôt que le simple mot de passe—uniquement les appareils gérés, uniquement les emplacements attendus et le blocage des connexions à risque. Ceux qui utilisent ces politiques transforment un mot de passe volé en une donnée sans valeur.

4. Limiter les partages externes et les accès invités

Teams et SharePoint autorisent par défaut un partage généreux. Vérifiez les points suivants : désactivation des liens anonymes, dates d'expiration pour les invités et revues d'accès régulières. Sinon, les accès externes subsistent pendant des années, bien après la fin du projet.

5. Activer les journaux d'audit et les notifications

Sans surveillance active, personne ne remarque la création de règles de boîte aux lettres ou le téléchargement de volumes massifs de données. Les journaux sont disponibles — il suffit de les activer et de les analyser.

6. Sauvegarde : Microsoft sécurise la plateforme, pas vos données

Les périodes de rétention et les corbeilles sont pas de sauvegardeUne fois les délais d'expiration atteints, les e-mails, les chats Teams et les fichiers supprimés sont définitivement perdus — même en cas de suppression accidentelle ou d'attaque par ransomware. La mise en place d'une sauvegarde indépendante d'Exchange, SharePoint, OneDrive et Teams relève de la responsabilité de l'utilisateur.

7. Exploiter pleinement les fonctions de protection incluses

Les stratégies anti-phishing, Safe Links et Safe Attachments sont déjà incluses selon la licence, mais sont configurées de manière prudente par défaut. Une configuration rigoureuse permet de filtrer la majeure partie des attaques avant qu'elles n'atteignent la boîte de réception.

L'approche pragmatique

Aucune de ces mesures ne nécessite un projet d'envergure : un durcissement de base peut être mis en œuvre en quelques jours, après quoi un revue trimestrielle des politiques, des accès invités et des journaux. L'important est que quelqu'un en soit responsable — que cela ne « tourne pas simplement en arrière-plan ».

← tous les guides