SYAGA Audit

Relevé de mesure daté
Noms remplacés par des jetons sur votre poste · Réf. SYAGA-DEMO-QUESTIONNAIRE-0001

Relevé de mesure datéPièce datée

Relevé de mesure daté : constats relevés par notre moteur, dans les limites décrites à la section « Méthode » de cette pièce, sur le locataire Entreprise Démonstration (exemple, non client), à la date du 17 juillet 2026. Le relevé d'exécution tenu par notre moteur pour cet audit n'établit pas que l'accès s'est limité à lire et ne porte aucune signature électronique : cette pièce n'atteste rien au-delà de la mesure.

Entité auditée
Entreprise Démonstration (exemple, non client) (locataire d3m0a1b2-c3d4-4e5f-8a9b-0c1d2e3f4a5b)

Date de l'audit
17 juillet 2026

Émetteur
SYAGA CONSULTING · EURL · SIREN 518 489 471 · RCS Aix-en-Provence

Provenance des données
lues par notre extension sur votre poste, puis pseudonymisées · syaga.eu

Le verdict, avant le dossier de preuve

Quatre faiblesses structurelles exposent votre configuration Microsoft 365.

Vos 82 écarts ne sont pas 82 problèmes : ils se ramènent à quatre chantiers. En les traitant dans l'ordre, vous réduisez la plus grande part du risque.

47 %des éléments lisibles de votre locataire ont été réellement mesurés. Les niveaux portent sur cette part.

Ce qui n'est pas mesuré, et pourquoi

Fonction absente de votre abonnement : sans la licence Microsoft qui l'active, ou sans le service lui-même, il n'y a rien à lire.
Lecture fermée par Microsoft : quelques réglages ne s'ouvrent qu'avec un droit de modification que l'audit ne demande pas pour eux ; le seul droit « gérer » demandé, celui d'Exchange, sert uniquement à lire.
Pas encore lu : l'outil ne collecte pas encore cette donnée, ou Microsoft n'a pas répondu pendant la lecture.
À dire par vous : une politique écrite, une procédure ou un contrat : Microsoft ne les contient pas, c'est vous qui répondez.

Ces éléments ne comptent ni pour vous ni contre vous : les niveaux ne portent que sur la part mesurée.

Niveau 1 sur 5limité par : Sécurité

Niveaux de 1 (critique) à 5 (état de l'art). Le niveau global est celui de la branche la plus faible, comme dans la grille de l'ANSSI.

Sécuriténiveau 1 sur 5 · limite le niveau global

Un point critique de protection est ouvert : il passe avant tout le reste.

Conformiténiveau 2 sur 5

Des exigences importantes, comme la conservation des traces, ne sont pas tenues.

Licencesniveau 5 sur 5

Vos licences correspondent à l'usage mesuré.

Usage et capaciténiveau 3 sur 5

L'usage des ressources est correct, quelques réglages restent à ajuster.

Gouvernanceniveau 2 sur 5

Les invitations, les consentements ou la création d'objets sont trop ouverts.

Une preuve, trois lecteurs. Ce dossier est conçu pour être présenté à un assureur cyber (format souscription), à un donneur d'ordre qui vous réclame le relevé daté de vos réglages (ruissellement de la chaîne fournisseurs, NIS2 Art. 21 - version partageable), et à un commissaire aux comptes ou auditeur externe. Provenance des données : elles ont été lues par notre extension sur votre poste, dans votre Microsoft 365, puis pseudonymisées. Chaque constat ci-dessous porte son repère et peut être recontrôlé par le destinataire dans la console d'administration Microsoft 365. Ce document ne garantit ni l'acceptation de votre dossier par votre assureur ou votre donneur d'ordre, ni une prime ou des conditions particulières.

189

Contrôles sans écart mesuré

Causes racines relevées

Écarts constatés à date

Ce que la mesure établit aujourd'hui

189 contrôles conformes sur 271 contrôles tranchés : la base vérifiable, point par point, preuve à l'appui.

Ce qui expose votre dossier

82 non-conformités constatées et 209 contrôles non mesurés restent une exposition non couverte par une preuve vérifiable : tant que les causes racines ci-dessous ne sont pas traitées, cette exposition ne peut être attestée.

Verrouillez l'identité : c'est la porte d'entrée la plus empruntée

33 écarts regroupés - Identité & accès

L'exposition : la prise de contrôle d'un compte est la porte d'entrée la plus courante d'une attaque.
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : Authentification multifacteur : activée pour tous les utilisateurs ou non ; La MFA DOIT être imposée pour tous les utilisateurs ; Utilisateurs membres 'compatibles MFA' (MFA capable) : tous ou non ; Flux de consentement administrateur : activé ou non.
La correction attendue : Le MFA doit être exigé pour l'ensemble des utilisateurs via une politique d'accès conditionnel afin de bloquer la grande majorité des attaques par compromission d'identité. Le MFA doit être exigé pour tous les utilisateurs, le MFA bloquant la grande majorité des attaques par compromission d'identité. Vérifier via le rapport 'MFA capable' d'Entra ID que chaque utilisateur membre dispose d'une méthode d'authentification forte enregistrée, condition préalable à l'application effective du MFA. Activer le flux de consentement administrateur dans Entra ID pour qu'une demande d'accès bloquée côté utilisateur soit routée vers un réviseur plutôt que simplement rejetée sans suite.

Une base non durcie élargit la surface d'attaque en silence : durcissez-la

31 écarts regroupés - Configuration & conformité

L'exposition : une base non durcie élargit la surface d'attaque en silence, sans alerte visible.
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : Comptes prioritaires : couverts par la protection prédéfinie stricte (Strict protection) ou non ; Synchronisation OneDrive depuis des appareils non gérés : restreinte ou non ; Seuls les utilisateurs ayant le rôle Présentateur sont autorisés à présenter dans les réunions Teams ; Les comptes d'accès d'urgence (break-glass) ne doivent pas être bloqués.
La correction attendue : Appliquer le preset de protection Strict aux comptes prioritaires pour leur garantir le niveau de filtrage le plus élevé. Bloquer la synchronisation OneDrive depuis les appareils non gérés via une politique d'accès conditionnel (AllowLimitedAccess) limitant l'accès au web sans téléchargement/synchronisation. Limiter le droit de présenter aux seuls utilisateurs ayant le rôle Présentateur dans les réunions Teams. Vérifier que les comptes d'accès d'urgence (emergency access) ne sont pas bloqués par les politiques d'accès conditionnel.

III

Reprenez la main sur ce qui sort : le partage se referme plus vite qu'il ne s'ouvre

6 écarts regroupés - Données & exposition

L'exposition : une donnée qui quitte l'entreprise sans garde-fou est le vecteur de fuite le plus banal, et le plus coûteux en image comme en réglementaire.
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : Stratégies d'étiquettes de confidentialité Information Protection : publiées ou non ; Partage de contenu OneDrive : restreint ou non ; Une solution de prévention des pertes de données (DLP) DOIT être utilisée (Maester, règle retirée par CISA en avril 2026, reprise dans la baseline Security Suite (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle) ; Au minimum, la prévention des pertes de données (DLP) DOIT bloquer le partage par e-mail des numéros de carte bancaire (Maester, règle retirée par CISA en avril 2026, reprise dans la baseline Security Suite (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle).
La correction attendue : Publier au moins une politique d'étiquettes de sensibilité (sensitivity labels) auprès des utilisateurs ou groupes cibles, afin de permettre la classification et la protection des documents selon leur niveau de confidentialité. Restreindre le partage de contenu OneDrive au niveau le plus restrictif approprié (au plus 'Invités existants'), sachant qu'OneDrive peut être plus restrictif que SharePoint mais jamais plus permissif. Mettre en place une solution de prévention des pertes de données (DLP) couvrant Exchange Online. Créer une stratégie de prévention des pertes de données appliquée à Exchange, activée en mode « Enforce », dont une règle bloque le partage par e-mail du type d'information sensible « numéro de carte bancaire » (Credit Card Number).

Sans journal, un incident ne se prouve pas : rallumez la mémoire du système

12 écarts regroupés - Détection & supervision

L'exposition : sans détection active ni journal complet, une attaque peut réussir sans être bloquée, ni repérée à temps, ni prouvée après coup : un handicap direct en cas de sinistre, de contrôle réglementaire ou de dossier d'assurance.
Aujourd'hui : Sur ce thème, les exigences de conformité suivantes ne sont pas satisfaites : L'action pour le spam à haut niveau de confiance (High Confidence Spam) est définie sur Mettre le message en quarantaine ; Safe Links s'applique-t-il sans être contourné par une règle de transport ; L'action en cas d'usurpation de domaine (Domain Impersonation) est définie sur déplacer vers la quarantaine ; L'action en cas d'usurpation d'identité d'utilisateur (User impersonation) est définie sur déplacer vers la quarantaine.
La correction attendue : Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Mise en quarantaine des courriers indésirables à confiance élevée ». Configurer la politique Anti-liens (Safe Links) pour appliquer le réglage cible : « Safe Links n'est pas contourné ». Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « Mise en quarantaine en cas d'usurpation de domaine ». Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « Mise en quarantaine en cas d'usurpation d'utilisateur ».

Écarts constatés, cause par cause

Constats réels liés aux causes racines

Repère	Point de contrôle	Sévérité
SYA-67M365SAT, Monkey365	Authentification multifacteur : activée pour tous les utilisateurs ou non	Critique
CISA:MS.AAD.3.2Maester, ScubaGear	La MFA DOIT être imposée pour tous les utilisateurs.	Critique
SYA-60M365SAT, Maester, Monkey365	Flux de consentement administrateur : activé ou non	Élevée
SYA-81M365SAT, Monkey365	Utilisateurs membres 'compatibles MFA' (MFA capable) : tous ou non	Élevée
SYA-34M365SAT, Monkey365	Comptes prioritaires : couverts par la protection prédéfinie stricte (Strict protection) ou non	Élevée
SYA-117M365SAT, Monkey365	Synchronisation OneDrive depuis des appareils non gérés : restreinte ou non	Élevée
MT.1037Maester	Seuls les utilisateurs ayant le rôle Présentateur sont autorisés à présenter dans les réunions Teams	Élevée
MT.1034Maester	Les comptes d'accès d'urgence (break-glass) ne doivent pas être bloqués.	À remédier
SYA-41M365SAT, Monkey365	Stratégies d'étiquettes de confidentialité Information Protection : publiées ou non	Élevée
SYA-108M365SAT, Monkey365	Partage de contenu OneDrive : restreint ou non	Élevée

Angles morts : non couverts par une preuve vérifiable tant qu'ils ne sont pas mesurés

209 contrôles non mesurés au catalogue

Repère	Point de contrôle	Statut
SYA-11M365SAT, Maester, Monkey365	Protection interne contre l'hameçonnage de Forms : activée ou non	Non mesuré
SYA-33M365SAT, Monkey365	Protection des comptes prioritaires (Priority account protection) : activée et configurée ou non	Non mesuré
SYA-39M365SAT, Monkey365	Stratégies de prévention des pertes de données (DLP) : activées ou non	Non mesuré
SYA-111M365SAT, Maester, Monkey365	Partage par lien dans SharePoint et OneDrive : restreint ou non	Non mesuré
CISA:MS.AAD.4.1Maester, ScubaGear	Les journaux de sécurité DOIVENT être envoyés au centre de supervision de la sécurité (SOC) de l'organisation pour surveillance.	Non mesuré
SYA-96M365SAT, Monkey365	Le transfert automatique du courrier Exchange vers l'extérieur est-il bloqué et désactivé ?	Non mesuré
CISA:MS.EXO.13.1Maester, ScubaGear	L'audit des boîtes aux lettres DOIT être activé.	Non mesuré
SYA-43Monkey365	Inscription des appareils personnels : bloquée par défaut ou non	Non mesuré
SYA-115Maester, Monkey365	Autorisation par défaut du lien de partage SharePoint : définie ou non	Non mesuré
MT.1027Maester	Aucun principal de service avec secret client et attribution de rôle permanente sur le plan de contrôle (Control Plane).	Non mesuré

L'ordre dans lequel traiter les écarts

D'abord

L'identité. La prise de contrôle d'un compte est la porte d'entrée la plus courante d'une attaque.

Ensuite

La configuration de base. Une base non durcie élargit la surface d'attaque en silence, sans alerte visible.

Puis

L'exposition externe. Une donnée qui quitte l'entreprise sans garde-fou est le vecteur de fuite le plus banal, et le plus coûteux en image comme en réglementaire.

En consolidation

Chantiers de fond restants. À consolider une fois les priorités du haut de la liste tenues : la supervision.

Cette trajectoire réduit l'exposition ; elle ne la supprime pas

Interruption. un compte détourné qui paralyse l'activité.

Fuite. des données clients qui sortent sans laisser de trace.

Non-conformité. un écart de conformité RGPD (et NIS2 là où elle s'applique) lors d'un contrôle.

189

Contrôles sans écart mesuré

Identité & accès

Données & exposition

Détection & supervision

Configuration & conformité

Ce qui fonde ce dossier. Ce diagnostic a lu la configuration et des journaux d'activité de votre Microsoft 365, pseudonymisés sur votre poste ; aucun contenu de message ni de fichier n'a été lu. Ces éléments ont été lus par notre extension sur votre poste, dans votre Microsoft 365 ; SYAGA ne contrôle pas, avant leur envoi, l'intégrité des éléments collectés sur le poste du client. Chaque constat ci-dessus peut être recontrôlé par chacun de ses lecteurs dans la console d'administration Microsoft 365.

Méthode & preuve

Lecture directe, pseudonymisée sur votre poste

Configuration Microsoft 365 lue par les interfaces d'administration de Microsoft (annuaire via Microsoft Graph, Exchange Online, Microsoft Teams, SharePoint, Purview, Power Platform) et par les enregistrements DNS publics. L'audit ne lit ni le corps ni les pièces jointes de vos courriels, ni vos conversations Teams, ni vos fichiers ; le suivi des messages (expéditeur, destinataire, objet) est lu et remplacé par des jetons sur votre poste. L'audit n'exécute que des opérations de lecture ; pour certains réglages, Microsoft n'accorde qu'un droit « gérer », que nous utilisons uniquement pour lire. Chaque constat porte sa preuve (valeur lue, point d'accès, date) ; ce qui n'a pas pu être lu est écrit « mesure impossible », jamais compté comme un écart ni comme conforme, et la part réellement mesurée est affichée.

Référentiels croisés

Socle sécurité M365CISA SCuBAMaesterMonkey365M365SATContrôles SYAGA

Socle reformulé par SYAGA d'après les vérificateurs open source, croisé avec la baseline CISA SCuBA.

Périmètre évalué

271

contrôles tranchés sur le catalogue SYAGA

577 = 271 tranchés + 45 à confirmer + 209 non mesurés + 23 non applicables (licence) + 13 déclaratifs (organisationnel) + 3 non mesurables avec des droits de lecture + 13 règles retirées par CISA sans successeur, nommées une à une dans la lecture technique (section « Règles retirées par CISA sans successeur »)

SYAGA CONSULTING indique que les constats techniques ci-dessus résultent de l'évaluation, par son moteur, de paramètres lus par son extension sur votre poste, dans le locataire Microsoft 365 audité, à la date indiquée, puis pseudonymisés : « Vos noms, adresses et identifiants sont remplacés par des jetons sur votre poste avant tout envoi à notre serveur, qui refuse tout envoi où il détecte une donnée en clair ; seuls vos noms de domaine sont lus en clair, auprès du DNS public de Google » ; « Aucune donnée d'audit n'est gardée sur nos serveurs au-delà de 2 heures après la fin du scan, sans exception : elle est effacée dès que vous confirmez avoir enregistré vos fichiers, et au plus tard à cette échéance » ; si l'audit n'aboutit pas, un jeton de relance que vous conservez, valable 7 jours, permet de le relancer. Les points organisationnels déclaratifs (gouvernance, sensibilisation, sécurisation physique) relèvent de votre propre attestation : vous les confirmez, SYAGA ne les mesure pas. Ce partage, SYAGA pour l'évaluation et vous pour le déclaré, fait la valeur du dossier : une pièce datée, que l'assureur ou le donneur d'ordre peut confronter à ses propres vérifications.

Référence : SYAGA-DEMO-QUESTIONNAIRE-0001

Méthode : chaque branche de l'étoile prend le niveau de son écart le plus grave, de 1 (critique) à 5 (état de l'art) ; le niveau global est celui de la branche la plus faible. Les éléments non collectés et non applicables sont exclus.

Complément SharePoint optionnel (3 contrôles)

Complément optionnel : Microsoft ne propose pas de lecture pure pour ces réglages SharePoint par site : y accéder exige un droit de gestion (« gérer »), que nous n'utilisons que pour lire. Désactivé par défaut, disponible en option de votre côté, et hors score tant que non activé.

Ces contrôles ne comptent NI comme conformes, NI comme non conformes, NI comme non collectés : ils restent hors score tant que vous n'activez pas le complément (à votre initiative, côté vous, jamais chez nous).

Non applicable : fonctionnalité non présente sur le locataire (23 contrôles)

Ces contrôles ne s'appliquent pas à votre locataire : la fonctionnalité concernée n'y est pas présente. Il n'y a donc rien à mesurer : ce n'est ni un échec, ni un angle mort.

Ces contrôles ne comptent NI comme conformes, NI comme non conformes : c'est un constat, pas un échec. Nous ne vous incitons pas à acheter une licence supplémentaire : l'objectif de sécurité visé peut souvent être atteint autrement (paramétrage, procédure interne, ou outil tiers parfois libre et moins coûteux). Ils redeviendraient mesurables si la ressource était présente sur votre locataire.

13 points de vigilance organisationnels

Ces exigences (sécurisation physique, segmentation réseau, sensibilisation, gouvernance) relèvent de l'organisation et ne sont PAS mesurables par un scan Microsoft 365 en lecture seule. Elles sont signalées à part, hors score et hors compte d'écarts : à vérifier par une revue interne.

Ce document ne garantit ni l'acceptation de votre dossier par votre assureur ou votre donneur d'ordre, ni une prime ou des conditions particulières.

Les 189 contrôles sans écart mesuré, un par un

Vous n'avez pas à nous croire sur un total. Chaque ligne ci-dessous porte son repère et le référentiel public qui la fonde : votre assureur, votre donneur d'ordre ou votre auditeur peut les recontrôler une par une dans la console d'administration Microsoft 365. Attention au périmètre : 4 lignes ne portent pas « Mesuré : réglage présent », mais « Mesuré sur Microsoft 365 seulement » ou « Hors périmètre ». Ces règles de l'ANSSI ou de NIS2 concernent l'ensemble de votre parc ; la mesure ne couvre que Microsoft 365 et ne vaut pas conformité du reste.

Repère	Point de contrôle	Statut
ANSSI R14ANSSI (guide d'hygiène)	Mettre en place un niveau de sécurité minimal sur l'ensemble du parc informatique	Mesuré sur Microsoft 365 seulement
ANSSI R16ANSSI (guide d'hygiène)	Utiliser un outil de gestion centralisée afin d'homogénéiser les politiques de sécurité	Mesuré sur Microsoft 365 seulement
ANSSI R24ANSSI (guide d'hygiène)	Protéger sa messagerie professionnelle	Mesuré : réglage présent
ANSSI R29ANSSI (guide d'hygiène)	Limiter au strict besoin opérationnel les droits d'administration sur les postes de travail	Mesuré sur Microsoft 365 seulement
ANSSI R36ANSSI (guide d'hygiène)	Activer et configurer les journaux des composants les plus importants	Mesuré sur Microsoft 365 seulement
SYA-44M365SAT	Le locataire est-il protégé par les paramètres de sécurité par défaut, ou par des stratégies d'accès conditionnel actives qui les remplacent ?	Mesuré : réglage présent
SYA-95M365SAT	Des boîtes aux lettres portent-elles 'AuditBypassEnabled', qui les exclut du journal d'audit ?	Mesuré : réglage présent
CISA:MS.EXO.10.1Maester CISA.MS.EXO.10.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.1.3v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Les e-mails DOIVENT être analysés à la recherche de logiciels malveillants.	Mesuré : réglage présent
CISA:MS.EXO.10.2Maester CISA.MS.EXO.10.2, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.1.3v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Les e-mails identifiés comme contenant un logiciel malveillant DOIVENT être mis en quarantaine ou supprimés.	Mesuré : réglage présent
CISA:MS.EXO.10.3Maester CISA.MS.EXO.10.3, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.1.2v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	L'analyse des e-mails DOIT être capable d'examiner les e-mails après leur remise.	Mesuré : réglage présent
CISA:MS.EXO.11.1Maester CISA.MS.EXO.11.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.2.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Des contrôles de protection contre l'usurpation d'identité DEVRAIENT être utilisés.	Mesuré : réglage présent
CISA:MS.EXO.11.2Maester CISA.MS.EXO.11.2, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.2.4v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Des avertissements aux utilisateurs, comparables aux conseils de sécurité inclus avec EOP, DEVRAIENT être affichés.	Mesuré : réglage présent
CISA:MS.EXO.12.1Maester CISA.MS.EXO.12.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.8.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Des listes d'autorisation d'adresses IP NE DEVRAIENT PAS être créées.	Mesuré : réglage présent
CISA:MS.EXO.14.1Maester CISA.MS.EXO.14.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.6.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Un filtre anti-spam DOIT être activé.	Mesuré : réglage présent
CISA:MS.EXO.14.2Maester CISA.MS.EXO.14.2, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.6.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Les spams et les spams à haut niveau de confiance DOIVENT être déplacés vers le dossier courrier indésirable ou vers la quarantaine.	Mesuré : réglage présent
CISA:MS.EXO.14.3Maester CISA.MS.EXO.14.3, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.6.2v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Des domaines autorisés NE DOIVENT PAS être ajoutés aux politiques de protection anti-spam entrantes.	Mesuré : réglage présent
CISA:MS.EXO.15.1Maester CISA.MS.EXO.15.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.7.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	La comparaison des URL avec une liste de blocage DEVRAIT être activée.	Mesuré : réglage présent
CISA:MS.EXO.15.2Maester CISA.MS.EXO.15.2, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.7.2v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Les liens de téléchargement direct DEVRAIENT être analysés à la recherche de logiciels malveillants.	Mesuré : réglage présent
CISA:MS.EXO.15.3Maester CISA.MS.EXO.15.3, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.7.3v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Le suivi des clics des utilisateurs DEVRAIT être activé.	Mesuré : réglage présent
CISA:MS.EXO.16.1Maester CISA.MS.EXO.16.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.4.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Les alertes DOIVENT être activées.	Mesuré : réglage présent
CISA:MS.EXO.16.2Maester CISA.MS.EXO.16.2, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.4.2v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	Les alertes DEVRAIENT être envoyées à une adresse surveillée ou intégrées à un système de gestion des informations et des événements de sécurité (SIEM).	Mesuré : réglage présent
CISA:MS.EXO.17.1Maester CISA.MS.EXO.17.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.5.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle	La journalisation Microsoft Purview Audit (Standard) DOIT être activée.	Mesuré : réglage présent
EIDSCA.AF01Maester	Méthode d'authentification - Clé de sécurité FIDO2 - État.	Mesuré : réglage présent
EIDSCA.AF02Maester	L'inscription en libre-service d'une clé d'accès (FIDO2) est-elle autorisée pour les utilisateurs ?	Mesuré : réglage présent
EIDSCA.AF03Maester	Méthode d'authentification - Clé de sécurité FIDO2 - Imposer l'attestation.	Mesuré : réglage présent
EIDSCA.AF04Maester	Méthode d'authentification - Clé de sécurité FIDO2 - Imposer des restrictions de clés.	Mesuré : réglage présent
EIDSCA.AF05Maester	Méthode d'authentification - Clé de sécurité FIDO2 - Restreint.	Mesuré : réglage présent
EIDSCA.AF06Maester	Méthode d'authentification - Clé de sécurité FIDO2 - Restreindre à des clés spécifiques.	Mesuré : réglage présent
EIDSCA.AG01Maester	Méthode d'authentification - Paramètres généraux - Gérer la migration.	Mesuré : réglage présent
EIDSCA.AG02Maester	Méthode d'authentification - Paramètres généraux - Signaler une activité suspecte - État.	Mesuré : réglage présent
EIDSCA.AM01Maester	Méthode d'authentification - Microsoft Authenticator - État.	Mesuré : réglage présent
EIDSCA.AM02Maester	Méthode d'authentification - Microsoft Authenticator - Autoriser l'usage de l'OTP de Microsoft Authenticator.	Mesuré : réglage présent
EIDSCA.AM03Maester	La correspondance de numéros est-elle exigée pour approuver les notifications push de Microsoft Authenticator ?	Mesuré : réglage présent
EIDSCA.AM04Maester	Le périmètre d'utilisateurs et de groupes soumis à la correspondance de numéros couvre-t-il bien l'ensemble des utilisateurs ?	Mesuré : réglage présent
EIDSCA.AM06Maester	Le nom de l'application qui demande la connexion s'affiche-t-il dans les notifications Microsoft Authenticator ?	Mesuré : réglage présent
EIDSCA.AM07Maester	Méthode d'authentification - Microsoft Authenticator - Utilisateurs/groupes inclus pour afficher le nom de l'application dans les notifications push et sans mot de passe.	Mesuré : réglage présent
EIDSCA.AM09Maester	L'emplacement géographique de la tentative de connexion s'affiche-t-il dans les notifications Microsoft Authenticator ?	Mesuré : réglage présent
EIDSCA.AM10Maester	Méthode d'authentification - Microsoft Authenticator - Utilisateurs/groupes inclus pour afficher la localisation géographique dans les notifications push et sans mot de passe.	Mesuré : réglage présent
EIDSCA.AP01Maester	La réinitialisation de mot de passe en libre-service est-elle désactivée pour les administrateurs (Default Authorization Settings) ?	Mesuré : réglage présent
EIDSCA.AP04Maester	Paramètres d'autorisation par défaut - Restrictions sur les invitations d'invités.	Mesuré : réglage présent
EIDSCA.AP06Maester	Un utilisateur peut-il rejoindre le locataire par simple validation d'adresse e-mail (Default Authorization Settings) ?	Mesuré : réglage présent
EIDSCA.AP08Maester	Une politique de consentement utilisateur est-elle affectée aux applications (Default Authorization Settings) ?	Mesuré : réglage présent
EIDSCA.AP10Maester	Le droit d'inscrire de nouvelles applications est-il retiré aux utilisateurs standard ?	Mesuré : réglage présent
EIDSCA.AS04Maester	La connexion par SMS est-elle écartée comme premier facteur d'authentification ?	Mesuré : réglage présent
EIDSCA.AT01Maester	Méthode d'authentification - Pass d'accès temporaire (Temporary Access Pass) - État.	Mesuré : réglage présent
EIDSCA.AT02Maester	Méthode d'authentification - Pass d'accès temporaire (Temporary Access Pass) - Usage unique.	Mesuré : réglage présent
EIDSCA.AV01Maester	Méthode d'authentification - Appel vocal - État.	Mesuré : réglage présent
EIDSCA.CP01Maester	Paramètres par défaut - Paramètres de stratégie de consentement - Consentement du propriétaire de groupe pour les applications accédant aux données.	Mesuré : réglage présent
EIDSCA.CP03Maester	Le consentement des utilisateurs est-il bloqué lorsqu'une demande d'application est jugée risquée ?	Mesuré : réglage présent
EIDSCA.PR02Maester	La protection par mot de passe Microsoft Entra est-elle également appliquée à votre Active Directory Windows Server ?	Mesuré : réglage présent
EIDSCA.PR03Maester	Paramètres par défaut - Paramètres de règle de mot de passe - Imposer la liste personnalisée.	Mesuré : réglage présent
EIDSCA.PR05Maester	La durée de verrouillage du compte, en secondes, est-elle définie à une valeur suffisante pour freiner les tentatives de mot de passe en force ?	Mesuré : réglage présent
EIDSCA.PR06Maester	Paramètres par défaut - Paramètres de règle de mot de passe - Verrouillage intelligent (Smart Lockout) - Seuil de verrouillage.	Mesuré : réglage présent
EIDSCA.ST08Maester	Les utilisateurs invités sont-ils empêchés de devenir propriétaires d'un groupe Microsoft 365 ?	Mesuré : réglage présent
EIDSCA.ST09Maester	Paramètres par défaut - Classification et groupes M365 - Groupes M365 - Autoriser les invités à accéder au contenu des groupes.	Mesuré : réglage présent
SYA-1Maester	Les comptes disposant de rôles d'administration sont-ils des comptes cloud-only, non synchronisés depuis l'Active Directory local ?	Mesuré : réglage présent
SYA-3Maester	Le nombre de comptes Administrateur général est-il compris entre deux et quatre ?	Mesuré : réglage présent
SYA-7Maester	La politique d'expiration des mots de passe est-elle réglée sur 'ne jamais expirer' ?	Mesuré : réglage présent
SYA-9Maester	Le partage externe des calendriers Exchange est-il désactivé ?	Mesuré : réglage présent
SYA-10Maester	Les utilisateurs sont-ils empêchés d'acquérir ou d'installer eux-mêmes des applications et services tiers (Store M365) ?	Mesuré : réglage présent
SYA-16Maester	Safe Links est-il appliqué aux applications Office pour vérifier les URL au moment du clic ?	Mesuré : réglage présent
SYA-26Maester	La politique anti-malware bloque-t-elle la liste étendue des extensions de pièces jointes à risque (filtrage exhaustif) ?	Mesuré : réglage présent
SYA-17Maester	Le filtre des types de pièces jointes courants (exécutables à risque) est-il actif dans la politique anti-malware ?	Mesuré : réglage présent
SYA-18Maester	Un administrateur est-il notifié lorsqu'un utilisateur interne envoie un message détecté comme malware ?	Mesuré : réglage présent
SYA-19Maester	Une politique Safe Attachments est-elle active pour détoner les pièces jointes suspectes en sandbox avant remise ?	Mesuré : réglage présent
SYA-20Maester	Safe Attachments est-il actif pour analyser les fichiers stockés et partagés via SharePoint, OneDrive et Teams ?	Mesuré : réglage présent
SYA-21Maester	Les politiques anti-spam Exchange Online notifient-elles un administrateur en cas de blocage d'un message sortant ou de restriction d'un expéditeur ?	Mesuré : réglage présent
SYA-22Maester	Protections contre l'usurpation dans la politique anti-hameçonnage : activées ou non	Mesuré : réglage présent
SYA-37Maester	La recherche dans le journal d'audit unifié Microsoft 365 est-elle activée ?	Mesuré : réglage présent
SYA-42Maester	Les appareils sans stratégie de conformité assignée sont-ils automatiquement marqués 'non conformes' dans Intune ?	Mesuré : réglage présent
SYA-46Maester	Les utilisateurs sont-ils empêchés d'enregistrer eux-mêmes des applications tierces intégrées à l'annuaire ?	Mesuré : réglage présent
SYA-59Maester	Le consentement utilisateur aux applications tierces accédant aux données de l'entreprise en son nom est-il interdit ?	Mesuré : réglage présent
SYA-63Maester	L'accès des utilisateurs invités à l'annuaire est-il restreint ?	Mesuré : réglage présent
SYA-82Maester	Les méthodes d'authentification faibles (SMS, appel vocal) sont-elles désactivées dans la politique de méthodes d'authentification Entra ID ?	Mesuré : réglage présent
SYA-106Maester	Vérifier que l'intégration de SharePoint et OneDrive avec Microsoft Entra B2B est activée	Mesuré : réglage présent
SYA-109Maester	Les utilisateurs invités SharePoint sont-ils empêchés de repartager des éléments qu'ils ne possèdent pas ?	Mesuré : réglage présent
SYA-113Maester	Vérifier que l'accès invité à un site ou à OneDrive expire automatiquement	Mesuré : réglage présent
SYA-116Maester	Le téléchargement des fichiers SharePoint identifiés comme infectés est-il bloqué ?	Mesuré : réglage présent
SYA-126Maester	Applications tierces et personnalisées dans Teams : toutes ou presque bloquées, ou non	Mesuré : réglage présent
SYA-136Maester	Vérifier que les utilisateurs peuvent signaler des problèmes de sécurité dans Teams vers une destination interne	Mesuré : réglage présent
MT.1003Maester	Au moins une politique d'accès conditionnel cible-t-elle toutes les applications ?	Mesuré : réglage présent
MT.1004Maester	Au moins une politique d'accès conditionnel cible-t-elle toutes les applications et tous les utilisateurs ?	Mesuré : réglage présent
MT.1006Maester	Au moins une politique d'accès conditionnel exige-t-elle la MFA pour les administrateurs ?	Mesuré : réglage présent
MT.1008Maester	Au moins une politique d'accès conditionnel exige-t-elle la MFA pour l'administration Azure ?	Mesuré : réglage présent
MT.1009Maester	Au moins une politique d'accès conditionnel bloque-t-elle les autres protocoles d'authentification hérités ?	Mesuré : réglage présent
MT.1010Maester	Au moins une politique d'accès conditionnel bloque-t-elle l'authentification héritée pour Exchange ActiveSync ?	Mesuré : réglage présent
MT.1011Maester	Une règle d'accès conditionnel encadre-t-elle l'inscription des informations de sécurité (MFA, réinitialisation de mot de passe) en dehors de vos emplacements réseau approuvés ?	Mesuré : réglage présent
MT.1014Maester	Au moins une politique d'accès conditionnel exige-t-elle un appareil conforme ou joint hybride Entra pour les administrateurs ?	Mesuré : réglage présent
MT.1015Maester	Au moins une politique d'accès conditionnel bloque-t-elle les plateformes d'appareils inconnues ou non prises en charge ?	Mesuré : réglage présent
MT.1016Maester	Au moins une politique d'accès conditionnel exige-t-elle la MFA pour les comptes invités ?	Mesuré : réglage présent
MT.1020Maester	Toutes les politiques d'accès conditionnel excluent-elles les comptes de synchronisation d'annuaire, ou évitent-elles de les cibler ?	Mesuré : réglage présent
MT.1022Maester	Tous les utilisateurs qui consomment des fonctionnalités P1 disposent-ils bien de la licence correspondante ?	Mesuré : réglage présent
MT.1025Maester	Un utilisateur externe détient-il une attribution de rôle permanente sur le plan de contrôle ?	Mesuré : réglage présent
MT.1026Maester	Un utilisateur hybride détient-il une attribution de rôle permanente sur le plan de contrôle ?	Mesuré : réglage présent
MT.1031Maester	Les rôles privilégiés du plan de contrôle sont-ils gérés exclusivement via PIM ?	Mesuré : réglage présent
MT.1032Maester	Le nombre de rôles Global Admin attribués est-il limité ?	Mesuré : réglage présent
MT.1044Maester	Vérifier que l'authentification moderne pour Exchange Online est activée	Mesuré : réglage présent
MT.1045Maester	Seuls les membres de l'organisation et les personnes conviées sont-ils admis automatiquement aux réunions Teams ?	Mesuré : réglage présent
MT.1050Maester	Des applications à permissions à haut risque disposent-elles d'un chemin DIRECT vers Global Admin ?	Mesuré : réglage présent
MT.1051Maester	Des applications à permissions à haut risque disposent-elles d'un chemin INDIRECT vers Global Admin ?	Mesuré : réglage présent
MT.1052Maester	Au moins une politique d'accès conditionnel cible-t-elle le flux d'authentification par code d'appareil ?	Mesuré : réglage présent
MT.1061Maester	Le contrôle MFA de l'inscription d'appareils entre-t-il en conflit avec les politiques d'accès conditionnel ?	Mesuré : réglage présent
MT.1066Maester	Des politiques d'accès conditionnel incluent-elles ou excluent-elles des utilisateurs, groupes ou rôles supprimés ?	Mesuré : réglage présent
MT.1071Maester	Au moins une politique d'accès conditionnel inclut-elle explicitement Azure DevOps ?	Mesuré : réglage présent
MT.1072Maester	Des politiques d'accès conditionnel utilisent-elles encore l'octroi obsolète Approved Client App ?	Mesuré : réglage présent
MT.1075Maester	Les applications Entra tierces sont-elles limitées à des utilisateurs explicitement affectés, plutôt qu'à tous les utilisateurs ?	Mesuré : réglage présent
MT.1105Maester	L'autorité MDM est-elle bien réglée sur Microsoft Intune ?	Mesuré : réglage présent
SYA-150Maester	Le courrier en nombre (publicités, lettres d'information non sollicitées) est-il traité comme indésirable au-delà du seuil de plaintes retenu ?	Mesuré : réglage présent
SYA-151Maester	Les options de filtrage avancé du courrier indésirable (ASF) sont-elles laissées désactivées, comme dans les stratégies de sécurité prédéfinies ?	Mesuré : réglage présent
SYA-153Maester	Les messages détectés comme hameçonnage à haut niveau de confiance sont-ils mis en quarantaine ?	Mesuré : réglage présent
SYA-158Maester	Les enregistrements DNS CNAME nécessaires à la signature DKIM sont-ils publiés pour chacun de vos domaines personnalisés ?	Mesuré : réglage présent
SYA-159Maester	Des expéditeurs sont-ils placés en liste d'autorisation de façon dangereuse ?	Mesuré : réglage présent
SYA-161Maester	L'indicateur d'expéditeur non authentifié (point d'interrogation sur la photo de l'expéditeur) est-il activé dans la politique anti-hameçonnage ?	Mesuré : réglage présent
SYA-162Maester	La protection anti-usurpation déplace-t-elle le message vers le dossier Courrier indésirable du destinataire (politique anti-hameçonnage) ?	Mesuré : réglage présent
SYA-167Maester	Des domaines sont-ils placés en liste d'autorisation de façon dangereuse dans les politiques anti-pourriel ?	Mesuré : réglage présent
SYA-169Maester	Vos propres domaines sont-ils placés en liste d'autorisation de façon dangereuse dans les politiques anti-pourriel ?	Mesuré : réglage présent
SYA-175Maester	Une action de politique de filtrage prise en charge est utilisée.	Mesuré : réglage présent
SYA-177Maester	Safe Attachments bloque-t-il les messages en cas de logiciel malveillant inconnu ?	Mesuré : réglage présent
SYA-178Maester	Le courrier indésirable est-il déplacé vers le dossier dédié ou mis en quarantaine ?	Mesuré : réglage présent
SYA-180Maester	Le courrier en nombre est-il déplacé vers le dossier Courrier indésirable ?	Mesuré : réglage présent
SYA-182Maester	Les conseils de sécurité (Safety Tips) sont-ils activés ?	Mesuré : réglage présent
SYA-184Maester	Safe Attachments est-il activé pour SharePoint, OneDrive et Teams ?	Mesuré : réglage présent
SYA-186Maester	La détection des expéditeurs usurpés (veille anti-usurpation) est-elle activée dans la politique anti-hameçonnage ?	Mesuré : réglage présent
SYA-191Maester	« Mailbox intelligence » (l'apprentissage des correspondants habituels de chaque boîte aux lettres) est-il activé dans les politiques anti-hameçonnage ?	Mesuré : réglage présent
SYA-195Maester	Safe Documents est-il activé pour les applications Office ?	Mesuré : réglage présent
SYA-196Maester	Chaque domaine se voit-il appliquer une politique Safe Links ?	Mesuré : réglage présent
SYA-197Maester	Chaque domaine se voit-il appliquer une politique Safe Attachments ?	Mesuré : réglage présent
SYA-198Maester	La politique anti-hameçonnage est-elle exempte d'expéditeurs de confiance, c'est-à-dire d'exceptions à la protection contre l'usurpation d'identité ?	Mesuré : réglage présent
SYA-199Maester	La politique anti-hameçonnage est-elle exempte de domaines de confiance, c'est-à-dire de domaines expéditeurs exclus de la protection contre l'usurpation d'identité ?	Mesuré : réglage présent
SYA-200Maester	Chaque domaine se voit-il appliquer une politique anti-hameçonnage, ou à défaut la politique par défaut ?	Mesuré : réglage présent
SYA-201Maester	Chaque domaine se voit-il appliquer une politique anti-pourriel, ou à défaut la politique par défaut ?	Mesuré : réglage présent
SYA-202Maester	Chaque domaine se voit-il appliquer une politique de filtrage des logiciels malveillants, ou à défaut la politique par défaut ?	Mesuré : réglage présent
SYA-205Maester	Le passage outre l'avertissement est-il désactivé pour Safe Documents ?	Mesuré : réglage présent
SYA-207Maester	Safe Links est-il activé pour les e-mails ?	Mesuré : réglage présent
SYA-208Maester	Safe Links est-il activé pour les messages Teams ?	Mesuré : réglage présent
SYA-209Maester	Safe Links est-il activé pour les documents Office ?	Mesuré : réglage présent
SYA-211Maester	Affichage des marqueurs d'expéditeur externe dans Outlook.	Mesuré : réglage présent
SYA-213Maester	Les alertes de protection qui déclenchent les investigations automatiques (AIR) sont-elles activées ?	Mesuré : réglage présent
SYA-215Maester	Les politiques respectent-elles la stratégie DMARC publiée par les domaines expéditeurs ?	Mesuré : réglage présent
SYA-68Monkey365 eid-cap-block-legacy-authentication-not-enabled	Une politique d'accès conditionnel bloque-t-elle l'authentification héritée (legacy) ?	Mesuré : réglage présent
SYA-69Monkey365 eid-cap-lack-sign-in-frequency-browser-persistent-session	Une fréquence de reconnexion est-elle imposée et les sessions navigateur persistantes désactivées pour les comptes administrateurs ?	Mesuré : réglage présent
SYA-77Monkey365 eid-device-code-sign-in-flow-not-enabled	Le flux de connexion par code d'appareil (device code flow) est-il bloqué par une politique d'accès conditionnel ?	Mesuré : réglage présent
SYA-66Monkey365 eid-ensure-mfa-for-high-privileged-users-missing-cap	Le MFA est-il exigé pour tous les comptes disposant d'un rôle d'administration ?	Mesuré : réglage présent
SYA-70Monkey365 eid-ensure-phishing-resistant-mfa-for-high-privileged-users-missing-cap	Une force d'authentification MFA résistante au hameçonnage (clé de sécurité, certificat) est-elle exigée pour les administrateurs ?	Mesuré : réglage présent
SYA-64Monkey365 eid-guest-invite-restriction-disabled	Le droit d'inviter des utilisateurs externes est-il réservé à un rôle dédié plutôt qu'ouvert à tous les utilisateurs ?	Mesuré : réglage présent
SYA-78Monkey365 eid-microsoft-authenticator-lack-mfa-fatigue-protection	Microsoft Authenticator affiche-t-il un contexte de connexion pour prévenir les attaques par saturation de notifications MFA ?	Mesuré : réglage présent
SYA-65Monkey365 eid-password-hash-sync-disabled	La synchronisation de hachage de mot de passe est-elle activée pour les déploiements hybrides Entra Connect ?	Mesuré : réglage présent
SYA-74Monkey365 eid-require-device-compliant-all-apps-missing-cap	Une politique d'accès conditionnel exige-t-elle un appareil géré/conforme pour s'authentifier aux applications sensibles ?	Mesuré : réglage présent
SYA-75Monkey365 eid-require-device-compliant-to-register-security-info-missing-cap	Un appareil géré est-il exigé pour enregistrer ou modifier les informations de sécurité (méthodes MFA) d'un compte ?	Mesuré : réglage présent
SYA-62Monkey365 eid-restrict-collaboration-specific-domains-disabled	Les invitations de collaboration externe (invités B2B) sont-elles limitées à une liste de domaines autorisés ?	Mesuré : réglage présent
SYA-76Monkey365 eid-sign-in-frequency-intune-enrollment-missing-cap	La fréquence de connexion est-elle réglée sur 'à chaque fois' pour l'inscription des appareils dans Intune ?	Mesuré : réglage présent
SYA-85Monkey365 eid-sspr-enabled-set-to-all	La réinitialisation en libre-service du mot de passe (SSPR) est-elle activée pour l'ensemble des utilisateurs ?	Mesuré : réglage présent
SYA-94Monkey365 exchange-audit-bypass-enabled	Le contournement de l'audit (AuditBypassEnabled) est-il activé sur des boîtes Exchange Online ?	Mesuré : réglage présent
SYA-92Monkey365 exchange-audit-enabled-globally	L'audit des boîtes aux lettres est-il maintenu actif par défaut au niveau de l'organisation (AuditDisabled = False) ?	Mesuré : réglage présent
SYA-98Monkey365 exchange-external-email-sender-configured	Configuration de l'avertissement d'expéditeur externe dans Exchange.	Mesuré : réglage présent
SYA-100Monkey365 exchange-modern-authentication-disabled	L'authentification moderne est-elle désactivée sur Exchange Online (protocoles hérités encore acceptés) ?	Mesuré : réglage présent
SYA-29Monkey365 exhange-inbound-anti-spam-policies-allowed-domains	La liste des expéditeurs/domaines autorisés des politiques anti-spam entrantes est-elle vide (pas de contournement du filtrage) ?	Mesuré : réglage présent
SYA-112Monkey365 sharepoint-external-sharing-not-restricted-by-security-group	Le partage externe est-il restreint aux membres de groupes de sécurité autorisés ?	Mesuré : réglage présent
SYA-105Monkey365 sharepoint-modern-authentication-required	L'authentification moderne est-elle exigée pour l'accès à SharePoint Online ?	Mesuré : réglage présent
SYA-127Monkey365 teams-anonymous-users-cant-join-meeting	Les utilisateurs anonymes sont-ils empêchés de rejoindre une réunion Teams ?	Mesuré : réglage présent
CISA:MS.AAD.1.1ScubaGear MS.AAD.1.1v1	L'authentification héritée (legacy) DOIT être bloquée.	Mesuré : réglage présent
CISA:MS.AAD.3.1ScubaGear MS.AAD.3.1v1	Une MFA résistante à l'hameçonnage DOIT être appliquée à tous les utilisateurs.	Mesuré : réglage présent
CISA:MS.AAD.3.3ScubaGear MS.AAD.3.3v2	Si Microsoft Authenticator est activé, il DOIT être configuré pour afficher les informations de contexte de connexion.	Mesuré : réglage présent
CISA:MS.AAD.3.4ScubaGear MS.AAD.3.4v1	La migration des méthodes d'authentification (réglage « Gérer la migration ») DOIT être définie sur « Migration terminée ».	Mesuré : réglage présent
CISA:MS.AAD.3.6ScubaGear MS.AAD.3.6v1	Une MFA résistante à l'hameçonnage DOIT être requise pour les rôles à hauts privilèges.	Mesuré : réglage présent
CISA:MS.AAD.3.7ScubaGear MS.AAD.3.7v1	Des appareils gérés DEVRAIENT être requis pour l'authentification.	Mesuré : réglage présent
CISA:MS.AAD.3.8ScubaGear MS.AAD.3.8v1	Des appareils gérés (Managed Devices) DEVRAIENT être requis pour enregistrer la MFA.	Mesuré : réglage présent
CISA:MS.AAD.3.9ScubaGear MS.AAD.3.9v1	L'authentification par code d'appareil (device code) DEVRAIT être bloquée.	Mesuré : réglage présent
CISA:MS.AAD.5.1ScubaGear MS.AAD.5.1v1	Seuls les administrateurs DOIVENT être autorisés à enregistrer des applications.	Mesuré : réglage présent
CISA:MS.AAD.5.2ScubaGear MS.AAD.5.2v1	Le consentement des utilisateurs aux applications DOIT être restreint.	Mesuré : réglage présent
CISA:MS.AAD.6.1ScubaGear MS.AAD.6.1v1	Les mots de passe des utilisateurs NE DOIVENT PAS expirer.	Mesuré : réglage présent
CISA:MS.AAD.7.1ScubaGear MS.AAD.7.1v1	Un minimum de deux utilisateurs et un maximum de huit utilisateurs DOIVENT être dotés du rôle Administrateur général.	Mesuré : réglage présent
CISA:MS.AAD.7.2ScubaGear MS.AAD.7.2v1	Les utilisateurs privilégiés DOIVENT être dotés de rôles à granularité plus fine plutôt que du rôle Administrateur général.	Mesuré : réglage présent
CISA:MS.AAD.7.4ScubaGear MS.AAD.7.4v1	Les attributions de rôles actives permanentes NE DOIVENT PAS être autorisées pour les rôles à hauts privilèges.	Mesuré : réglage présent
CISA:MS.AAD.8.1ScubaGear MS.AAD.8.1v1	Les utilisateurs invités DEVRAIENT avoir un accès limité ou restreint aux objets de l'annuaire Microsoft Entra ID.	Mesuré : réglage présent
CISA:MS.AAD.8.2ScubaGear MS.AAD.8.2v1	Seuls les utilisateurs disposant du rôle Inviteur d'invités DEVRAIENT pouvoir inviter des utilisateurs invités.	Mesuré : réglage présent
CISA:MS.AAD.8.3ScubaGear MS.AAD.8.3v1	Les invitations d'invités NE DEVRAIENT être autorisées que vers des domaines externes spécifiques autorisés par l'organisation à des fins professionnelles légitimes.	Mesuré : réglage présent
CISA:MS.EXO.1.1ScubaGear MS.EXO.1.1v2	Le transfert automatique vers des domaines externes DOIT être désactivé.	Mesuré : réglage présent
CISA:MS.EXO.6.1ScubaGear MS.EXO.6.1v1	Les dossiers de contacts NE DOIVENT PAS être partagés avec tous les domaines.	Mesuré : réglage présent
CISA:MS.EXO.6.2ScubaGear MS.EXO.6.2v1	Les détails de calendrier NE DOIVENT PAS être partagés avec tous les domaines.	Mesuré : réglage présent
CISA:MS.EXO.7.1ScubaGear MS.EXO.7.1v1	Les avertissements d'expéditeur externe doivent être mis en place.	Mesuré : réglage présent
CISA:MS.DEFENDER.3.1ScubaGear MS.SECURITYSUITE.1.4v1, anciennement MS.DEFENDER.3.1v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version ; libellé de l'ancienne règle	Safe Attachments DEVRAIT être activé pour SharePoint, OneDrive et Microsoft Teams.	Mesuré : réglage présent
CISA:MS.DEFENDER.2.2ScubaGear MS.SECURITYSUITE.2.2v1, anciennement MS.DEFENDER.2.2v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version ; libellé de l'ancienne règle	La protection contre l'usurpation de domaine DEVRAIT être activée pour les domaines détenus par l'organisation dans les politiques standard et stricte.	Mesuré : réglage présent
CISA:MS.DEFENDER.2.3ScubaGear MS.SECURITYSUITE.2.3v1, anciennement MS.DEFENDER.2.3v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version ; libellé de l'ancienne règle	La protection contre l'usurpation de domaine DEVRAIT être ajoutée pour les fournisseurs et partenaires clés dans les politiques standard et stricte.	Mesuré : réglage présent
CISA:MS.DEFENDER.5.1ScubaGear MS.SECURITYSUITE.4.1v1, anciennement MS.DEFENDER.5.1v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version	Au minimum, les alertes suivantes DOIVENT être activées : schémas d'envoi d'e-mails suspects détectés ; activité suspecte de connecteur ; activité suspecte de transfert d'e-mails ; messages retardés ; locataire restreint pour l'envoi d'e-mails non provisionnés ; locataire restreint pour l'envoi d'e-mails ; clic sur une URL potentiellement malveillante détecté.	Mesuré : réglage présent
CISA:MS.DEFENDER.5.2ScubaGear MS.SECURITYSUITE.4.2v1, anciennement MS.DEFENDER.5.2v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version	Les alertes devraient être envoyées vers une adresse supervisée ou intégrées à un SIEM.	Mesuré : réglage présent
CISA:MS.DEFENDER.6.1ScubaGear MS.SECURITYSUITE.5.1v1, anciennement MS.DEFENDER.6.1v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version	La journalisation d'audit unifiée (Unified Audit) DOIT être activée.	Mesuré : réglage présent
CISA:MS.SHAREPOINT.1.3ScubaGear MS.SHAREPOINT.1.3v1	Le partage externe DOIT être restreint aux domaines externes approuvés et/ou aux utilisateurs appartenant à des groupes de sécurité approuvés.	Mesuré : réglage présent
CISA:MS.TEAMS.1.3ScubaGear MS.TEAMS.1.3v1	Les utilisateurs anonymes et les participants par appel entrant (dial-in) NE DEVRAIENT PAS être admis automatiquement.	Mesuré : réglage présent

SYAGA Audit · édité par SYAGA CONSULTINGAudit vérifiable : une mesure datée

Contrôles dérivés de référentiels publics, cités selon leur licence : ANSSI/NIS2 (Licence Ouverte v2.0 (Etalab)), FinOps Foundation (CC-BY 4.0), M365SAT (MIT), Maester (MIT), Monkey365 (Apache-2.0), ScubaGear (CC0 (domaine public)). MITRE ATT&CK®: © 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. The MITRE Corporation (MITRE) hereby grants you a non-exclusive, royalty-free license to use ATT&CK® for research, development, and commercial purposes. Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. MITRE ATT&CK and ATT&CK are registered trademarks of The MITRE Corporation.