Vos 82 écarts ne sont pas 82 problèmes : ils se ramènent à quatre chantiers. En les traitant dans l'ordre, vous réduisez la plus grande part du risque.
Ce document ne garantit ni l'acceptation de votre dossier par votre assureur ou votre donneur d'ordre, ni une prime ou des conditions particulières.
Ce qui n'est pas mesuré, et pourquoi
Ces éléments ne comptent ni pour vous ni contre vous : les niveaux ne portent que sur la part mesurée.
Niveaux de 1 (critique) à 5 (état de l'art). Le niveau global est celui de la branche la plus faible, comme dans la grille de l'ANSSI.
Un point critique de protection est ouvert : il passe avant tout le reste.
Des exigences importantes, comme la conservation des traces, ne sont pas tenues.
Vos licences correspondent à l'usage mesuré.
L'usage des ressources est correct, quelques réglages restent à ajuster.
Les invitations, les consentements ou la création d'objets sont trop ouverts.
Périmètre : Entreprise Démonstration (exemple, non client). 189 contrôles conformes, 82 non conformes, 45 à confirmer, 209 non collectés. Référentiels croisés : ANSSI, M365SAT, Maester, Monkey365, ScubaGear. Rapport du 17 juillet 2026.
189 contrôles conformes sur 271 tranchés (70 %).
82 contrôles non conformes, détaillés ci-dessous par chantier avec constat mesuré et marche à suivre.
45 contrôles à confirmer : donnée ambiguë, revue humaine requise avant de trancher. Exclus du score.
209 contrôles non collectés sur ce scan : ni conformes ni non conformes ; le journal de collecte liste chaque contrôle, avec son motif lorsqu'il a été enregistré.
| Repère | Point de contrôle | Sévérité |
|---|---|---|
| CISA:MS.AAD.3.2 | L'authentification multifacteur (MFA) DOIT être imposée à tous les utilisateurs. | critique |
| SYA-67 | Le MFA est-il exigé pour l'ensemble des utilisateurs via une politique d'accès conditionnel ? | critique |
| ANSSI R13 | Privilégier lorsque c'est possible une authentification forte | élevée |
| CISA:MS.AAD.2.3 | Les connexions détectées comme à risque élevé DOIVENT être bloquées. | élevée |
| CISA:MS.AAD.3.5 | Les méthodes d'authentification SMS, appel vocal et code à usage unique (OTP) par e-mail DOIVENT être désactivées. | élevée |
| Et 28 de plus : voir l'inventaire ci-dessous. |
Le MFA doit être exigé pour l'ensemble des utilisateurs via une politique d'accès conditionnel afin de bloquer la grande majorité des attaques par compromission d'identité. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Le MFA doit être exigé pour tous les utilisateurs, le MFA bloquant la grande majorité des attaques par compromission d'identité. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Restreindre la capacité des utilisateurs non-administrateurs à créer de nouveaux locataires Microsoft Entra ID, afin d'éviter la prolifération de locataires non gérés. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Activer le flux de consentement administrateur dans Entra ID pour qu'une demande d'accès bloquée côté utilisateur soit routée vers un réviseur plutôt que simplement rejetée sans suite. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Au moins deux comptes d'accès d'urgence (break-glass) cloud-only en *.onmicrosoft.com, exclus des politiques CA bloquantes, doivent être définis pour éviter un verrouillage total de l'administration. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Vérifier via le rapport 'MFA capable' d'Entra ID que chaque utilisateur membre dispose d'une méthode d'authentification forte enregistrée, condition préalable à l'application effective du MFA. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Les connexions détectées comme à risque élevé doivent être bloquées pour stopper les sessions présentant des signaux d'attaque actifs. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Les méthodes d'authentification SMS, appel vocal et code à usage unique par e-mail (OTP) doivent être désactivées car elles sont vulnérables à l'hameçonnage et à l'interception. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Configurer un flux d'approbation du consentement administrateur afin que les demandes d'accès des applications soient soumises à l'approbation d'un administrateur désigné. Où agir : Microsoft Entra (entra.microsoft.com) > Identité > Applications > Applications d'entreprise > Consentement et autorisations > Paramètres de consentement administrateur
Limiter le partage externe SharePoint à 'Invités existants' ou 'Uniquement les personnes de votre organisation'. Où agir : Centre d'administration SharePoint (admin.microsoft.com > Centres d'administration > SharePoint)
Restreindre le partage externe de contenu au niveau le plus restrictif approprié (SharingCapability au plus 'Invités existants') pour limiter la portée de la collaboration externe. Où agir : Centre d'administration SharePoint (admin.microsoft.com > Centres d'administration > SharePoint)
Restreindre le partage externe SharePoint au niveau le plus restrictif compatible avec le métier (au plus 'Invités existants'), le paramètre OneDrive ne pouvant pas être plus permissif que SharePoint. Où agir : Centre d'administration SharePoint (admin.microsoft.com > Centres d'administration > SharePoint)
Imposer une authentification forte, de préférence résistante au hameçonnage (FIDO2, Windows Hello Entreprise, certificat), pour l'ensemble des comptes et en priorité absolue pour les comptes d'administration. Où agir : entra.microsoft.com > Protection > Méthodes d'authentification / Accès conditionnel
Limiter le partage externe OneDrive à 'Invités existants' ou 'Uniquement les personnes de votre organisation'. Où agir : Centre d'administration SharePoint (admin.microsoft.com > Centres d'administration > SharePoint)
Autoriser les utilisateurs à demander le consentement administrateur pour les applications qu'ils ne peuvent pas approuver eux-mêmes. Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Applications > Applications d'entreprise > Consentement et autorisations > Paramètres de consentement administrateur
Activer la fonctionnalité de demande de consentement administrateur (flux de demande d'accès aux applications). Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Applications > Applications d'entreprise > Consentement et autorisations > Paramètres de consentement administrateur
Activer les notifications par e-mail aux réviseurs pour chaque nouvelle demande de consentement administrateur. Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Applications > Applications d'entreprise > Consentement et autorisations > Paramètres de consentement administrateur
Activer les notifications par e-mail aux réviseurs lorsqu'une demande de consentement administrateur approche de son expiration. Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Applications > Applications d'entreprise > Consentement et autorisations > Paramètres de consentement administrateur
Définir une durée d'expiration appropriée (en jours) pour les demandes de consentement administrateur. Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Applications > Applications d'entreprise > Consentement et autorisations > Paramètres de consentement administrateur
Configurer le mode de Protection par mot de passe sur « Appliqué » (application effective, pas seulement en mode Audit). Où agir : Portail Microsoft Entra (entra.microsoft.com) > Protection > Méthodes d'authentification > Protection par mot de passe
Activer le flux de consentement administrateur pour que les utilisateurs demandent l'approbation d'accès aux applications. Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Applications > Applications d'entreprise > Consentement et autorisations > Paramètres de consentement administrateur
Exclure au moins un compte ou groupe d'accès d'urgence (break-glass) de toutes les politiques d'accès conditionnel pour éviter un verrouillage total. Où agir : Microsoft Entra (entra.microsoft.com) > Protection > Accès conditionnel > Politiques (exclusions)
Configurer au moins une politique d'accès conditionnel exigeant le MFA pour tous les utilisateurs. Où agir : Microsoft Entra (entra.microsoft.com) > Protection > Accès conditionnel > Politiques
Configurer une politique d'accès conditionnel imposant une session de navigateur non persistante sur les appareils non gérés. Où agir : Microsoft Entra (entra.microsoft.com) > Protection > Accès conditionnel > Politiques (Session)
Interdire aux utilisateurs non administrateurs de créer des locataires. Où agir : Microsoft Entra (entra.microsoft.com) > Identité > Utilisateurs > Paramètres utilisateur
Déployer l'authentification multifacteur (ou continue) sur les accès, sécuriser les communications voix/vidéo/texte et prévoir des moyens de communication d'urgence ; encadrer ces mesures par une politique d'authentification et de communications sécurisées. Où agir : Portail Microsoft Entra (entra.microsoft.com)
Gérer le partage externe via une liste d'autorisation ou de blocage de domaines pour limiter le partage aux seules organisations de confiance. Où agir : Centre d'administration SharePoint (admin.microsoft.com > Centres d'administration > SharePoint)
Disposer d'au moins une stratégie d'accès conditionnel exigeant la conformité de l'appareil, pour que seuls les terminaux conformes accèdent aux ressources du locataire. Où agir : Microsoft Intune (intune.microsoft.com)
Configurer une politique d'accès conditionnel imposant une fréquence de reconnexion sur les appareils non gérés. Où agir : Microsoft Entra (entra.microsoft.com) > Protection > Accès conditionnel > Politiques (Session)
Configurer une politique d'accès conditionnel activant les restrictions imposées par l'application. Où agir : Microsoft Entra (entra.microsoft.com) > Protection > Accès conditionnel > Politiques (Session)
Bloquer l'authentification héritée (legacy authentication) pour chaque utilisateur encore concerné. Où agir : Microsoft Entra (entra.microsoft.com) > Protection > Accès conditionnel > Politiques
Empêcher l'ajout du rôle Administrateur général comme administrateur local de l'appareil lors de la jonction Microsoft Entra. Où agir : Microsoft Entra (entra.microsoft.com) > Identité > Appareils > Paramètres d'appareil (administrateurs locaux)
Interdire aux utilisateurs non administrateurs de créer des groupes de sécurité. Où agir : Microsoft Entra (entra.microsoft.com) > Identité > Groupes > Paramètres généraux
| Repère | Point de contrôle | Sévérité |
|---|---|---|
| SYA-34 | Le preset de sécurité 'Strict' est-il appliqué aux comptes prioritaires ? | élevée |
| EIDSCA.AP14 | Paramètres d'autorisation par défaut - Permissions par défaut du rôle utilisateur - Lecture des autres utilisateurs autorisée. | élevée |
| MT.1021 | Activation des paramètres de sécurité par défaut (Security Defaults). | élevée |
| MT.1034 | Les comptes d'accès d'urgence (break-glass) ne doivent pas être bloqués. | élevée |
| SYA-117 | La synchronisation OneDrive est-elle bloquée depuis les appareils non gérés ? | élevée |
| Et 26 de plus : voir l'inventaire ci-dessous. |
Bloquer la synchronisation OneDrive depuis les appareils non gérés via une politique d'accès conditionnel (AllowLimitedAccess) limitant l'accès au web sans téléchargement/synchronisation. Où agir : Centre d'administration SharePoint (admin.microsoft.com > Centres d'administration > SharePoint)
Appliquer le preset de protection Strict aux comptes prioritaires pour leur garantir le niveau de filtrage le plus élevé. Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace
Restreindre la lecture des autres utilisateurs de l'annuaire par les utilisateurs standard, conformément à la politique. Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Utilisateurs > Paramètres utilisateur
Activer les valeurs de sécurité par défaut (Security Defaults) si aucune couverture équivalente par accès conditionnel n'est en place. Où agir : Microsoft Entra (entra.microsoft.com) > Identité > Vue d'ensemble > Propriétés (Gérer les valeurs de sécurité par défaut)
Vérifier que les comptes d'accès d'urgence (emergency access) ne sont pas bloqués par les politiques d'accès conditionnel. Où agir : Microsoft Entra (entra.microsoft.com) > Protection > Accès conditionnel > Politiques (exclusions)
Limiter le droit de présenter aux seuls utilisateurs ayant le rôle Présentateur dans les réunions Teams. Où agir : Centre d'administration Teams (admin.teams.microsoft.com)
Configurer une liste de mots de passe bannis spécifique au locataire (noms de l'entreprise, produits, ville...) en plus de la liste globale de mots de passe interdits gérée par Microsoft. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Activer les MailTips pour informer les utilisateurs (destinataires externes, grandes listes) et réduire les erreurs d'envoi. Où agir : Centre d'administration Exchange (admin.exchange.microsoft.com) > Paramètres > Paramètres de messagerie (MailTips)
Source : ScubaGear MS.SECURITYSUITE.2.1v1, anciennement MS.DEFENDER.2.1v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version ; libellé de l'ancienne règle. Activer la protection contre l'usurpation d'utilisateurs pour les comptes sensibles dans les stratégies prédéfinies Standard et Strict. Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace
Source : ScubaGear MS.SECURITYSUITE.3.1v1, anciennement MS.DEFENDER.4.1v2, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version ; libellé de l'ancienne règle. Créer une stratégie de prévention des pertes de données dont une règle bloque au minimum le type d'information sensible « numéro de carte bancaire » (Credit Card Number). Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace
Source : ScubaGear MS.SECURITYSUITE.3.2v1, anciennement MS.DEFENDER.4.2v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version. Appliquer la politique DLP personnalisée à Exchange, OneDrive, SharePoint, le chat Teams et les appareils. Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace
Source : ScubaGear MS.SECURITYSUITE.3.4v1, anciennement MS.DEFENDER.4.4v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version. Activer les notifications utilisateur dans la politique DLP personnalisée pour éduquer sur l'usage correct des informations sensibles. Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace
Admettre automatiquement les utilisateurs internes (éviter la fatigue d'admission). Où agir : Centre d'administration Teams (admin.teams.microsoft.com)
N'autoriser que l'installation des applications Microsoft approuvées par l'organisation. Où agir : Centre d'administration Teams (admin.teams.microsoft.com)
N'autoriser que l'installation des applications tierces approuvées par l'organisation. Où agir : Centre d'administration Teams (admin.teams.microsoft.com)
N'autoriser que l'installation des applications personnalisées (custom) approuvées par l'organisation. Où agir : Centre d'administration Teams (admin.teams.microsoft.com)
Désactiver l'inscription en libre-service des utilisateurs à des abonnements basés sur l'e-mail. Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Utilisateurs > Paramètres utilisateur
Interdire le consentement utilisateur sur les applications à risque (bloquer le consentement pour les applications non vérifiées ou aux permissions sensibles). Où agir : Portail Microsoft Entra (entra.microsoft.com) > Identité > Applications > Applications d'entreprise > Consentement et autorisations
S'assurer que tout objet exclu d'une politique d'accès conditionnel dispose d'une inclusion de repli (fallback) dans une autre politique. Où agir : Microsoft Entra (entra.microsoft.com) > Protection > Accès conditionnel > Politiques
Activer les MailTips pour les utilisateurs finaux. Où agir : Centre d'administration Exchange (admin.exchange.microsoft.com) > Paramètres > Paramètres de l'organisation (MailTips)
Empêcher les utilisateurs connectés par téléphone (dial-in) de contourner le hall d'attente (lobby) des réunions. Où agir : Centre d'administration Teams (admin.teams.microsoft.com) > Réunions > Stratégies de réunion
Configurer le niveau de confiance anti-spam (SCL) dans les règles de transport pour les domaines spécifiques concernés. Où agir : Centre d'administration Exchange (admin.exchange.microsoft.com) > Flux de messagerie > Règles
Empêcher les utilisateurs anonymes de rejoindre les réunions Teams. Où agir : Centre d'administration Teams (admin.teams.microsoft.com) > Réunions > Stratégies de réunion
Restreindre la jonction d'appareils à des utilisateurs ou groupes sélectionnés, ou l'interdire. Où agir : Microsoft Entra (entra.microsoft.com) > Identité > Appareils > Paramètres d'appareil
Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Le seuil de niveau de plainte en masse est compris entre 4 et 6 ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-courrier indésirable
Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Les paramètres de la politique de filtrage du spam sortant sont configurés ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-courrier indésirable
Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « La protection contre l'usurpation, basée sur l'intelligence de boîte aux lettres, déplace le message vers le dossier de courrier indésirable ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-hameçonnage
Configurer la politique Anti-malware pour appliquer le réglage cible : « Activation du filtre des types de pièces jointes courants ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-programme malveillant
Configurer la politique Anti-liens (liens fiables) pour appliquer le réglage cible : « Activation des liens fiables au sein de l'organisation ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Liens fiables (Safe Links)
Désactiver l'enregistrement des réunions par défaut. Où agir : Centre d'administration Teams (admin.teams.microsoft.com)
Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Activation des conseils de sécurité « utilisateurs similaires » ». Où agir : security.microsoft.com > Politiques de menace > Anti-hameçonnage > Conseils de sécurité (utilisateurs usurpés similaires)
| Repère | Point de contrôle | Sévérité |
|---|---|---|
| CISA:MS.EXO.8.1Maester CISA.MS.EXO.8.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.3.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle | Une solution de prévention des pertes de données (DLP) doit être utilisée. | élevée |
| CISA:MS.EXO.8.4Maester CISA.MS.EXO.8.4, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.3.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle | Au minimum, la prévention des pertes de données (DLP) DOIT bloquer le partage par e-mail des numéros de carte bancaire. | élevée |
| SYA-41 | Des politiques d'étiquettes de confidentialité (sensitivity labels) sont-elles publiées dans Microsoft Purview Information Protection ? | élevée |
| SYA-108 | Le partage de contenu OneDrive est-il restreint au niveau le plus limitant approprié ? | élevée |
| CISA:MS.DEFENDER.4.3ScubaGear MS.SECURITYSUITE.3.3v1, anciennement MS.DEFENDER.4.3v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version | L'action de la politique personnalisée DEVRAIT être définie pour bloquer le partage d'informations sensibles avec tout le monde. | moyenne |
| Et 1 de plus : voir l'inventaire ci-dessous. |
Publier au moins une politique d'étiquettes de sensibilité (sensitivity labels) auprès des utilisateurs ou groupes cibles, afin de permettre la classification et la protection des documents selon leur niveau de confidentialité. Où agir : Microsoft Purview (purview.microsoft.com)
Restreindre le partage de contenu OneDrive au niveau le plus restrictif approprié (au plus 'Invités existants'), sachant qu'OneDrive peut être plus restrictif que SharePoint mais jamais plus permissif. Où agir : Centre d'administration SharePoint (admin.microsoft.com > Centres d'administration > SharePoint)
Source : Maester CISA.MS.EXO.8.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.3.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle. Mettre en place une solution de prévention des pertes de données (DLP) couvrant Exchange Online. Où agir : Portail Microsoft Purview (purview.microsoft.com) > Protection contre la perte de données
Source : Maester CISA.MS.EXO.8.4, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.3.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle. Créer une stratégie de prévention des pertes de données appliquée à Exchange, activée en mode « Enforce », dont une règle bloque le partage par e-mail du type d'information sensible « numéro de carte bancaire » (Credit Card Number). Où agir : Portail Microsoft Purview (purview.microsoft.com) > Protection contre la perte de données
Source : ScubaGear MS.SECURITYSUITE.3.3v1, anciennement MS.DEFENDER.4.3v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version. Définir l'action de la politique DLP personnalisée pour bloquer le partage d'informations sensibles avec tout le monde. Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace
Source : Maester CISA.MS.EXO.8.2, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.3.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle. Configurer les stratégies DLP pour protéger les informations personnelles identifiables (PII) et les données sensibles définies par l'organisation. Où agir : Portail Microsoft Purview (purview.microsoft.com) > Protection contre la perte de données
| Repère | Point de contrôle | Sévérité |
|---|---|---|
| MT.1168 | Les malwares nettoyés devraient être conservés au moins 30 jours | élevée |
| SYA-164 | La liste d'autorisation d'adresses IP du filtrage de connexion est-elle vide (une adresse autorisée contourne le filtrage anti-spam) ? | élevée |
| SYA-179 | Mise en quarantaine des courriers indésirables à confiance élevée. | élevée |
| SYA-188 | Safe Links s'applique-t-il sans être contourné par une règle de transport ? | élevée |
| SYA-192 | Mise en quarantaine en cas d'usurpation de domaine. | élevée |
| Et 7 de plus : voir l'inventaire ci-dessous. |
Conserver les logiciels malveillants nettoyés au moins 30 jours (rétention de quarantaine anti-malware). Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Anti-malware
Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Absence de liste d'autorisation d'adresses IP (les listes d'autorisation contournent le filtrage anti-spam) ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-courrier indésirable
Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Mise en quarantaine des courriers indésirables à confiance élevée ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-courrier indésirable
Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « Mise en quarantaine en cas d'usurpation de domaine ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-hameçonnage
Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « Mise en quarantaine en cas d'usurpation d'utilisateur ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-hameçonnage
Configurer la politique Anti-liens (Safe Links) pour appliquer le réglage cible : « Safe Links n'est pas contourné ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Liens fiables (Safe Links)
Mettre en place une règle de surveillance (alerte) déclenchée dès qu'un compte d'accès d'urgence break-glass est utilisé, ce compte ne devant servir qu'en cas d'incident. Où agir : Microsoft Entra (entra.microsoft.com) > Identité
Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Durée de rétention en quarantaine portée à 30 jours ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-courrier indésirable
Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « Mise en quarantaine des messages détectés comme hameçonnage ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-hameçonnage
Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « Le niveau de seuil du filtre anti-hameçonnage avancé est adéquat ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-hameçonnage
Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « Activation du conseil de sécurité « premier contact » (anti-hameçonnage) ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Anti-hameçonnage
Configurer la politique Pièces jointes fiables (Safe Attachments) pour appliquer le réglage cible : « Safe Attachments n'est pas contourné ». Où agir : Microsoft Defender (security.microsoft.com) > E-mail et collaboration > Politiques et règles > Politiques de menace > Pièces jointes fiables (Safe Attachments)
| Repère | Point de contrôle | Sévérité |
|---|---|---|
| ANSSI R13 | Privilégier lorsque c'est possible une authentification forte | élevée |
| CISA:MS.AAD.2.3 | Les connexions détectées comme à risque élevé DOIVENT être bloquées. | élevée |
| CISA:MS.AAD.3.2 | L'authentification multifacteur (MFA) DOIT être imposée à tous les utilisateurs. | critique |
| CISA:MS.AAD.3.5 | Les méthodes d'authentification SMS, appel vocal et code à usage unique (OTP) par e-mail DOIVENT être désactivées. | élevée |
| CISA:MS.AAD.5.3 | Un flux de consentement administrateur DOIT être configuré pour les applications. | élevée |
| CISA:MS.SHAREPOINT.1.1 | Le partage externe pour SharePoint DOIT être limité aux invités existants ou aux seules personnes de votre organisation. | élevée |
| CISA:MS.SHAREPOINT.1.2 | Le partage externe pour OneDrive DOIT être limité aux invités existants ou aux seules personnes de votre organisation. | élevée |
| EIDSCA.CP04 | Paramètres par défaut - Politique de consentement - Les utilisateurs peuvent demander le consentement administrateur pour les applications qu'ils ne peuvent pas approuver eux-mêmes. | élevée |
| EIDSCA.CR01 | Cadre de consentement - Demande de consentement administrateur - Stratégie d'activation ou de désactivation de la fonctionnalité de demande de consentement administrateur. | élevée |
| EIDSCA.CR02 | Cadre de consentement - Demande de consentement administrateur - Les réviseurs reçoivent des notifications par e-mail pour les demandes. | élevée |
| EIDSCA.CR03 | Cadre de consentement - Demande de consentement administrateur - Les réviseurs reçoivent des notifications par e-mail lorsque les demandes approchent de leur expiration. | élevée |
| EIDSCA.CR04 | Cadre de consentement - Demande de consentement administrateur - Durée de la demande de consentement (en jours). | élevée |
| EIDSCA.PR01 | Paramètres par défaut - Règles de mot de passe - Protection par mot de passe - Mode. | élevée |
| SYA-2 | Au moins deux comptes d'accès d'urgence (break-glass) cloud-only sont-ils définis et exclus des politiques d'accès conditionnel bloquantes ? | élevée |
| SYA-47 | La création de nouveaux locataires Microsoft Entra par des utilisateurs non-administrateurs est-elle interdite ? | élevée |
| SYA-60 | Un flux de demande de consentement administrateur est-il actif lorsqu'une demande de consentement utilisateur est refusée ? | élevée |
| SYA-61 | Le flux de consentement administrateur est-il activé dans Microsoft Entra ID ? | élevée |
| SYA-67 | Le MFA est-il exigé pour l'ensemble des utilisateurs via une politique d'accès conditionnel ? | critique |
| SYA-81 | Tous les utilisateurs membres du locataire ont-ils au moins une méthode d'authentification MFA enregistrée ? | élevée |
| SYA-91 | Le partage externe SharePoint est-il encadré par une liste d'autorisation ou de blocage de domaines ? | moyenne |
| SYA-107 | Le partage externe de contenu SharePoint est-il restreint aux invités existants, ou désactivé ? | élevée |
| SYA-110 | Le partage externe SharePoint est-il restreint au niveau le plus limitant compatible avec le métier ? | élevée |
| MT.1001 | Au moins une stratégie d'accès conditionnel exige la conformité de l'appareil. | moyenne |
| MT.1005 | Toutes les stratégies d'accès conditionnel excluent au moins un compte ou groupe d'urgence (break-glass). | élevée |
| MT.1007 | Au moins une politique d'accès conditionnel exige-t-elle la MFA pour tous les utilisateurs ? | élevée |
| MT.1017 | Au moins une stratégie d'accès conditionnel impose une session de navigateur non persistante pour les appareils non gérés. | élevée |
| MT.1018 | Au moins une stratégie d'accès conditionnel impose une fréquence de connexion pour les appareils non gérés. | moyenne |
| MT.1019 | Au moins une stratégie d'accès conditionnel active les restrictions imposées par l'application. | moyenne |
| MT.1033 | L'utilisateur doit être empêché d'utiliser l'authentification héritée (legacy authentication). | moyenne |
| MT.1068 | Empêcher les utilisateurs non administrateurs de créer des locataires. | élevée |
| MT.1069 | Empêcher les utilisateurs non administrateurs de créer des groupes de sécurité. | faible |
| MT.1090 | Le rôle Administrateur général ne devrait pas être ajouté comme administrateur local du poste lors d'une jonction Microsoft Entra | moyenne |
| NIS2 Art.21(2)(j) | Recours à l'authentification multifacteur ou à l'authentification continue, et communications vocales/vidéo/texte et d'urgence sécurisées | élevée |
| Repère | Point de contrôle | Sévérité |
|---|---|---|
| CISA:MS.DEFENDER.4.3ScubaGear MS.SECURITYSUITE.3.3v1, anciennement MS.DEFENDER.4.3v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version | L'action de la politique personnalisée DEVRAIT être définie pour bloquer le partage d'informations sensibles avec tout le monde. | moyenne |
| CISA:MS.EXO.8.1Maester CISA.MS.EXO.8.1, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.3.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle | Une solution de prévention des pertes de données (DLP) doit être utilisée. | élevée |
| CISA:MS.EXO.8.2Maester CISA.MS.EXO.8.2, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.3.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle | La solution DLP DOIT protéger les données à caractère personnel (PII) et les informations sensibles, telles que définies par l'organisation. | moyenne |
| CISA:MS.EXO.8.4Maester CISA.MS.EXO.8.4, règle retirée par CISA en avril 2026, reprise dans MS.SECURITYSUITE.3.1v1 (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle | Au minimum, la prévention des pertes de données (DLP) DOIT bloquer le partage par e-mail des numéros de carte bancaire. | élevée |
| SYA-41 | Des politiques d'étiquettes de confidentialité (sensitivity labels) sont-elles publiées dans Microsoft Purview Information Protection ? | élevée |
| SYA-108 | Le partage de contenu OneDrive est-il restreint au niveau le plus limitant approprié ? | élevée |
| Repère | Point de contrôle | Sévérité |
|---|---|---|
| SYA-31 | L'activité des comptes d'accès d'urgence (break-glass) est-elle surveillée par une alerte dédiée ? | moyenne |
| MT.1168 | Les malwares nettoyés devraient être conservés au moins 30 jours | élevée |
| SYA-155 | Durée de rétention en quarantaine portée à 30 jours. | moyenne |
| SYA-164 | La liste d'autorisation d'adresses IP du filtrage de connexion est-elle vide (une adresse autorisée contourne le filtrage anti-spam) ? | élevée |
| SYA-179 | Mise en quarantaine des courriers indésirables à confiance élevée. | élevée |
| SYA-181 | Mise en quarantaine des messages détectés comme hameçonnage. | moyenne |
| SYA-187 | Safe Attachments s'applique-t-il sans être contourné par une règle de transport ? | moyenne |
| SYA-188 | Safe Links s'applique-t-il sans être contourné par une règle de transport ? | élevée |
| SYA-190 | Le niveau de seuil du filtre anti-hameçonnage avancé est adéquat. | moyenne |
| SYA-192 | Mise en quarantaine en cas d'usurpation de domaine. | élevée |
| SYA-193 | Mise en quarantaine en cas d'usurpation d'utilisateur. | élevée |
| SYA-212 | Activation du conseil de sécurité « premier contact » (anti-hameçonnage). | moyenne |
| Repère | Point de contrôle | Sévérité |
|---|---|---|
| CISA:MS.DEFENDER.2.1ScubaGear MS.SECURITYSUITE.2.1v1, anciennement MS.DEFENDER.2.1v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version ; libellé de l'ancienne règle | La protection contre l'usurpation d'utilisateur DEVRAIT être activée pour les comptes sensibles dans les politiques standard et strictes. | moyenne |
| CISA:MS.DEFENDER.4.1ScubaGear MS.SECURITYSUITE.3.1v1, anciennement MS.DEFENDER.4.1v2, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version ; libellé de l'ancienne règle | Une politique personnalisée DOIT être configurée pour protéger les données personnelles (PII) et les informations sensibles, en bloquant au minimum les numéros de carte bancaire. | moyenne |
| CISA:MS.DEFENDER.4.2ScubaGear MS.SECURITYSUITE.3.2v1, anciennement MS.DEFENDER.4.2v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version | Une politique personnalisée DEVRAIT être appliquée à Exchange, OneDrive, SharePoint, au chat Teams et aux appareils. | moyenne |
| CISA:MS.DEFENDER.4.4ScubaGear MS.SECURITYSUITE.3.4v1, anciennement MS.DEFENDER.4.4v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version | Les notifications DEVRAIENT être activées dans la politique personnalisée pour sensibiliser les utilisateurs au bon usage des informations sensibles. | moyenne |
| CISA:MS.TEAMS.1.4 | Les utilisateurs internes DEVRAIENT être admis automatiquement. | moyenne |
| CISA:MS.TEAMS.5.1 | Les organisations NE DEVRAIENT autoriser que l'installation des applications Microsoft approuvées par l'organisation. | moyenne |
| CISA:MS.TEAMS.5.2 | Les organisations NE DEVRAIENT autoriser que l'installation des applications tierces approuvées par l'organisation. | moyenne |
| CISA:MS.TEAMS.5.3 | Les organisations NE DEVRAIENT autoriser que l'installation des applications personnalisées approuvées par l'organisation. | moyenne |
| EIDSCA.AP05 | Paramètres d'autorisation par défaut - Inscription en libre-service à un abonnement par e-mail. | moyenne |
| EIDSCA.AP09 | Paramètres d'autorisation par défaut - Consentement utilisateur autorisé sur les applications à risque. | moyenne |
| EIDSCA.AP14 | Paramètres d'autorisation par défaut - Permissions par défaut du rôle utilisateur - Lecture des autres utilisateurs autorisée. | élevée |
| SYA-34 | Le preset de sécurité 'Strict' est-il appliqué aux comptes prioritaires ? | élevée |
| SYA-79 | Une liste personnalisée de mots de passe interdits, propre à l'organisation, est-elle configurée en complément de la liste globale Microsoft ? | moyenne |
| SYA-101 | Les conseils de messagerie (MailTips) Exchange sont-ils activés, y compris l'avertissement de destinataire externe ? | moyenne |
| SYA-117 | La synchronisation OneDrive est-elle bloquée depuis les appareils non gérés ? | élevée |
| SYA-135 | L'enregistrement des réunions Teams est-il désactivé par défaut ? | faible |
| MT.1021 | Activation des paramètres de sécurité par défaut (Security Defaults). | élevée |
| MT.1034 | Les comptes d'accès d'urgence (break-glass) ne doivent pas être bloqués. | élevée |
| MT.1036 | Tout objet exclu devrait être couvert par une inclusion de repli dans une autre stratégie. | moyenne |
| MT.1037 | Seuls les utilisateurs disposant du rôle Presenter sont-ils autorisés à présenter dans les réunions Teams ? | élevée |
| MT.1039 | Activation des conseils de messagerie (MailTips) pour les utilisateurs finaux. | moyenne |
| MT.1042 | Restreindre les utilisateurs en dial-in de contourner le lobby d'une réunion | moyenne |
| MT.1043 | Vérifier que le niveau de confiance de spam (SCL) est configuré dans les règles de transport de messagerie pour des domaines spécifiques | moyenne |
| MT.1046 | Restreindre les utilisateurs anonymes de rejoindre les réunions | moyenne |
| MT.1070 | Restreindre la jonction d'appareils à des utilisateurs ou groupes sélectionnés, ou l'interdire. | moyenne |
| SYA-149 | Le seuil de niveau de plainte en masse est compris entre 4 et 6. | moyenne |
| SYA-152 | Les paramètres de la politique de filtrage du spam sortant sont configurés. | moyenne |
| SYA-166 | La protection contre l'usurpation, basée sur l'intelligence de boîte aux lettres, déplace le message vers le dossier de courrier indésirable. | moyenne |
| SYA-185 | Activation des liens fiables au sein de l'organisation. | moyenne |
| SYA-189 | Activation du filtre des types de pièces jointes courants. | moyenne |
| SYA-194 | Activation des conseils de sécurité « utilisateurs similaires ». | faible |
| Repère | Point de contrôle | Retrait par CISA |
|---|---|---|
| CISA.MS.AAD.5.4Maester, règle retirée par CISA | Les propriétaires de groupe sont-ils empêchés de consentir aux applications ? | mars 2025 |
| CISA.MS.EXO.11.3Maester, règle retirée par CISA | La solution de protection contre l'hameçonnage inclut-elle un outil de détection d'hameçonnage basé sur l'IA, comparable à EOP Mailbox Intelligence ? | avril 2026 |
| CISA.MS.EXO.17.2Maester, règle retirée par CISA | La journalisation Microsoft Purview Audit (Premium) est-elle activée ? | mars 2025 |
| CISA.MS.EXO.2.1Maester, règle retirée par CISA | Une liste d'adresses IP approuvées pour l'envoi de courrier est-elle tenue à jour ? | mai 2024 |
| CISA.MS.EXO.8.3Maester, règle retirée par CISA | La solution DLP retenue offre-t-elle des services comparables à la solution DLP native proposée par Microsoft ? | avril 2026 |
| CISA.MS.EXO.9.2Maester, règle retirée par CISA | Le filtre de pièces jointes tente-t-il de déterminer le type réel du fichier et d'évaluer son extension ? | avril 2026 |
| CISA.MS.EXO.9.4Maester, règle retirée par CISA | Les solutions de filtrage alternatives retenues offrent-elles des services comparables au filtre de pièces jointes courant (Common Attachment Filter) de Microsoft Defender ? | avril 2026 |
| MS.DEFENDER.1.1v1ScubaGear, règle retirée par CISA | Les politiques de sécurité prédéfinies standard et stricte sont-elles activées ? | avril 2026 |
| MS.DEFENDER.1.2v1ScubaGear, règle retirée par CISA | Tous les utilisateurs sont-ils ajoutés à Exchange Online Protection via une politique prédéfinie standard ou stricte ? | avril 2026 |
| MS.DEFENDER.1.3v1ScubaGear, règle retirée par CISA | Tous les utilisateurs sont-ils ajoutés à la protection Defender for Office 365 via une politique prédéfinie standard ou stricte ? | avril 2026 |
| MS.DEFENDER.1.4v1ScubaGear, règle retirée par CISA | Les comptes sensibles sont-ils ajoutés à Exchange Online Protection via la politique prédéfinie stricte ? | avril 2026 |
| MS.DEFENDER.1.5v1ScubaGear, règle retirée par CISA | Les comptes sensibles sont-ils ajoutés à la protection Defender for Office 365 via la politique prédéfinie stricte ? | avril 2026 |
| MS.DEFENDER.4.5v1ScubaGear, règle retirée par CISA | Une liste des applications interdites d'accès aux fichiers protégés par DLP est-elle définie ? | avril 2026 |
L'audit n'exécute que des opérations de lecture ; pour certains réglages, Microsoft n'accorde qu'un droit « gérer », que nous utilisons uniquement pour lire. Vos noms, adresses et identifiants sont remplacés par des jetons sur votre poste avant tout envoi à notre serveur, qui refuse tout envoi où il détecte une donnée en clair ; seuls vos noms de domaine sont lus en clair, auprès du DNS public de Google. Aucune donnée d'audit n'est gardée sur nos serveurs au-delà de 2 heures après la fin du scan, sans exception : elle est effacée dès que vous confirmez avoir enregistré vos fichiers, et au plus tard à cette échéance. Chaque constat technique ci-dessus provient d'un appel en lecture aux interfaces d'administration de Microsoft 365 (Microsoft Graph, Exchange Online, Microsoft Teams, Purview, Power Platform) ou d'une résolution DNS publique. Chaque constat porte sa preuve (valeur lue, point d'accès, date) ; ce qui n'a pas pu être lu est écrit « mesure impossible », jamais compté comme un écart ni comme conforme, et la part réellement mesurée est affichée. Les points d'hygiène organisationnels (sécurisation physique, sensibilisation, gouvernance) sont signalés à part, comme rappels déclaratifs non mesurables par un scan. La signature technique de l'exécution est caviardée. Les réglages techniques de Microsoft 365 sont transmis tels quels, sans jeton : ce sont eux que l'audit mesure.
Voici, contrôle par contrôle, ce que ce scan n'a pas pu mesurer. Ces 209 contrôles ne comptent ni comme conformes, ni comme non conformes : ils sont hors score. Cette liste est le journal de collecte auquel renvoie la première page.
| N° | Référence | Contrôle | Motif de non-collecte |
|---|---|---|---|
| 1 | SYA-11 (M365SAT, Maester) | Protection interne contre l'hameçonnage de Forms : activée ou non (PURVIEW) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 2 | SYA-33 (M365SAT, Monkey365) | Protection des comptes prioritaires (Priority account protection) : activée et configurée ou non (DEFENDER) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 3 | SYA-39 (M365SAT, Monkey365) | Stratégies de prévention des pertes de données (DLP) : activées ou non (PURVIEW) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 4 | SYA-111 (M365SAT, Maester) | Partage par lien dans SharePoint et OneDrive : restreint ou non (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 5 | CISA:MS.AAD.4.1 (Maester, ScubaGear) | Les journaux de sécurité DOIVENT être envoyés au centre de supervision de la sécurité (SOC) de l'organisation pour surveillance. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 6 | SYA-96 (M365SAT, Monkey365) | Le transfert automatique du courrier Exchange vers l'extérieur est-il bloqué et désactivé ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 7 | CISA:MS.EXO.13.1 (Maester, ScubaGear) | L'audit des boîtes aux lettres DOIT être activé. (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 8 | SYA-43 (Monkey365) | Inscription des appareils personnels : bloquée par défaut ou non (INTUNE) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 9 | SYA-115 (Maester, Monkey365) | Autorisation par défaut du lien de partage SharePoint : définie ou non (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 10 | MT.1027 (Maester) | Aucun principal de service avec secret client et attribution de rôle permanente sur le plan de contrôle (Control Plane). (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 11 | MT.1123 (Maester) | S'assurer que le chiffrement complet du disque par BitLocker est configuré via Intune (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 12 | MT.1023 (Maester) | Tous les utilisateurs exploitant une fonctionnalité de licence P2 doivent en disposer. (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 13 | MT.1055 (Maester) | La création de groupes Microsoft 365 (et d'équipes) devrait être restreinte aux utilisateurs approuvés. (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 14 | MT.1177 (Maester) | S'assurer que la stratégie de configuration LAPS est correctement définie. (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 15 | ANSSI R18 (ANSSI (guide d'hygiène)) | Chiffrer les données sensibles transmises par voie Internet (PURVIEW) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 16 | ANSSI R37 (ANSSI (guide d'hygiène)) | Définir et appliquer une politique de sauvegarde des composants critiques (PURVIEW) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 17 | NIS2 Art.21(2)(h) (ANSSI (guide d'hygiène)) | Politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement (PURVIEW) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 18 | SYA-156 (Maester) | Les notifications de courrier indésirable à l'utilisateur final sont-elles activées ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 19 | ANSSI R31 (ANSSI (guide d'hygiène)) | Chiffrer les données sensibles, en particulier sur le matériel potentiellement perdable (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 20 | NIS2 Art.21(2)(c) (ANSSI (guide d'hygiène)) | Continuité des activités, telle que la gestion des sauvegardes et la reprise après sinistre, ainsi que la gestion de crise (PURVIEW) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 21 | CISA:MS.TEAMS.4.1 (ScubaGear) | L'intégration de la messagerie e-mail de Teams DOIT être désactivée. (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 22 | SYA-103 (Monkey365) | L'authentification SMTP (SMTP AUTH) est-elle désactivée dans Exchange ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 23 | SYA-120 (M365SAT, Maester) | Partage de fichiers externe dans Teams : limité aux services de stockage cloud approuvés ou non (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 24 | CISA:MS.EXO.5.1 (Maester, ScubaGear) | L'authentification SMTP (SMTP AUTH) DOIT être désactivée. (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 25 | SYA-123 (Maester, Monkey365) | La communication avec les utilisateurs Teams non gérés est-elle désactivée ? (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 26 | SYA-124 (Maester, Monkey365) | Les utilisateurs Teams externes non gérés sont-ils empêchés d'initier des conversations ? (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 27 | SYA-121 (M365SAT, Monkey365) | Envoi d'e-mails vers l'adresse e-mail d'un canal Teams par les utilisateurs : activé ou désactivé (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 28 | SYA-128 (M365SAT, Monkey365) | Les utilisateurs anonymes et les participants par appel téléphonique sont-ils empêchés de démarrer une réunion Teams ? (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 29 | SYA-133 (M365SAT, Monkey365) | Les participants externes sont-ils empêchés de donner ou de demander le contrôle dans Teams ? (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 30 | SYA-130 (M365SAT, Monkey365) | Les participants par appel téléphonique (dial-in) sont-ils empêchés de contourner la salle d'attente des réunions Teams ? (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 31 | SYA-129 (M365SAT, Maester) | Contournement de la salle d'attente : réservé aux personnes de l'organisation ou non (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 32 | SYA-122 (M365SAT, Monkey365) | Domaines externes dans le centre d'administration Teams : restreints ou non (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 33 | SYA-131 (M365SAT, Monkey365) | Conversation des réunions : ouverte aux utilisateurs anonymes ou non (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 34 | SYA-132 (M365SAT, Monkey365) | Droit de présenter : réservé aux organisateurs et co-organisateurs ou non (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 35 | SYA-93 (M365SAT, Monkey365) | L'audit des actions sur les boîtes aux lettres Exchange est-il activé ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 36 | CISA:MS.TEAMS.2.1 (ScubaGear) | L'accès externe pour les utilisateurs NE DOIT être activé que domaine par domaine. (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 37 | CISA:MS.TEAMS.2.3 (ScubaGear) | Les utilisateurs internes NE DEVRAIENT PAS être autorisés à initier un contact avec des utilisateurs non gérés. (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 38 | CISA:MS.TEAMS.2.2 (ScubaGear) | Les utilisateurs non gérés NE DOIVENT PAS être autorisés à initier un contact avec les utilisateurs internes. (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 39 | SYA-12 (M365SAT, Maester) | Customer Lockbox (coffre-fort client) : activé ou non (PURVIEW) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 40 | SYA-134 (M365SAT, Monkey365) | Conversation des réunions externes : activée ou désactivée (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 41 | SYA-80 (Monkey365) | Protection par mot de passe pour l'Active Directory sur site : activée ou non (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 42 | SYA-83 (Monkey365) | Authentification multifacteur préférée par le système (system-preferred) : activée ou non (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 43 | SYA-125 (Monkey365) | Communication avec des locataires Teams en version d'essai : possible ou bloquée (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 44 | MT.1054 (Maester) | S'assurer que la politique de conformité des appareils intégrée marqué comme 'Non conforme' les appareils auxquels aucune politique de conformité n'est affectée (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 45 | MT.1062 (Maester) | Vérifier que Direct Send est configuré pour être rejeté (M365) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 46 | MT.1083 (Maester) | Vérifier que la résilience à la perte de licence (Delicensing Resiliency) est activée (M365) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 47 | MT.1148 (Maester) | L'analyse des archives doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 48 | MT.1149 (Maester) | La surveillance comportementale doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 49 | MT.1150 (Maester) | La protection cloud doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 50 | MT.1151 (Maester) | L'analyse du courrier électronique est-elle activée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 51 | MT.1152 (Maester) | L'analyse des scripts doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 52 | MT.1153 (Maester) | La surveillance en temps réel est-elle activée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 53 | MT.1154 (Maester) | L'analyse complète des lecteurs amovibles doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 54 | MT.1156 (Maester) | L'analyse des fichiers réseau doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 55 | ANSSI R10 (ANSSI (guide d'hygiène)) | Définir et vérifier des règles de choix et de dimensionnement des mots de passe (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 56 | EIDSCA.AG03 (Maester) | Méthode d'authentification - Paramètres généraux - Signaler une activité suspecte - Utilisateurs/groupes inclus. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 57 | ANSSI R11 (ANSSI (guide d'hygiène)) | Protéger les mots de passe stockés sur les systèmes (ENTRA) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 58 | ANSSI R22 (ANSSI (guide d'hygiène)) | Mettre en place une passerelle d'accès sécurisé à Internet (DEFENDER) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 59 | NIS2 Art.21(2)(g) (ANSSI (guide d'hygiène)) | Pratiques d'hygiène cyber de base et formation à la cybersécurité. (ENTRA) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 60 | NIS2 Art.21(2)(d) (ANSSI (guide d'hygiène)) | Sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité des relations avec les fournisseurs/prestataires de services directs. (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 61 | NIS2 Art.21(2)(i) (ANSSI (guide d'hygiène)) | Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs. (ENTRA) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 62 | ANSSI R7 (ANSSI (guide d'hygiène)) | Autoriser la connexion au réseau de l'entité aux seuls équipements maîtrisés (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 63 | SYA-36 (M365SAT, Maester) | Purge automatique à délai zéro (Zero-hour auto purge) de Microsoft Teams : activée ou non (DEFENDER) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 64 | SYA-51 (M365SAT, Maester) | Groupe dynamique des utilisateurs invités : créé ou non (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 65 | SYA-5 (M365SAT, Maester) | Groupes publics : tous gérés et approuvés par l'organisation ou non (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 66 | SYA-6 (M365SAT, Maester) | Connexion directe aux boîtes aux lettres partagées : bloquée ou non (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 67 | SYA-50 (M365SAT, Monkey365) | 'Connexions de compte LinkedIn' : activées ou désactivées (ENTRA) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 68 | SYA-45 (M365SAT, Monkey365) | 'MFA par utilisateur' (Per-user MFA) : activée ou désactivée (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 69 | SYA-48 (M365SAT, Monkey365) | Accès au centre d'administration Entra : restreint ou non (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 70 | SYA-4 (M365SAT, Monkey365) | Licences des comptes d'administration : à empreinte applicative réduite ou non (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 71 | SYA-49 (M365SAT, Monkey365) | Option de rester connecté : masquée ou affichée (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 72 | SYA-14 (M365SAT, Monkey365) | Partage des Sway avec des personnes extérieures à l'organisation : possible ou non (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 73 | SYA-8 (M365SAT, Monkey365) | Délai d'expiration de session inactive sur appareils non gérés : 3 heures ou moins, ou plus (SPO) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 74 | SYA-141 (Monkey365) | L'interaction et le partage de visuels R et Python sont-ils désactivés dans Power BI / Microsoft Fabric ? (COPILOT) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 75 | CISA:MS.AAD.2.2 (Maester, ScubaGear) | Une notification DEVRAIT être envoyée à l'administrateur lorsque des utilisateurs à risque élevé sont détectés. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 76 | CISA:MS.AAD.7.6 (Maester, ScubaGear) | L'activation du rôle Administrateur global DOIT nécessiter une approbation. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 77 | CISA:MS.AAD.7.7 (Maester, ScubaGear) | Les attributions de rôles à privilèges élevés, éligibles et actives, DOIVENT déclencher une alerte. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 78 | CISA:MS.AAD.7.3 (Maester, ScubaGear) | Les utilisateurs privilégiés DOIVENT être dotés de comptes uniquement dans le cloud (cloud-only), distincts d'un répertoire sur site ou d'autres fournisseurs d'identité fédérés. (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 79 | CISA:MS.AAD.7.9 (Maester, ScubaGear) | L'activation par un utilisateur d'autres rôles à privilèges élevés DEVRAIT déclencher une alerte. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 80 | CISA:MS.AAD.7.8 (Maester, ScubaGear) | L'activation par un utilisateur du rôle Administrateur global DOIT déclencher une alerte. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 81 | SYA-119 (M365SAT, Monkey365) | L'exécution de scripts personnalisés est-elle autorisée sur des collections de sites SharePoint ? (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 82 | SYA-118 (M365SAT, Monkey365) | L'exécution de scripts personnalisés est-elle bloquée sur les sites personnels OneDrive ? (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 83 | SYA-114 (M365SAT, Monkey365) | La réauthentification par code de vérification est-elle désactivée pour les partagés externes SharePoint ? (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 84 | CISA:MS.DEFENDER.4.6 (ScubaGear MS.SECURITYSUITE.3.5v1, anciennement MS.DEFENDER.4.6v1, retirée en avril 2026, baseline de la branche de développement, non encore publiée en version) | Une politique personnalisée DEVRAIT inclure une action de blocage des applications restreintes et des applications Bluetooth indésirables. (DEFENDER) | Lecture prévue sur Purview, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 85 | ANSSI R40 (ANSSI (guide d'hygiène)) | Définir une procédure de gestion des incidents de sécurité (DEFENDER) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 86 | NIS2 Art.21(2)(b) (ANSSI (guide d'hygiène)) | Gestion des incidents (DEFENDER) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 87 | MT.1059 (Maester) | Les problèmes de santé de Microsoft Defender for Identity devraient être résolus (DEFENDER) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 88 | ANSSI R38 (ANSSI (guide d'hygiène)) | Procéder à des contrôles et audits de sécurité réguliers puis appliquer les actions correctives associées (DEFENDER) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 89 | CISA:MS.AAD.5.5 (ScubaGear) | L'ajout de mot de passe d'application (Application Password Addition) DEVRAIT être bloqué. (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 90 | CISA:MS.AAD.5.7 (ScubaGear) | La durée de vie des certificats d'application DEVRAIT être limitée à 365 jours ou moins. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 91 | CISA:MS.AAD.5.6 (ScubaGear) | La durée de vie des mots de passe d'application DEVRAIT être limitée à 180 jours ou moins. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 92 | ANSSI R12 (ANSSI (guide d'hygiène)) | Changer les éléments d'authentification par défaut sur les équipements et services (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 93 | NIS2 Art.21(4) (ANSSI (guide d'hygiène)) | Les entités doivent prendre des mesures correctives sans retard injustifié dès la découverte d'une non-conformité à l'article 21(2). (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 94 | NIS2 Art.21(3) (ANSSI (guide d'hygiène)) | Les entités doivent tenir compte des vulnérabilités des fournisseurs/prestataires de services et de la qualité globale de la sécurité des produits et des pratiques. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 95 | NIS2 Art.21(1) (ANSSI (guide d'hygiène)) | Les entités essentielles/importantes doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité des réseaux et des systèmes d'information. (ENTRA) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 96 | MT.1002 (Maester) | Les restrictions de gestion des applications et des service principals sont-elles configurées et actives ? (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 97 | MT.1035 (Maester) | Tous les groupes de sécurité attribués à des stratégies d'accès conditionnel devraient être protégés par RMAU (Restricted Management Administrative Unit). (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 98 | MT.1038 (Maester) | Les stratégies d'accès conditionnel ne devraient pas inclure ou exclure des groupes supprimés. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 99 | MT.1063 (Maester) | Tous les propriétaires d'inscription d'application (app registration) devraient avoir la MFA enregistrée. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 100 | MT.1067 (Maester) | Les stratégies de méthodes d'authentification ne devraient pas référencer des groupes supprimés. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 101 | MT.1077 (Maester) | Les inscriptions d'application (app registrations) disposant d'autorisations d'API privilégiées ne devraient pas avoir de propriétaires. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 102 | MT.1078 (Maester) | Les inscriptions d'application (app registrations) disposant de rôles d'annuaire à privilèges élevés ne devraient pas avoir de propriétaires. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 103 | MT.1079 (Maester) | Les autorisations d'API privilégiées sur les principaux de service ne devraient pas rester inutilisées. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 104 | MT.1080 (Maester) | Les identifiants, jetons ou cookies d'utilisateurs à privilèges élevés ne devraient pas être exposés sur des points de terminaison vulnérables. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 105 | MT.1081 (Maester) | Les utilisateurs hybrides ne devraient pas se voir attribuer de rôles Entra ID. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 106 | MT.1084 (Maester) | L'authentification unique transparente (Seamless Single Sign-On) devrait être désactivée pour tous les domaines sur les serveurs Entra ID Connect. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 107 | MT.1091 (Maester) | L'utilisateur effectuant l'enregistrement ne devrait pas être ajouté comme administrateur local sur l'appareil lors de la jonction Microsoft Entra (Entra join). (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 108 | MT.1106 (Maester) | Les ressources de catalogue doivent avoir des rôles valides (aucun rôle d'application obsolète ni principal de service supprimé). (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 109 | MT.1111 (Maester) | Un utilisateur à privilèges élevés devrait être lié à une identité. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 110 | MT.1112 (Maester) | Les comptes d'utilisateurs privilégiés ne devraient pas rester activés lorsque le compte principal lié est désactivé. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 111 | MT.1147 (Maester) | Ne pas synchroniser krbtgt_AzureAD vers Entra ID. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 112 | ANSSI R3 (ANSSI (guide d'hygiène)) | Maîtriser les risques de l'infogérance (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 113 | ANSSI R41 (ANSSI (guide d'hygiène)) | Mener une analyse de risques formelle (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 114 | ANSSI R42 (ANSSI (guide d'hygiène)) | Privilégier l'usage de produits et de services qualifiés par l'ANSSI (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 115 | ANSSI R25 (ANSSI (guide d'hygiène)) | Sécuriser les interconnexions réseau dédiées avec les partenaires (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 116 | SYA-32 (M365SAT) | Rapport d'activité d'approvisionnement des comptes : consulté périodiquement ou non (EXO) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 117 | SYA-38 (M365SAT) | Rapport des modifications des groupes de rôles utilisateurs : consulté périodiquement ou non (EXO) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 118 | CISA:MS.EXO.14.4 (Maester) | Si une solution de filtrage tierce est utilisée, elle DEVRAIT offrir des services comparables au filtrage anti-spam natif proposé par Microsoft. (EXO) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 119 | MT.1028 (Maester) | Aucun utilisateur disposant d'une boîte aux lettres et d'une attribution de rôle permanente sur le plan de contrôle (Control Plane). (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 120 | MT.1074 (Maester) | Les boîtes aux lettres ne devraient pas envoyer de courriers sortants en utilisant le domaine .onmicrosoft.com. (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 121 | SYA-203 (Maester) | Les domaines pointent directement vers EOP ou le filtrage amélioré (enhanced filtering) est utilisé. (EXO) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 122 | SYA-204 (Maester) | Les domaines pointent directement vers EOP ou le filtrage amélioré (enhanced filtering) est configuré sur tous les connecteurs par défaut. (EXO) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 123 | SYA-210 (Maester) | La stratégie de sécurité prédéfinie « Protection intégrée » s'applique-t-elle à tous vos utilisateurs, sans exclusion ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 124 | SYA-214 (Maester) | La chaîne de réception authentifiée (Authenticated Received Chain, ARC) est-elle configurée pour les domaines ne pointant pas vers EOP/MDO, ou tous les domaines pointent-ils vers EOP/MDO ? (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 125 | SYA-146 (Monkey365) | L'accès aux API Fabric par principal de service est-il laissé sans restriction ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 126 | SYA-142 (Monkey365) | L'application d'étiquettes de confidentialité par les utilisateurs est-elle désactivée dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 127 | SYA-145 (Monkey365) | L'authentification par clé de ressource (resource key) est-elle encore autorisée dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 128 | SYA-144 (Monkey365) | Le partage de données externes est-il laissé sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 129 | SYA-138 (Monkey365) | Les invitations d'utilisateurs externes sont-elles laissées sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 130 | SYA-139 (Monkey365) | L'accès des invités aux contenus est-il laissé sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 131 | SYA-137 (Monkey365) | L'accès des comptes invités est-il laissé sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 132 | SYA-140 (Monkey365) | La publication sur le web (publish to web) est-elle laissée sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 133 | SYA-147 (Monkey365) | La création et l'usage de profils par les principaux de service sont-ils laissés sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 134 | SYA-143 (Monkey365) | Les liens de partage sont-ils laissés sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 135 | ANSSI R17 (ANSSI (guide d'hygiène)) | Activer et configurer le pare-feu local des postes de travail (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 136 | ANSSI R33 (ANSSI (guide d'hygiène)) | Adopter des politiques de sécurité dédiées aux terminaux mobiles (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 137 | ANSSI R35 (ANSSI (guide d'hygiène)) | Anticiper la fin de la maintenance des logiciels et systèmes et limiter les adhérences logicielles (INTUNE) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 138 | ANSSI R34 (ANSSI (guide d'hygiène)) | Définir une politique de mise à jour des composants du système d'information (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 139 | MT.1053 (Maester) | S'assurer qu'une règle de nettoyage des appareils Intune est configurée (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 140 | MT.1092 (Maester) | Le certificat APNS d'Intune devrait être valide pendant plus de 30 jours (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 141 | MT.1096 (Maester) | L'approbation par plusieurs administrateurs (Multi Admin) d'Intune devrait être configurée (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 142 | MT.1100 (Maester) | Les journaux d'audit d'Intune devraient être conservés (INTUNE) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 143 | MT.1103 (Maester) | Les groupes RBAC d'Intune devraient être protégés par des unités administratives à gestion restreinte ou par des groupes pouvant se voir attribuer des rôles (INTUNE) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 144 | ANSSI R20 (ANSSI (guide d'hygiène)) | S'assurer de la sécurité des réseaux d'accès Wi-Fi et de la séparation des usages (INTUNE) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 145 | ANSSI R15 (ANSSI (guide d'hygiène)) | Se protéger des menaces relatives à l'utilisation de supports amovibles (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 146 | ANSSI R32 (ANSSI (guide d'hygiène)) | Sécuriser la connexion réseau des postes utilisés en situation de nomadisme (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 147 | MT.1024 (Maester) | Les recommandations de sécurité signalées par Entra ID doivent être traitées. (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 148 | MT.1041 (Maester) | Vérifier que l'installation de compléments Outlook par les utilisateurs n'est pas autorisée (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 149 | MT.1056 (Maester) | Vérifier qu'aucune personne ne dispose d'un accès permanent à l'ensemble des abonnements Azure au niveau de la portée racine (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 150 | MT.1057 (Maester) | Vérifier que l'expiration des groupes Microsoft 365 (et des équipes Teams) est configurée pour notifier les utilisateurs. (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 151 | MT.1058 (Maester) | Vérifier que l'expiration des groupes Microsoft 365 (et des équipes Teams) est configurée pour faire expirer automatiquement les groupes. (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 152 | MT.1064 (Maester) | La création de groupes d'administration est-elle limitée aux utilisateurs disposant d'un accès en écriture explicite ? (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 153 | MT.1065 (Maester) | La suppression réversible (soft delete) est-elle activée sur tous les coffres Recovery Services ? (M365) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 154 | MT.1073 (Maester) | La correspondance souple et stricte des objets synchronisés est-elle bloquée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 155 | MT.1076 (Maester) | MOERA NE DEVRAIT PAS être utilisé pour le courrier envoyé. (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 156 | MT.1085 (Maester) | Aucune approbation en attente ne devrait être présente pour le Critical Asset Management (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 157 | MT.1086 (Maester) | Des appareils partagent-ils à la fois des identifiants critiques et non critiques ? (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 158 | MT.1087 (Maester) | Les appareils ne devraient pas être exposés publiquement avec des CVE exploitables à distance, très probablement exploitées, de sévérité haute ou critique. (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 159 | MT.1088 (Maester) | Les appareils porteurs d'identifiants critiques sont-ils protégés par un TPM ? (M365) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 160 | MT.1089 (Maester) | Les appareils porteurs d'identifiants critiques sont-ils protégés par Credential Guard ? (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 161 | MT.1093 (Maester) | Les jetons d'inscription automatisée Apple sont-ils valides plus de 30 jours encore ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 162 | MT.1094 (Maester) | Les jetons du programme d'achat en volume Apple sont-ils valides plus de 30 jours encore ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 163 | MT.1095 (Maester) | La connexion au compte Android Enterprise est-elle en bon état ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 164 | MT.1097 (Maester) | Les connecteurs de certificats sont-ils en bon état et dans une version prise en charge ? (M365) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 165 | MT.1098 (Maester) | Les connecteurs Mobile Threat Defense sont-ils en bon état ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 166 | MT.1099 (Maester) | Le traitement des données de diagnostic Windows est-il activé ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 167 | MT.1101 (Maester) | Le profil de personnalisation par défaut a-t-il été adapté à l'organisation ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 168 | MT.1102 (Maester) | Les politiques de mise à jour de fonctionnalités Windows référencent-elles des versions en fin de support ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 169 | MT.1113 (Maester) | Les agents IA ne devraient pas être partagés avec des politiques de contrôle d'accès trop larges (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 170 | MT.1114 (Maester) | Les agents IA exigent-ils l'authentification de l'utilisateur ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 171 | MT.1115 (Maester) | Des agents IA présentent-ils des configurations HTTP à risque ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 172 | MT.1116 (Maester) | Des agents IA envoient-ils des courriels dont le contenu est piloté par l'IA ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 173 | MT.1117 (Maester) | Les agents IA publiés ne devraient pas être dormants (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 174 | MT.1118 (Maester) | Des agents IA utilisent-ils l'authentification de leur auteur pour accéder aux outils ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 175 | MT.1119 (Maester) | Des agents IA contiennent-ils des identifiants codés en dur dans leurs sujets ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 176 | MT.1120 (Maester) | Des agents IA utilisent-ils des outils de serveur MCP sans revue préalable ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 177 | MT.1121 (Maester) | Les agents IA à orchestration générative disposent-ils d'instructions personnalisées ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 178 | MT.1122 (Maester) | Des agents IA sont-ils sans propriétaire identifié ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 179 | MT.1155 (Maester) | L'analyse complète des lecteurs réseau mappés est-elle désactivée, pour préserver les performances ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 180 | MT.1157 (Maester) | La charge processeur allouée à l'analyse est-elle calibrée (20 à 30 %) ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 181 | MT.1158 (Maester) | Une analyse planifiée est-elle programmée ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 182 | MT.1159 (Maester) | L'heure de l'analyse rapide est-elle laissée à sa valeur par défaut (réglage non requis) ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 183 | MT.1160 (Maester) | Les signatures sont-elles vérifiées avant chaque analyse ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 184 | MT.1161 (Maester) | Le niveau de blocage dans le cloud est-il réglé sur Élevé ou davantage ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 185 | MT.1162 (Maester) | Le délai étendu d'analyse dans le cloud est-il réglé entre 30 et 50 secondes ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 186 | MT.1163 (Maester) | L'intervalle de mise à jour des signatures est-il réglé entre 1 et 4 heures ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 187 | MT.1164 (Maester) | La protection contre les applications potentiellement indésirables (PUA) est-elle activée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 188 | MT.1165 (Maester) | La protection réseau est-elle activée ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 189 | MT.1166 (Maester) | La fusion des règles définies par l'administrateur local est-elle désactivée ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 190 | MT.1167 (Maester) | L'analyse en temps réel couvre-t-elle les deux sens (lecture et écriture) ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 191 | MT.1169 (Maester) | L'analyse complète de rattrapage est-elle désactivée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 192 | MT.1170 (Maester) | L'analyse rapide de rattrapage est-elle désactivée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 193 | MT.1171 (Maester) | L'envoi automatique des échantillons non sensibles est-il activé ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 194 | MT.1178 (Maester) | Vérifier que les règles ASR (Attack Surface Reduction) sont correctement configurées (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 195 | MT.1179 (Maester) | Vérifier que App Control for Business est activé (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 196 | MT.1180 (Maester) | Vérifier que les règles Managed Installer sont correctement configurées (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 197 | CISA:MS.POWERPLATFORM.2.1 (ScubaGear) | Une politique DLP DOIT être créée pour restreindre l'accès aux connecteurs dans l'environnement Power Platform par défaut. (POWERPLATFORM) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 198 | CISA:MS.POWERPLATFORM.3.2 (ScubaGear) | Une liste d'autorisation des connexions entrantes/sortantes DEVRAIT être configurée. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 199 | CISA:MS.POWERPLATFORM.4.1 (ScubaGear) | La Content Security Policy (CSP) DOIT être appliquée aux Power Apps pilotées par modèle (model-driven) et canvas. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 200 | CISA:MS.POWERPLATFORM.2.2 (ScubaGear) | Les environnements autres que celui par défaut DEVRAIENT être couverts par au moins une politique DLP. (POWERPLATFORM) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 201 | CISA:MS.POWERPLATFORM.3.1 (ScubaGear) | L'isolation du locataire Power Platform DOIT être activée. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 202 | CISA:MS.POWERPLATFORM.6.1 (ScubaGear) | La fonctionnalité Share with Everyone (partage avec tout le monde) DEVRAIT être désactivée. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 203 | CISA:MS.POWERPLATFORM.5.1 (ScubaGear) | La possibilité de créer des sites Power Pages DEVRAIT être restreinte aux administrateurs. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 204 | CISA:MS.POWERPLATFORM.1.1 (ScubaGear) | La possibilité de créer des environnements de production et bac à sable (sandbox) DOIT être restreinte aux administrateurs. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 205 | CISA:MS.POWERPLATFORM.1.2 (ScubaGear) | La possibilité de créer des environnements d'essai (trial) DOIT être restreinte aux administrateurs. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 206 | NIS2 Art.21(2)(f) (ANSSI (guide d'hygiène)) | Politiques et procédures permettant d'évaluer l'efficacité des mesures de gestion des risques de cybersécurité (PURVIEW) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 207 | CISA:MS.SHAREPOINT.3.1 (ScubaGear) | Le nombre de jours d'expiration des liens 'Tout le monde' DOIT être défini sur 30 jours ou moins. (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 208 | CISA:MS.SHAREPOINT.3.3 (ScubaGear) | Le nombre de jours de réauthentification pour les personnes utilisant un code de vérification DOIT être défini sur 30 jours ou moins. (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 209 | CISA:MS.TEAMS.1.7 (ScubaGear) | 'Enregistrer un événement' NE DEVRAIT PAS être règle sur 'Toujours enregistrer'. (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |