Vos 82 écarts ne sont pas 82 problèmes : ils se ramènent à quatre chantiers. En les traitant dans l'ordre, vous réduisez la plus grande part du risque.
Ce document est un relevé de mesure daté de la configuration Microsoft 365 de Entreprise Démonstration (exemple, non client), établi à partir de la collecte du 17 juillet 2026. Émis par SYAGA CONSULTING, pas un organisme accrédité.
Ce document ne garantit ni l'acceptation de votre dossier par votre assureur ou votre donneur d'ordre, ni une prime ou des conditions particulières.
Ce qui n'est pas mesuré, et pourquoi
Ces éléments ne comptent ni pour vous ni contre vous : les niveaux ne portent que sur la part mesurée.
Niveaux de 1 (critique) à 5 (état de l'art). Le niveau global est celui de la branche la plus faible, comme dans la grille de l'ANSSI.
Un point critique de protection est ouvert : il passe avant tout le reste.
Des exigences importantes, comme la conservation des traces, ne sont pas tenues.
Vos licences correspondent à l'usage mesuré.
L'usage des ressources est correct, quelques réglages restent à ajuster.
Les invitations, les consentements ou la création d'objets sont trop ouverts.
Vos 82 écarts se ramènent à 63 sujets distincts, répartis par gravité (un réglage = une gravité unique, à son pire niveau) sur la grille d'impact NIST SP 800-30.
La même faille réapparaît à plusieurs endroits. Traitez la cause, vous fermez plusieurs écarts d'un coup.
la prise de contrôle d'un compte est la porte d'entrée la plus courante d'une attaque.
Mesuré contre : M365SAT, Maester, Monkey365, ScubaGear
une base non durcie élargit la surface d'attaque en silence, sans alerte visible.
Mesuré contre : M365SAT, Maester, Monkey365
une donnée qui quitte l'entreprise sans garde-fou est le vecteur de fuite le plus banal, et le plus coûteux en image comme en réglementaire.
Mesuré contre : M365SAT, Maester, Monkey365
Le Secure Score de Microsoft mesure l'adoption des contrôles Microsoft, pas le risque réel. Un éditeur ne peut être juge et partie de sa propre sécurité : notre lecture est indépendante.
Sur vos 82 écarts chiffrés, la part qui se corrige par simple configuration, sans licence.
67 de vos 82 écarts se règlent par simple configuration, à 0 €. L'essentiel de votre sécurité ne s'achète pas.
Refuser d'agir maintenant n'économise pas la mise en conformité : vous la paierez quand même, après le sinistre, en plus du reste.
Ces 18 constats sont réels et mesurés sur votre locataire, mais aucun référentiel public ne les nomme : c'est notre lecture, pas une exigence d'un référentiel public. Ils sont donc exclus du score et du relevé de mesure transmissible. Nous vous les donnons parce qu'ils sont vrais.
La prise de contrôle d'un compte est la porte d'entrée la plus courante d'une attaque.
Source : référentiels M365SAT, Monkey365, Maester, ScubaGear ; règles SYA-67, CISA:MS.AAD.3.2, SYA-60, SYA-81 (version du catalogue du 20/06/2026)
Une base non durcie élargit la surface d'attaque en silence, sans alerte visible.
Source : référentiels M365SAT, Monkey365, Maester ; règles SYA-34, SYA-117, MT.1037, MT.1034 (version du catalogue du 20/06/2026)
Une donnée qui quitte l'entreprise sans garde-fou est le vecteur de fuite le plus banal, et le plus coûteux en image comme en réglementaire.
Source : référentiels M365SAT, Monkey365, Maester ; règles SYA-41, SYA-108, CISA:MS.EXO.8.1 (Maester, règle retirée par CISA en avril 2026, reprise dans la baseline Security Suite (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle), CISA:MS.EXO.8.4 (Maester, règle retirée par CISA en avril 2026, reprise dans la baseline Security Suite (baseline de la branche de développement, non encore publiée en version) ; libellé de l'ancienne règle) (version du catalogue du 20/06/2026)
Voici, contrôle par contrôle, ce que ce scan n'a pas pu mesurer. Ces 209 contrôles ne comptent ni comme conformes, ni comme non conformes : ils sont hors score. Cette liste est le journal de collecte auquel renvoie la première page. Les identifiants de ces contrôles figurent, sous le même numéro, dans le journal de collecte de la lecture technique.
| N° | Référence | Contrôle | Motif de non-collecte |
|---|---|---|---|
| 1 | SYA-11 | Protection interne contre l'hameçonnage de Forms : activée ou non (PURVIEW) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 2 | SYA-33 | Protection des comptes prioritaires (Priority account protection) : activée et configurée ou non (DEFENDER) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 3 | SYA-39 | Stratégies de prévention des pertes de données (DLP) : activées ou non (PURVIEW) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 4 | SYA-111 | Partage par lien dans SharePoint et OneDrive : restreint ou non (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 5 | Maester, ScubaGear | Les journaux de sécurité DOIVENT être envoyés au centre de supervision de la sécurité (SOC) de l'organisation pour surveillance. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 6 | SYA-96 | Le transfert automatique du courrier Exchange vers l'extérieur est-il bloqué et désactivé ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 7 | Maester, ScubaGear | L'audit des boîtes aux lettres DOIT être activé. (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 8 | SYA-43 | Inscription des appareils personnels : bloquée par défaut ou non (INTUNE) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 9 | SYA-115 | Autorisation par défaut du lien de partage SharePoint : définie ou non (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 10 | Maester | Aucun principal de service avec secret client et attribution de rôle permanente sur le plan de contrôle (Control Plane). (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 11 | Maester | S'assurer que le chiffrement complet du disque par BitLocker est configuré via Intune (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 12 | Maester | Tous les utilisateurs exploitant une fonctionnalité de licence P2 doivent en disposer. (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 13 | Maester | La création de groupes Microsoft 365 (et d'équipes) devrait être restreinte aux utilisateurs approuvés. (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 14 | Maester | S'assurer que la stratégie de configuration LAPS est correctement définie. (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 15 | ANSSI R18 | Chiffrer les données sensibles transmises par voie Internet (PURVIEW) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 16 | ANSSI R37 | Définir et appliquer une politique de sauvegarde des composants critiques (PURVIEW) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 17 | NIS2 Art.21(2)(h) | Politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement (PURVIEW) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 18 | SYA-156 | Les notifications de courrier indésirable à l'utilisateur final sont-elles activées ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 19 | ANSSI R31 | Chiffrer les données sensibles, en particulier sur le matériel potentiellement perdable (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 20 | NIS2 Art.21(2)(c) | Continuité des activités, telle que la gestion des sauvegardes et la reprise après sinistre, ainsi que la gestion de crise (PURVIEW) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 21 | ScubaGear | L'intégration de la messagerie e-mail de Teams DOIT être désactivée. (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 22 | SYA-103 | L'authentification SMTP (SMTP AUTH) est-elle désactivée dans Exchange ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 23 | SYA-120 | Partage de fichiers externe dans Teams : limité aux services de stockage cloud approuvés ou non (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 24 | Maester, ScubaGear | L'authentification SMTP (SMTP AUTH) DOIT être désactivée. (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 25 | SYA-123 | La communication avec les utilisateurs Teams non gérés est-elle désactivée ? (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 26 | SYA-124 | Les utilisateurs Teams externes non gérés sont-ils empêchés d'initier des conversations ? (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 27 | SYA-121 | Envoi d'e-mails vers l'adresse e-mail d'un canal Teams par les utilisateurs : activé ou désactivé (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 28 | SYA-128 | Les utilisateurs anonymes et les participants par appel téléphonique sont-ils empêchés de démarrer une réunion Teams ? (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 29 | SYA-133 | Les participants externes sont-ils empêchés de donner ou de demander le contrôle dans Teams ? (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 30 | SYA-130 | Les participants par appel téléphonique (dial-in) sont-ils empêchés de contourner la salle d'attente des réunions Teams ? (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 31 | SYA-129 | Contournement de la salle d'attente : réservé aux personnes de l'organisation ou non (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 32 | SYA-122 | Domaines externes dans le centre d'administration Teams : restreints ou non (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 33 | SYA-131 | Conversation des réunions : ouverte aux utilisateurs anonymes ou non (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 34 | SYA-132 | Droit de présenter : réservé aux organisateurs et co-organisateurs ou non (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 35 | SYA-93 | L'audit des actions sur les boîtes aux lettres Exchange est-il activé ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 36 | ScubaGear | L'accès externe pour les utilisateurs NE DOIT être activé que domaine par domaine. (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 37 | ScubaGear | Les utilisateurs internes NE DEVRAIENT PAS être autorisés à initier un contact avec des utilisateurs non gérés. (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 38 | ScubaGear | Les utilisateurs non gérés NE DOIVENT PAS être autorisés à initier un contact avec les utilisateurs internes. (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 39 | SYA-12 | Customer Lockbox (coffre-fort client) : activé ou non (PURVIEW) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 40 | SYA-134 | Conversation des réunions externes : activée ou désactivée (TEAMS) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 41 | SYA-80 | Protection par mot de passe pour l'Active Directory sur site : activée ou non (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 42 | SYA-83 | Authentification multifacteur préférée par le système (system-preferred) : activée ou non (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 43 | SYA-125 | Communication avec des locataires Teams en version d'essai : possible ou bloquée (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 44 | Maester | S'assurer que la politique de conformité des appareils intégrée marqué comme 'Non conforme' les appareils auxquels aucune politique de conformité n'est affectée (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 45 | Maester | Vérifier que Direct Send est configuré pour être rejeté (M365) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 46 | Maester | Vérifier que la résilience à la perte de licence (Delicensing Resiliency) est activée (M365) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 47 | Maester | L'analyse des archives doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 48 | Maester | La surveillance comportementale doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 49 | Maester | La protection cloud doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 50 | Maester | L'analyse du courrier électronique est-elle activée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 51 | Maester | L'analyse des scripts doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 52 | Maester | La surveillance en temps réel est-elle activée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 53 | Maester | L'analyse complète des lecteurs amovibles doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 54 | Maester | L'analyse des fichiers réseau doit être activée (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 55 | ANSSI R10 | Définir et vérifier des règles de choix et de dimensionnement des mots de passe (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 56 | EIDSCA.AG03 | Méthode d'authentification - Paramètres généraux - Signaler une activité suspecte - Utilisateurs/groupes inclus. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 57 | ANSSI R11 | Protéger les mots de passe stockés sur les systèmes (ENTRA) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 58 | ANSSI R22 | Mettre en place une passerelle d'accès sécurisé à Internet (DEFENDER) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 59 | NIS2 Art.21(2)(g) | Pratiques d'hygiène cyber de base et formation à la cybersécurité. (ENTRA) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 60 | NIS2 Art.21(2)(d) | Sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité des relations avec les fournisseurs/prestataires de services directs. (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 61 | NIS2 Art.21(2)(i) | Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs. (ENTRA) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 62 | ANSSI R7 | Autoriser la connexion au réseau de l'entité aux seuls équipements maîtrisés (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 63 | SYA-36 | Purge automatique à délai zéro (Zero-hour auto purge) de Microsoft Teams : activée ou non (DEFENDER) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 64 | SYA-51 | Groupe dynamique des utilisateurs invités : créé ou non (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 65 | SYA-5 | Groupes publics : tous gérés et approuvés par l'organisation ou non (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 66 | SYA-6 | Connexion directe aux boîtes aux lettres partagées : bloquée ou non (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 67 | SYA-50 | 'Connexions de compte LinkedIn' : activées ou désactivées (ENTRA) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 68 | SYA-45 | 'MFA par utilisateur' (Per-user MFA) : activée ou désactivée (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 69 | SYA-48 | Accès au centre d'administration Entra : restreint ou non (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 70 | SYA-4 | Licences des comptes d'administration : à empreinte applicative réduite ou non (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 71 | SYA-49 | Option de rester connecté : masquée ou affichée (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 72 | SYA-14 | Partage des Sway avec des personnes extérieures à l'organisation : possible ou non (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 73 | SYA-8 | Délai d'expiration de session inactive sur appareils non gérés : 3 heures ou moins, ou plus (SPO) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 74 | SYA-141 | L'interaction et le partage de visuels R et Python sont-ils désactivés dans Power BI / Microsoft Fabric ? (COPILOT) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 75 | Maester, ScubaGear | Une notification DEVRAIT être envoyée à l'administrateur lorsque des utilisateurs à risque élevé sont détectés. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 76 | Maester, ScubaGear | L'activation du rôle Administrateur global DOIT nécessiter une approbation. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 77 | Maester, ScubaGear | Les attributions de rôles à privilèges élevés, éligibles et actives, DOIVENT déclencher une alerte. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 78 | Maester, ScubaGear | Les utilisateurs privilégiés DOIVENT être dotés de comptes uniquement dans le cloud (cloud-only), distincts d'un répertoire sur site ou d'autres fournisseurs d'identité fédérés. (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 79 | Maester, ScubaGear | L'activation par un utilisateur d'autres rôles à privilèges élevés DEVRAIT déclencher une alerte. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 80 | Maester, ScubaGear | L'activation par un utilisateur du rôle Administrateur global DOIT déclencher une alerte. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 81 | SYA-119 | L'exécution de scripts personnalisés est-elle autorisée sur des collections de sites SharePoint ? (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 82 | SYA-118 | L'exécution de scripts personnalisés est-elle bloquée sur les sites personnels OneDrive ? (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 83 | SYA-114 | La réauthentification par code de vérification est-elle désactivée pour les partagés externes SharePoint ? (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 84 | ScubaGear, règle retirée par CISA en avril 2026, reprise dans la baseline Security Suite (baseline de la branche de développement, non encore publiée en version) | Une politique personnalisée DEVRAIT inclure une action de blocage des applications restreintes et des applications Bluetooth indésirables. (DEFENDER) | Lecture prévue sur Purview, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 85 | ANSSI R40 | Définir une procédure de gestion des incidents de sécurité (DEFENDER) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 86 | NIS2 Art.21(2)(b) | Gestion des incidents (DEFENDER) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 87 | Maester | Les problèmes de santé de Microsoft Defender for Identity devraient être résolus (DEFENDER) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 88 | ANSSI R38 | Procéder à des contrôles et audits de sécurité réguliers puis appliquer les actions correctives associées (DEFENDER) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 89 | ScubaGear | L'ajout de mot de passe d'application (Application Password Addition) DEVRAIT être bloqué. (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 90 | ScubaGear | La durée de vie des certificats d'application DEVRAIT être limitée à 365 jours ou moins. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 91 | ScubaGear | La durée de vie des mots de passe d'application DEVRAIT être limitée à 180 jours ou moins. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 92 | ANSSI R12 | Changer les éléments d'authentification par défaut sur les équipements et services (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 93 | NIS2 Art.21(4) | Les entités doivent prendre des mesures correctives sans retard injustifié dès la découverte d'une non-conformité à l'article 21(2). (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 94 | NIS2 Art.21(3) | Les entités doivent tenir compte des vulnérabilités des fournisseurs/prestataires de services et de la qualité globale de la sécurité des produits et des pratiques. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 95 | NIS2 Art.21(1) | Les entités essentielles/importantes doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité des réseaux et des systèmes d'information. (ENTRA) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 96 | Maester | Les restrictions de gestion des applications et des service principals sont-elles configurées et actives ? (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 97 | Maester | Tous les groupes de sécurité attribués à des stratégies d'accès conditionnel devraient être protégés par RMAU (Restricted Management Administrative Unit). (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 98 | Maester | Les stratégies d'accès conditionnel ne devraient pas inclure ou exclure des groupes supprimés. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 99 | Maester | Tous les propriétaires d'inscription d'application (app registration) devraient avoir la MFA enregistrée. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 100 | Maester | Les stratégies de méthodes d'authentification ne devraient pas référencer des groupes supprimés. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 101 | Maester | Les inscriptions d'application (app registrations) disposant d'autorisations d'API privilégiées ne devraient pas avoir de propriétaires. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 102 | Maester | Les inscriptions d'application (app registrations) disposant de rôles d'annuaire à privilèges élevés ne devraient pas avoir de propriétaires. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 103 | Maester | Les autorisations d'API privilégiées sur les principaux de service ne devraient pas rester inutilisées. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 104 | Maester | Les identifiants, jetons ou cookies d'utilisateurs à privilèges élevés ne devraient pas être exposés sur des points de terminaison vulnérables. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 105 | Maester | Les utilisateurs hybrides ne devraient pas se voir attribuer de rôles Entra ID. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 106 | Maester | L'authentification unique transparente (Seamless Single Sign-On) devrait être désactivée pour tous les domaines sur les serveurs Entra ID Connect. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 107 | Maester | L'utilisateur effectuant l'enregistrement ne devrait pas être ajouté comme administrateur local sur l'appareil lors de la jonction Microsoft Entra (Entra join). (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 108 | Maester | Les ressources de catalogue doivent avoir des rôles valides (aucun rôle d'application obsolète ni principal de service supprimé). (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 109 | Maester | Un utilisateur à privilèges élevés devrait être lié à une identité. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 110 | Maester | Les comptes d'utilisateurs privilégiés ne devraient pas rester activés lorsque le compte principal lié est désactivé. (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 111 | Maester | Ne pas synchroniser krbtgt_AzureAD vers Entra ID. (ENTRA) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 112 | ANSSI R3 | Maîtriser les risques de l'infogérance (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 113 | ANSSI R41 | Mener une analyse de risques formelle (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 114 | ANSSI R42 | Privilégier l'usage de produits et de services qualifiés par l'ANSSI (ENTRA) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 115 | ANSSI R25 | Sécuriser les interconnexions réseau dédiées avec les partenaires (ENTRA) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 116 | SYA-32 | Rapport d'activité d'approvisionnement des comptes : consulté périodiquement ou non (EXO) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 117 | SYA-38 | Rapport des modifications des groupes de rôles utilisateurs : consulté périodiquement ou non (EXO) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 118 | Maester | Si une solution de filtrage tierce est utilisée, elle DEVRAIT offrir des services comparables au filtrage anti-spam natif proposé par Microsoft. (EXO) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 119 | Maester | Aucun utilisateur disposant d'une boîte aux lettres et d'une attribution de rôle permanente sur le plan de contrôle (Control Plane). (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 120 | Maester | Les boîtes aux lettres ne devraient pas envoyer de courriers sortants en utilisant le domaine .onmicrosoft.com. (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 121 | SYA-203 | Les domaines pointent directement vers EOP ou le filtrage amélioré (enhanced filtering) est utilisé. (EXO) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 122 | SYA-204 | Les domaines pointent directement vers EOP ou le filtrage amélioré (enhanced filtering) est configuré sur tous les connecteurs par défaut. (EXO) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 123 | SYA-210 | La stratégie de sécurité prédéfinie « Protection intégrée » s'applique-t-elle à tous vos utilisateurs, sans exclusion ? (EXO) | Lecture prévue sur Exchange Online, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 124 | SYA-214 | La chaîne de réception authentifiée (Authenticated Received Chain, ARC) est-elle configurée pour les domaines ne pointant pas vers EOP/MDO, ou tous les domaines pointent-ils vers EOP/MDO ? (EXO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 125 | SYA-146 | L'accès aux API Fabric par principal de service est-il laissé sans restriction ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 126 | SYA-142 | L'application d'étiquettes de confidentialité par les utilisateurs est-elle désactivée dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 127 | SYA-145 | L'authentification par clé de ressource (resource key) est-elle encore autorisée dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 128 | SYA-144 | Le partage de données externes est-il laissé sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 129 | SYA-138 | Les invitations d'utilisateurs externes sont-elles laissées sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 130 | SYA-139 | L'accès des invités aux contenus est-il laissé sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 131 | SYA-137 | L'accès des comptes invités est-il laissé sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 132 | SYA-140 | La publication sur le web (publish to web) est-elle laissée sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 133 | SYA-147 | La création et l'usage de profils par les principaux de service sont-ils laissés sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 134 | SYA-143 | Les liens de partage sont-ils laissés sans restriction dans Fabric ? (FABRIC) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 135 | ANSSI R17 | Activer et configurer le pare-feu local des postes de travail (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 136 | ANSSI R33 | Adopter des politiques de sécurité dédiées aux terminaux mobiles (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 137 | ANSSI R35 | Anticiper la fin de la maintenance des logiciels et systèmes et limiter les adhérences logicielles (INTUNE) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 138 | ANSSI R34 | Définir une politique de mise à jour des composants du système d'information (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 139 | Maester | S'assurer qu'une règle de nettoyage des appareils Intune est configurée (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 140 | Maester | Le certificat APNS d'Intune devrait être valide pendant plus de 30 jours (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 141 | Maester | L'approbation par plusieurs administrateurs (Multi Admin) d'Intune devrait être configurée (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 142 | Maester | Les journaux d'audit d'Intune devraient être conservés (INTUNE) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 143 | Maester | Les groupes RBAC d'Intune devraient être protégés par des unités administratives à gestion restreinte ou par des groupes pouvant se voir attribuer des rôles (INTUNE) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 144 | ANSSI R20 | S'assurer de la sécurité des réseaux d'accès Wi-Fi et de la séparation des usages (INTUNE) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 145 | ANSSI R15 | Se protéger des menaces relatives à l'utilisation de supports amovibles (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 146 | ANSSI R32 | Sécuriser la connexion réseau des postes utilisés en situation de nomadisme (INTUNE) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 147 | Maester | Les recommandations de sécurité signalées par Entra ID doivent être traitées. (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 148 | Maester | Vérifier que l'installation de compléments Outlook par les utilisateurs n'est pas autorisée (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 149 | Maester | Vérifier qu'aucune personne ne dispose d'un accès permanent à l'ensemble des abonnements Azure au niveau de la portée racine (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 150 | Maester | Vérifier que l'expiration des groupes Microsoft 365 (et des équipes Teams) est configurée pour notifier les utilisateurs. (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 151 | Maester | Vérifier que l'expiration des groupes Microsoft 365 (et des équipes Teams) est configurée pour faire expirer automatiquement les groupes. (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 152 | Maester | La création de groupes d'administration est-elle limitée aux utilisateurs disposant d'un accès en écriture explicite ? (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 153 | Maester | La suppression réversible (soft delete) est-elle activée sur tous les coffres Recovery Services ? (M365) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 154 | Maester | La correspondance souple et stricte des objets synchronisés est-elle bloquée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 155 | Maester | MOERA NE DEVRAIT PAS être utilisé pour le courrier envoyé. (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 156 | Maester | Aucune approbation en attente ne devrait être présente pour le Critical Asset Management (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 157 | Maester | Des appareils partagent-ils à la fois des identifiants critiques et non critiques ? (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 158 | Maester | Les appareils ne devraient pas être exposés publiquement avec des CVE exploitables à distance, très probablement exploitées, de sévérité haute ou critique. (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 159 | Maester | Les appareils porteurs d'identifiants critiques sont-ils protégés par un TPM ? (M365) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 160 | Maester | Les appareils porteurs d'identifiants critiques sont-ils protégés par Credential Guard ? (M365) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 161 | Maester | Les jetons d'inscription automatisée Apple sont-ils valides plus de 30 jours encore ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 162 | Maester | Les jetons du programme d'achat en volume Apple sont-ils valides plus de 30 jours encore ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 163 | Maester | La connexion au compte Android Enterprise est-elle en bon état ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 164 | Maester | Les connecteurs de certificats sont-ils en bon état et dans une version prise en charge ? (M365) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 165 | Maester | Les connecteurs Mobile Threat Defense sont-ils en bon état ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 166 | Maester | Le traitement des données de diagnostic Windows est-il activé ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 167 | Maester | Le profil de personnalisation par défaut a-t-il été adapté à l'organisation ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 168 | Maester | Les politiques de mise à jour de fonctionnalités Windows référencent-elles des versions en fin de support ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 169 | Maester | Les agents IA ne devraient pas être partagés avec des politiques de contrôle d'accès trop larges (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 170 | Maester | Les agents IA exigent-ils l'authentification de l'utilisateur ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 171 | Maester | Des agents IA présentent-ils des configurations HTTP à risque ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 172 | Maester | Des agents IA envoient-ils des courriels dont le contenu est piloté par l'IA ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 173 | Maester | Les agents IA publiés ne devraient pas être dormants (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 174 | Maester | Des agents IA utilisent-ils l'authentification de leur auteur pour accéder aux outils ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 175 | Maester | Des agents IA contiennent-ils des identifiants codés en dur dans leurs sujets ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 176 | Maester | Des agents IA utilisent-ils des outils de serveur MCP sans revue préalable ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 177 | Maester | Les agents IA à orchestration générative disposent-ils d'instructions personnalisées ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 178 | Maester | Des agents IA sont-ils sans propriétaire identifié ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 179 | Maester | L'analyse complète des lecteurs réseau mappés est-elle désactivée, pour préserver les performances ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 180 | Maester | La charge processeur allouée à l'analyse est-elle calibrée (20 à 30 %) ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 181 | Maester | Une analyse planifiée est-elle programmée ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 182 | Maester | L'heure de l'analyse rapide est-elle laissée à sa valeur par défaut (réglage non requis) ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 183 | Maester | Les signatures sont-elles vérifiées avant chaque analyse ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 184 | Maester | Le niveau de blocage dans le cloud est-il réglé sur Élevé ou davantage ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 185 | Maester | Le délai étendu d'analyse dans le cloud est-il réglé entre 30 et 50 secondes ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 186 | Maester | L'intervalle de mise à jour des signatures est-il réglé entre 1 et 4 heures ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 187 | Maester | La protection contre les applications potentiellement indésirables (PUA) est-elle activée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 188 | Maester | La protection réseau est-elle activée ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 189 | Maester | La fusion des règles définies par l'administrateur local est-elle désactivée ? (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 190 | Maester | L'analyse en temps réel couvre-t-elle les deux sens (lecture et écriture) ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 191 | Maester | L'analyse complète de rattrapage est-elle désactivée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 192 | Maester | L'analyse rapide de rattrapage est-elle désactivée ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 193 | Maester | L'envoi automatique des échantillons non sensibles est-il activé ? (M365) | Lecture prévue sur Microsoft Graph, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |
| 194 | Maester | Vérifier que les règles ASR (Attack Surface Reduction) sont correctement configurées (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 195 | Maester | Vérifier que App Control for Business est activé (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 196 | Maester | Vérifier que les règles Managed Installer sont correctement configurées (M365) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 197 | ScubaGear | Une politique DLP DOIT être créée pour restreindre l'accès aux connecteurs dans l'environnement Power Platform par défaut. (POWERPLATFORM) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 198 | ScubaGear | Une liste d'autorisation des connexions entrantes/sortantes DEVRAIT être configurée. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 199 | ScubaGear | La Content Security Policy (CSP) DOIT être appliquée aux Power Apps pilotées par modèle (model-driven) et canvas. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 200 | ScubaGear | Les environnements autres que celui par défaut DEVRAIENT être couverts par au moins une politique DLP. (POWERPLATFORM) | Contrôle d'organisation : aucune donnée Microsoft 365 ne le mesure, il relève de votre déclaration. |
| 201 | ScubaGear | L'isolation du locataire Power Platform DOIT être activée. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 202 | ScubaGear | La fonctionnalité Share with Everyone (partage avec tout le monde) DEVRAIT être désactivée. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 203 | ScubaGear | La possibilité de créer des sites Power Pages DEVRAIT être restreinte aux administrateurs. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 204 | ScubaGear | La possibilité de créer des environnements de production et bac à sable (sandbox) DOIT être restreinte aux administrateurs. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 205 | ScubaGear | La possibilité de créer des environnements d'essai (trial) DOIT être restreinte aux administrateurs. (POWERPLATFORM) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 206 | NIS2 Art.21(2)(f) | Politiques et procédures permettant d'évaluer l'efficacité des mesures de gestion des risques de cybersécurité (PURVIEW) | Cause non journalisée par la collecte ; point à vérifier à la main. |
| 207 | ScubaGear | Le nombre de jours d'expiration des liens 'Tout le monde' DOIT être défini sur 30 jours ou moins. (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 208 | ScubaGear | Le nombre de jours de réauthentification pour les personnes utilisant un code de vérification DOIT être défini sur 30 jours ou moins. (SPO) | La collecte automatique ne lit pas encore cette donnée : ce point reste à vérifier à la main et ne compte pas dans le score. |
| 209 | ScubaGear | 'Enregistrer un événement' NE DEVRAIT PAS être règle sur 'Toujours enregistrer'. (TEAMS) | Lecture prévue sur Teams, mais aucune valeur n'a été rendue lors de ce scan : l'autorisation ou le rôle d'administration nécessaire n'était pas accordé. |