Réponses Microsoft 365 › Comment savoir si mon Microsoft 365 est bien sécurisé ?
Comment savoir si mon Microsoft 365 est bien sécurisé ?
Il faut relire la configuration réelle du tenant, point par point, et la comparer à des recommandations publiques : double authentification, comptes d'administration, transferts de mails, journal d'audit, protection du domaine. Microsoft fournit un indicateur interne, le Secure Score, mais il ne couvre que ses propres recommandations et ne dit pas ce qu'il manque pour votre activité.
Les étapes
- Recensez les comptes ayant un rôle d'administration : ils doivent être peu nombreux et protégés par double authentification.
- Vérifiez que la double authentification s'applique à tous les utilisateurs, sans exclusion injustifiée.
- Contrôlez que le transfert automatique de mails vers l'extérieur est bloqué ou encadré.
- Vérifiez que le journal d'audit est activé.
- Contrôlez SPF, DKIM et DMARC sur votre domaine.
- Consultez le Secure Score de Microsoft, puis complétez-le par une lecture indépendante.
Ce que disent les sources officielles
- Le Secure Score de Microsoft mesure l'application des recommandations de sécurité de Microsoft dans le tenant.Source : Microsoft Learn, « Microsoft Secure Score »
- Microsoft recommande de limiter le nombre d'administrateurs généraux et d'attribuer le rôle le moins privilégié possible.Source : Microsoft Learn, « Bonnes pratiques pour les rôles Microsoft Entra »
- Les stratégies de courrier sortant de Microsoft 365 contrôlent le transfert automatique de messages vers l'extérieur.Source : Microsoft Learn, « Contrôler le transfert automatique de courrier externe »
- L'ANSSI publie un guide d'hygiène informatique destiné aux organisations.Source : ANSSI, « Guide d'hygiène informatique »
Ce qu'on ne peut pas savoir sans mesurer
« Bien sécurisé » ne se décrète pas : seule une lecture complète de la configuration, contrôle par contrôle, avec la source de chaque recommandation, permet de répondre pour votre tenant.