Cyber Essentials et Microsoft 365 : que préparer

Comment Microsoft 365 s’adapte-t-il aux cinq zones de contrôle ?

Cyber Essentials couvre les pare-feu, la configuration sécurisée, la gestion des mises à jour de sécurité, le contrôle d'accès des utilisateurs et la protection contre les logiciels malveillants. Microsoft 365 est particulièrement pertinent pour les comptes, l'accès et la configuration sécurisée ; vos appareils et autres services comptent également.

• Définissez les limites de l'évaluation avec votre organisme de certification.
• Identifiez les services cloud utilisés pour stocker ou traiter les informations organisationnelles.
• Document qui contrôle la mise en œuvre de votre organisation, de votre fournisseur et de votre fournisseur de cloud.

Que faut-il préparer dans Microsoft 365 ?

Collectez des preuves qui répondent aux questions d'évaluation pour vos utilisateurs et services réels, plutôt que de vous fier à une déclaration générique du fournisseur.

• Une liste de comptes, un examen des rôles privilégiés et un processus de sortie.
• Configuration MFA et exceptions documentées.
• Preuve de paramètres sécurisés et de la gestion des méthodes d'accès non prises en charge.
• Protection des appareils et mise à jour des preuves pour une portée plus large.

Que peut faire un examen de l’état de préparation ?

Un examen de l’état de préparation permet de détecter les lacunes en matière de preuves et de convenir de mesures correctives avant une demande de certification. Séparez la préparation et la certification formelle.

• Utilisez Danzell pour les évaluations achetées à partir du 27 avril 2026, parallèlement aux exigences v3.3 ; confirmez la version attribuée à votre évaluation.
• Renseignez-vous auprès de l’organisme de certification sur la portée et l’interprétation.
• Conservez les preuves et les dates à l’appui de vos réponses soumises.

Où vérifier cela dans Microsoft 365

Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.

Ce que CyberProva peut vérifier automatiquement

Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.

• AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
• Accès administrateur : rôles Entra et PIM: Évaluation de base : attributions actuelles des rôles d’annuaire et comptes ou entités ayant le rôle Administrateur général. Évaluation avancée : observations prises en charge sur les accès permanents lorsque les sources nécessaires sont disponibles. Les décomptes de base ne déterminent ni les appartenances aux groupes ni tous les accès PIM éligibles.
• Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Les évaluations avancées prennent en charge certaines observations sur l’inventaire Intune, la conformité, le chiffrement et les stratégies classiques, selon les autorisations et les licences disponibles. La présence d’une stratégie ne prouve pas son déploiement effectif. CyberProva ne vérifie pas automatiquement l’intégration des appareils à Defender EDR ni le bon fonctionnement de leurs capteurs.

Ce que vous devez demander à votre fournisseur informatique

Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.

• AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
• Accès administrateur : rôles Entra et PIM: Attributions de rôles, enregistrements de comptes d'administrateur séparés, exigences d'activation et d'approbation du PIM le cas échéant, et examen des enregistrements de garde, de surveillance et de test d'accès d'urgence. Un rôle nommé n’établit pas de besoin métier.
• Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Inventaire des appareils réconcilié, intégration/santé de Defender et couverture EDR, politiques de conformité/mise à jour attribuées, résultats de déploiement et enregistrements de gestion des vulnérabilités. Incluez les appareils absents d’Intune et de tout outil de protection tiers.

Comment CyberProva aide

CyberProva permet d'organiser des contrôles sélectionnés et des preuves à l'appui dans les cinq domaines de contrôle technique. Ses conclusions soutiennent la préparation ; CyberProva n'est pas un organisme de certification et ne délivre pas de certificats Cyber Essentials ou Cyber Essentials Plus.

Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →

Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft

Ce que cela ne peut pas établir

• CyberProva prend en charge la préparation sur les contrôles sélectionnés ; il ne valide pas toutes les réponses au questionnaire du programme.
• Une évaluation des locataires ne couvre pas tous les appareils, réseaux ou services compris dans votre périmètre de certification. Confirmez les exigences et la portée actuelles auprès de votre organisme de certification.

Questions courantes