Guide de sécurité Microsoft 365
Liste de contrôle pour le renouvellement de la cyberassurance Microsoft 365 : ce que votre assureur peut demander
Votre renouvellement de cyberassurance demande si des contrôles importants sont en place. Avant de signer, reliez chaque réponse aux preuves actuelles de votre entreprise. Commencez par les questions réelles de l'assureur, déterminez ce que les contrôles Microsoft 365 peuvent montrer et demandez à votre fournisseur informatique de combler les lacunes restantes.
Publié · Dernière révision · Par CyberProva
Exécutez votre évaluation gratuite de la sécurité Microsoft 365Aucune carte requise · Connexion Microsoft 365 en lecture seule en option
Transformez les questions en résumé d’action
Le questionnaire gratuit comporte neuf questions : une sur le libellé de l'assureur et le périmètre de l'entreprise, puis les huit questions de contrôle de ce guide. Consignez vos déclarations et les preuves manquantes. Il ne détermine ni la couverture ni l'éligibilité à une assurance.
Essayez le vérificateur de préparation à l'assuranceTéléchargez la checklist de renouvellement
Huit questions illustratives, un registre de preuves et un exemple concret. Adaptez-le au libellé de votre assureur ; ce n'est pas une norme d'assurance universelle.
Téléchargez la liste de contrôle de renouvellement (PDF) (édition en anglais)Aucun e-mail ou compte requis. Lire la liste de contrôle HTML accessible (édition en anglais).
Commencez par les questions de renouvellement et le périmètre commercial
Conservez le libellé original, les définitions et le délai. Une question sur tous les accès à distance ou toutes les données d'entreprise peut s'étendre bien au-delà de votre locataire Microsoft 365.
- Identifiez les comptes, les appareils, les applications et les emplacements couverts par chaque question.
- Demandez à votre courtier ou à votre assureur de clarifier les termes auxquels vous ne pouvez pas répondre avec assurance.
- Comparez les réponses de l'année dernière avec les preuves actuelles et les changements dans votre environnement.
Rassemblez des preuves des contrôles dans vos réponses
Utilisez-la comme liste de préparation à adapter à votre formulaire de renouvellement. Chaque enregistrement doit identifier la source, la date, la portée, les exceptions et la personne qui l'a examiné.
- MFA : enregistrement ainsi que les politiques d’application et exclusions applicables ; l’enregistrement à lui seul n’établit pas la couverture.
- Accès administrateur : attributions de rôles, comptes de fournisseur et révision des accès datée.
- Email : paramètres de protection et de transfert pertinents fournis par votre équipe informatique.
- Récupération : couverture de sauvegarde, conservation et enregistrement de test de restauration montrant ce qui a été restauré et le résultat.
- Contrôles plus étendus : protection des appareils, mises à jour logicielles et preuves de réponse aux incidents lorsque le formulaire le demande.
Résoudre les lacunes avant d'envoyer la réponse de renouvellement
Séparez les contrôles qui n’ont pas été établis de ceux qui ont été vérifiés et qui nécessitent une action. Un correctif planifié n'établit pas qu'un contrôle est déjà opérationnel.
- Demandez à votre fournisseur les preuves manquantes et vérifiez si elles répondent à la vraie question.
- Enregistrez les exclusions et les problèmes non résolus avec un propriétaire nommé.
- Demandez à la personne responsable d'examiner les réponses finales et de clarifier les incertitudes avec le courtier ou l'assureur.
Où vérifier cela dans Microsoft 365
Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.
AMF : Conditional Access ou Security Defaults
Centre d'administration Microsoft Entra : Entra ID > Conditional Access > Stratégies ; Entra ID > Présentation > Propriétés > Paramètres de sécurité par défaut ; Méthodes d'authentification > Activité pour les rapports d'inscription.
Conditional Access nécessite l'Entra ID P1 ou P2 ; Business Premium inclut P1. Security Defaults est disponible avec Entra Free et constitue une ligne de base alternative, et non une couche supplémentaire à activer avec Conditional Access.
Accès administrateur : rôles Entra et PIM
Centre d'administration Microsoft Entra : Entra ID > Rôles et administrateurs pour les affectations actuelles ; Gouvernance des identifiants > Gestion des identités privilégiées pour les paramètres d'accès et d'activation éligibles sous licence.
PIM a besoin d'Entra ID P2 ou d'Entra ID Governance pour les utilisateurs concernés. Il n'est pas inclus simplement parce qu'un locataire possède Business Premium/P1. La préparation à l’accès d’urgence nécessite un examen humain.
Protection des points de terminaison et mises à jour : Defender pour Business et Intune
Portail Microsoft Defender : Actifs > Appareils et rapports de point de terminaison/sécurité pertinents. Centre d'administration Microsoft Intune : Sécurité des appareils et des points de terminaison > Conformité des appareils ; inspectez les politiques de mise à jour attribuées et les rapports de déploiement pour chaque plate-forme.
Defender pour Business est inclus dans Business Premium ou peut être acheté séparément. Les droits d’Intune et d’appareil/système d’exploitation doivent également correspondre au déploiement. Les observations avancées sur les appareils peuvent être indisponibles si le consentement requis est manquant ; inspectez la page des autorisations et les lacunes signalées.
Transfert d'e-mails externes : Exchange Online
Centre d'administration Exchange : Destinataires > Boîtes aux lettres > Transfert de boîte aux lettres, plus Flux de messagerie > Règles et paramètres de domaine distant. Consultez les règles de la boîte de réception séparément. Dans Microsoft Defender, inspectez les stratégies anti-spam sortantes et leurs paramètres de transfert externe.
Récupération : conservation et sauvegarde Exchange/SharePoint
Microsoft Purview : Gestion du cycle de vie des données > Politiques de rétention et étiquettes de rétention pertinentes ; Examinez les paramètres d’élément supprimé Exchange et de corbeille/restauration SharePoint/OneDrive avec l’administrateur. Inspectez le service de sauvegarde distinct et ses enregistrements de récupération.
La rétention, l'historique des versions et les corbeilles offrent différentes fonctions de récupération. Ne présumez pas qu’ils sont équivalents à une sauvegarde gérée de manière indépendante ou qu’ils répondent à la définition de l’assureur. Confirmez les fonctionnalités de récupération sous licence et les exigences de restauration réelles.
Surveillance des incidents : alertes Defender et propriété des réponses
Portail Microsoft Defender : Incidents et alertes, politiques d'alerte applicables et service de surveillance du fournisseur. Inspectez la procédure de réponse aux incidents et les contacts d’escalade à côté du portail.
CyberProva Professional Les contrôles programmés sont des évaluations périodiques et ne remplacent pas les opérations de sécurité ou le service de réponse aux incidents.
Applications connectées : applications d'entreprise Entra
Centre d'administration Microsoft Entra : applications d'entreprise et inscriptions d'applications ; examiner les autorisations, le propriétaire et l'objectif commercial de l'application avec son fournisseur. Inspectez séparément le suivi des candidats ou toute autre administration de services.
Ce que CyberProva peut vérifier automatiquement
Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.
- AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
- Accès administrateur : rôles Entra et PIM: Évaluation de base : attributions actuelles des rôles d’annuaire et comptes ou entités ayant le rôle Administrateur général. Évaluation avancée : observations prises en charge sur les accès permanents lorsque les sources nécessaires sont disponibles. Les décomptes de base ne déterminent ni les appartenances aux groupes ni tous les accès PIM éligibles.
- Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Les évaluations avancées prennent en charge certaines observations sur l’inventaire Intune, la conformité, le chiffrement et les stratégies classiques, selon les autorisations et les licences disponibles. La présence d’une stratégie ne prouve pas son déploiement effectif. CyberProva ne vérifie pas automatiquement l’intégration des appareils à Defender EDR ni le bon fonctionnement de leurs capteurs.
- Transfert d'e-mails externes : Exchange Online: La connexion Graph de base de CyberProva n’énumère pas les règles de boîte de réception Exchange, les paramètres de transfert des boîtes aux lettres ou les règles de transport. Ces contrôles nécessitent des justificatifs ; ils ne constituent pas des vérifications automatiques du contenu des boîtes aux lettres.
- Récupération : conservation et sauvegarde Exchange/SharePoint: CyberProva ne vérifie pas automatiquement la couverture de conservation, l’isolation des sauvegardes ou la réussite des restaurations. Ces contrôles nécessitent des documents justificatifs et un examen par votre organisation.
- Surveillance des incidents : alertes Defender et propriété des réponses: La disponibilité des journaux d’audit d’annuaire dans l’évaluation de base constitue une observation limitée, pas une preuve de surveillance active de Defender. CyberProva ne vérifie pas indépendamment le traitement des alertes, la couverture de la réponse aux incidents ou le service de surveillance d’un prestataire.
- Applications connectées : applications d'entreprise Entra: Évaluation de base : décompte de certaines applications. Évaluations avancées à partir du plan Business : inventaire des applications pris en charge et autorisations d’application Microsoft Graph accordées sans utilisateur connecté. Le consentement délégué, les autres API et la sécurité interne d’un fournisseur ne sont pas couverts par cet inventaire.
Ce que vous devez demander à votre fournisseur informatique
Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.
- AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
- Accès administrateur : rôles Entra et PIM: Attributions de rôles, enregistrements de comptes d'administrateur séparés, exigences d'activation et d'approbation du PIM le cas échéant, et examen des enregistrements de garde, de surveillance et de test d'accès d'urgence. Un rôle nommé n’établit pas de besoin métier.
- Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Inventaire des appareils réconcilié, intégration/santé de Defender et couverture EDR, politiques de conformité/mise à jour attribuées, résultats de déploiement et enregistrements de gestion des vulnérabilités. Incluez les appareils absents d’Intune et de tout outil de protection tiers.
- Transfert d'e-mails externes : Exchange Online: Un inventaire daté des règles de transfert/de transfert avec les destinations et les exceptions, les politiques applicables en matière de spam sortant et de flux de courrier, ainsi qu'un examen par un administrateur des modifications suspectes ou inattendues.
- Récupération : conservation et sauvegarde Exchange/SharePoint: Portée de conservation/suppression, couverture et conservation de la charge de travail de sauvegarde, séparation administrative ou isolation/immuabilité le cas échéant, et test de restauration daté avec les données restaurées, le résultat, les échecs et le réviseur.
- Surveillance des incidents : alertes Defender et propriété des réponses: Exemples d'alerte/triage rédigés, portée du service surveillé, heures et modalités d'escalade, intervenants nommés et procédure d'incident exercée. Demandez ce qui se passe en dehors des heures d'assistance du fournisseur.
- Applications connectées : applications d'entreprise Entra: Un registre des fournisseurs/applications approuvés, les dates de propriétaire et de révision, les justifications d'autorisation et les enregistrements d'assurance pour les services en dehors de Microsoft 365. Une application activée ne constitue pas une preuve qu'elle est utilisée ou approuvée.
Questions illustratives sur le renouvellement de la cyberassurance
Il s’agit d’invites à la préparation, et non d’exigences politiques universelles. Conservez les définitions de l'assureur et clarifiez les formulations ambiguës avec votre courtier ou votre assureur.
Exemple concret : trois états de preuve différents
Exemple de préparation fictif, pas un résultat client ou une réponse approuvée par l'assureur. Conservez la source et l'état de révision avec chaque réponse proposée.
- Observé automatiquement : le collecteur principal en lecture seule a récupéré les attributions de rôles Entra actuelles. Cela prend en charge une déclaration d'inventaire ; il n'établit pas que les cessions sont justifiées ni que l'AMF s'applique toujours.
- Preuve fournie : le fournisseur informatique a téléchargé un rapport d'intégration de Defender daté. Elles restent des preuves fournies jusqu'à ce que votre organisation examine sa portée, le rapprochement des appareils et les exceptions ; le téléchargement seul ne constitue pas une vérification.
- Pas encore confirmé : aucun enregistrement de test de restauration terminé n'est conservé. Gardez le rétablissement non confirmé, demandez le résultat et clarifiez la réponse finale avec l'examinateur responsable et l'assureur plutôt que d'en faire un résultat conforme.
Rendre la réponse prouvable
Pack de preuves pour ce guide
- Le questionnaire de renouvellement avec ses définitions et son champ d'application.
- Résultats Microsoft 365 datés et enregistrements MFA et d’accès pris en charge.
- Preuves de récupération et de contrôle plus large fournies par le fournisseur, avec un enregistrement des réponses non résolues.
Comment CyberProva aide
CyberProva combine des contrôles Microsoft 365 en lecture seule sélectionnés avec des demandes de preuves adressées à votre équipe informatique. Votre organisation examine les preuves soumises et constate les lacunes restantes. Gratuit comprend 3 évaluations de base à vie et un résumé à l’écran. Business et versions ultérieures ajoutent les exportations de rapports et la rédaction de questionnaires ; ces brouillons nécessitent encore votre examen avant d'être soumis.
Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →
Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft
Exemple pratique
Exemple de demande de preuve de renouvellement
Adaptez cette demande au libellé exact et à la portée du formulaire de votre assureur. Il s'agit d'un modèle de préparation et non d'une déclaration indiquant que les contrôles sont présents.
- Pour notre renouvellement, veuillez fournir une politique MFA datée et une preuve de couverture pour les comptes concernés, y compris l'accès administrateur et fournisseur et toutes les exclusions.
- Veuillez fournir l'examen actuel du rôle privilégié et expliquer toute action de suppression d'accès en suspens.
- Pour les données nommées dans le formulaire, confirmez la couverture de sauvegarde et fournissez le dernier enregistrement de test de restauration, y compris les données restaurées, la date et le résultat.
- Répertoriez tout ce qui n'est pas établi, en dehors de la portée de votre service ou en attente de correction afin que nous puissions l'examiner avant de soumettre nos réponses.
Ce que cela ne peut pas établir
- Une évaluation Microsoft 365 ne prouve pas que toutes les conditions du contrat d’assurance sont remplies. Les appareils, les autres services et les procédures de l’entreprise peuvent nécessiter des justificatifs distincts.
- CyberProva ne décide pas des couvertures, des primes ou des sinistres et ne garantit pas l'acceptation de l'assureur. Passez en revue les questions et obligations relatives aux polices avec votre courtier ou votre assureur.
Questions courantes
La rétention de Microsoft 365 est-elle la même chose qu’une sauvegarde ?
Non. Les politiques de rétention, les corbeilles et l’historique des versions offrent différentes fonctions et limites. Ne présumez pas qu’ils fournissent une sauvegarde, une isolation ou la capacité de récupération gérée de manière indépendante par votre assureur. Demandez l'étendue réelle de la sauvegarde, la séparation des accès et les preuves de test de restauration terminées.
Une évaluation satisfera-t-elle notre assureur ?
L’assureur décide des justificatifs qu’il accepte pour votre contrat. Utilisez les constats pour étayer vos réponses et vérifiez les exigences avec votre courtier ou votre assureur.
Pouvons-nous répondre oui si la MFA est enregistrée pour tout le monde ?
L’enregistrement seul ne montre pas que l’authentification MFA est appliquée pour chaque compte et chemin d’accès pertinents. Demandez à votre administrateur les politiques applicables, les exclusions et les documents justificatifs.
Peut-on commencer sans connecter Microsoft 365 ?
Oui. Vous pouvez commencer par des contrôles fondés sur des preuves et des demandes de fournisseurs. La connexion Microsoft 365 facultative ajoute des vérifications sélectionnées en lecture seule ; il ne vérifie pas automatiquement chaque question de renouvellement.
Le rapport de renouvellement est-il gratuit ?
Gratuit comprend les résultats à l’écran et un résumé. Les rapports exportables et la rédaction de questionnaires nécessitent Business ou supérieur. Vous pouvez lire cet exemple de demande de preuves sans compte.
Directives officielles
Utilisez ces sources avec votre fournisseur informatique lorsque vous examinez les contrôles décrits ci-dessus.
Des hypothèses aux preuves
Découvrez ce qui nécessite une attention particulière dans votre organisation
Commencez par une évaluation gratuite CyberProva. Examinez les résultats, identifiez les lacunes en matière de preuves et convenez des priorités avec votre équipe informatique.
Gratuit comprend 3 évaluations de base à vie. Les exportations de rapports et les fonctionnalités avancées nécessitent un forfait payant.