Guide de sécurité Microsoft 365
Quelles preuves de sécurité devez-vous demander à votre fournisseur informatique ?
Votre fournisseur informatique externalisé affirme que la sécurité est couverte. Pour comprendre ce qui est réellement livré, demandez des preuves de contrôles spécifiques dans votre environnement. Une réponse utile montre ce qui a été vérifié, quand, pour quels comptes ou services et ce qui reste en suspens.
Publié · Dernière révision · Par CyberProva
Exécutez votre évaluation gratuite de la sécurité Microsoft 365Aucune carte requise · Connexion Microsoft 365 en lecture seule en option
Commencez par les responsabilités et la portée du service
Comparez les contrôles sur lesquels s'appuie votre entreprise avec les services que votre fournisseur a accepté de fournir. Des écarts peuvent exister entre le fournisseur, votre personnel et les autres fournisseurs.
- Confirmez les locataires, les comptes, les appareils et les données gérés par le fournisseur.
- Demandez à qui appartient les examens d’accès, les mises à jour, les sauvegardes et la remontée des incidents.
- Enregistrez les services et tâches exclus qui nécessitent un accord distinct.
Demandez des preuves qui répondent à une question spécifique
Évitez les demandes générales pour prouver que tout est sécurisé. Commencez par la protection des comptes, l'accès privilégié et la récupération, puis développez-le en fonction des risques commerciaux et de la portée convenue.
- MFA : preuves de couverture datées, portée de la politique et exceptions.
- Accès administrateur : attributions de rôles actuelles, identités des fournisseurs et résultats des examens.
- Récupération : couverture de sauvegarde et enregistrement de test de restauration terminé avec portée et résultat.
- E-mail et appareils : exportations de configuration pertinentes, couverture de protection et enregistrements de mise à jour fournis par le fournisseur.
Examinez la réponse et convenez de ce qui se passe ensuite
Un fournisseur téléchargeant un document n’établit pas qu’il prend en charge le contrôle. Votre organisation doit vérifier la portée, la date et le résultat avant de l'accepter.
- Conservez la demande de preuve et la réponse liées au contrôle en cours de révision.
- Posez des questions de suivi lorsque les preuves sont périmées, incomplètes ou pour un autre environnement.
- Enregistrez qui a examiné les preuves et si elles ont été acceptées ou rejetées.
- Convenez des propriétaires et des prochaines étapes pour les lacunes, puis actualisez les preuves après les modifications pertinentes.
Où vérifier cela dans Microsoft 365
Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.
AMF : Conditional Access ou Security Defaults
Centre d'administration Microsoft Entra : Entra ID > Conditional Access > Stratégies ; Entra ID > Présentation > Propriétés > Paramètres de sécurité par défaut ; Méthodes d'authentification > Activité pour les rapports d'inscription.
Conditional Access nécessite l'Entra ID P1 ou P2 ; Business Premium inclut P1. Security Defaults est disponible avec Entra Free et constitue une ligne de base alternative, et non une couche supplémentaire à activer avec Conditional Access.
Transfert d'e-mails externes : Exchange Online
Centre d'administration Exchange : Destinataires > Boîtes aux lettres > Transfert de boîte aux lettres, plus Flux de messagerie > Règles et paramètres de domaine distant. Consultez les règles de la boîte de réception séparément. Dans Microsoft Defender, inspectez les stratégies anti-spam sortantes et leurs paramètres de transfert externe.
Récupération : conservation et sauvegarde Exchange/SharePoint
Microsoft Purview : Gestion du cycle de vie des données > Politiques de rétention et étiquettes de rétention pertinentes ; Examinez les paramètres d’élément supprimé Exchange et de corbeille/restauration SharePoint/OneDrive avec l’administrateur. Inspectez le service de sauvegarde distinct et ses enregistrements de récupération.
La rétention, l'historique des versions et les corbeilles offrent différentes fonctions de récupération. Ne présumez pas qu’ils sont équivalents à une sauvegarde gérée de manière indépendante ou qu’ils répondent à la définition de l’assureur. Confirmez les fonctionnalités de récupération sous licence et les exigences de restauration réelles.
Ce que CyberProva peut vérifier automatiquement
Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.
- AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
- Transfert d'e-mails externes : Exchange Online: La connexion Graph de base de CyberProva n’énumère pas les règles de boîte de réception Exchange, les paramètres de transfert des boîtes aux lettres ou les règles de transport. Ces contrôles nécessitent des justificatifs ; ils ne constituent pas des vérifications automatiques du contenu des boîtes aux lettres.
- Récupération : conservation et sauvegarde Exchange/SharePoint: CyberProva ne vérifie pas automatiquement la couverture de conservation, l’isolation des sauvegardes ou la réussite des restaurations. Ces contrôles nécessitent des documents justificatifs et un examen par votre organisation.
Ce que vous devez demander à votre fournisseur informatique
Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.
- AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
- Transfert d'e-mails externes : Exchange Online: Un inventaire daté des règles de transfert/de transfert avec les destinations et les exceptions, les politiques applicables en matière de spam sortant et de flux de courrier, ainsi qu'un examen par un administrateur des modifications suspectes ou inattendues.
- Récupération : conservation et sauvegarde Exchange/SharePoint: Portée de conservation/suppression, couverture et conservation de la charge de travail de sauvegarde, séparation administrative ou isolation/immuabilité le cas échéant, et test de restauration daté avec les données restaurées, le résultat, les échecs et le réviseur.
Rendre la réponse prouvable
Pack de preuves pour ce guide
- La portée du service et une liste de responsabilités contrôle par contrôle.
- Preuves d'accès datées, MFA, de configuration et de récupération pour votre organisation.
- Un enregistrement des examens des preuves, des demandes restées sans réponse et des actions de suivi convenues.
Comment CyberProva aide
CyberProva vous permet de demander des preuves à l'appui auprès d'une équipe interne, d'un MSP ou d'un fournisseur externalisé via un lien de téléchargement. Le fournisseur n'a pas besoin d'un compte CyberProva. Votre organisation examine et accepte ou rejette la réponse. Les vérifications Microsoft 365 facultatives en lecture seule fournissent des observations de paramètres sélectionnés ainsi que ces preuves. Gratuit comprend 3 évaluations de base à vie ; les exportations de rapports et la gestion des mesures correctives nécessitent Business ou version ultérieure.
Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →
Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft
Exemple pratique
Exemple de demande à votre prestataire informatique externalisé
Adaptez cette demande à votre contrat de service et à la date limite de révision. Demandez suffisamment de contexte pour évaluer le contrôle sans collecter d’informations sensibles inutiles.
- Veuillez confirmer quels comptes, appareils et services vous gérez pour nous, et quelles tâches de sécurité restent de notre responsabilité.
- Pour notre locataire Microsoft 365, fournissez la couverture MFA et les preuves de politique datées, y compris les exclusions, ainsi que l’examen actuel de l’accès administrateur.
- Pour les données sur lesquelles nous comptons, fournissez la couverture de sauvegarde et le dernier enregistrement de test de restauration terminé avec sa portée, sa date et son résultat.
- Expliquez les éventuelles lacunes, services exclus ou correctifs prévus, et suggérez la prochaine action et la personne responsable.
Ce que cela ne peut pas établir
- Les vérifications des paramètres sélectionnés et les documents soumis ne peuvent pas établir tous les services fournis par votre fournisseur. Examinez le contrat de service et commandez des travaux spécialisés si nécessaire.
- CyberProva ne modifie pas les paramètres de Microsoft 365 et n'effectue pas de tests de restauration. Votre équipe informatique autorisée met en œuvre les changements et fournit des preuves opérationnelles.
Questions courantes
Notre fournisseur doit-il acheter CyberProva ?
Non. Un fournisseur peut soumettre des preuves via le lien de demande sans compte CyberProva. Votre organisation gère la demande et examine la réponse.
S'agit-il d'un audit indépendant de notre fournisseur ?
Non. Il vous aide à examiner les preuves des contrôles sélectionnés dans votre propre environnement. Les preuves acceptées par votre organisation ne constituent pas une opinion d’audit indépendante sur le fournisseur.
Que se passe-t-il si notre fournisseur ne peut pas fournir de preuves ?
Gardez l'écart visible. Précisez si le contrôle ne fait pas partie du contrat de service, n'a pas été testé ou nécessite une correction, puis convenez qui assurera le suivi.
Devons-nous envoyer des mots de passe ou des codes de récupération comme preuve ?
Non. Demandez des rapports ou des enregistrements qui répondent à la question, supprimez les informations personnelles inutiles et évitez les mots de passe, les codes de récupération, les clés API et autres secrets.
Directives officielles
Utilisez ces sources avec votre fournisseur informatique lorsque vous examinez les contrôles décrits ci-dessus.
Des hypothèses aux preuves
Découvrez ce qui nécessite une attention particulière dans votre organisation
Commencez par une évaluation gratuite CyberProva. Examinez les résultats, identifiez les lacunes en matière de preuves et convenez des priorités avec votre équipe informatique.
Gratuit comprend 3 évaluations de base à vie. Les exportations de rapports et les fonctionnalités avancées nécessitent un forfait payant.