Sécurité de l'administrateur Microsoft 365 : consultez l'accès administrateur global

Combien d’administrateurs globaux devriez-vous avoir ?

Microsoft recommande d'attribuer le rôle à moins de cinq personnes et d'utiliser des rôles plus restreints lorsque cela est possible. Considérez cela comme une invite de révision, et non comme une affirmation selon laquelle un compte particulier assure la sécurité d'une organisation.

• Identifiez les affectations directes et les accès privilégiés via des groupes.
• Séparez l’accès permanent de l’accès éligible ou limité dans le temps.
• Examinez les comptes des prestataires, les anciens employés et les missions inexpliquées.

Comment protéger l’accès administrateur ?

Demandez si les personnes ont besoin du rôle complet ou d’une autorisation plus restreinte. Séparez l’administration de la messagerie et de la navigation quotidiennes.

• Utilisez des comptes nommés et une protection MFA appropriée.
• Examinez les exceptions de stratégie d’authentification et d’accès.
• Enregistrez le motif commercial, le propriétaire et la date de révision pour chaque mission.

Qu’en est-il de l’accès d’urgence ?

Le rétablissement nécessite une planification délibérée. Demandez à votre administrateur de documenter l'accès d'urgence, la protection, la surveillance et les tests avant de modifier les rôles privilégiés.

• Sachez qui peut récupérer l’accès si l’authentification normale échoue.
• Examinez les comptes d’accès d’urgence séparément des administrateurs de routine.
• Ne supprimez pas l’accès uniquement pour atteindre un nombre cible sans plan de récupération.

Où vérifier cela dans Microsoft 365

Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.

Ce que CyberProva peut vérifier automatiquement

Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.

• Accès administrateur : rôles Entra et PIM: Évaluation de base : attributions actuelles des rôles d’annuaire et comptes ou entités ayant le rôle Administrateur général. Évaluation avancée : observations prises en charge sur les accès permanents lorsque les sources nécessaires sont disponibles. Les décomptes de base ne déterminent ni les appartenances aux groupes ni tous les accès PIM éligibles.
• AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.

Ce que vous devez demander à votre fournisseur informatique

Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.

• Accès administrateur : rôles Entra et PIM: Attributions de rôles, enregistrements de comptes d'administrateur séparés, exigences d'activation et d'approbation du PIM le cas échéant, et examen des enregistrements de garde, de surveillance et de test d'accès d'urgence. Un rôle nommé n’établit pas de besoin métier.
• AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.

Comment CyberProva aide

CyberProva inclut un examen de l'administrateur global en lecture seule où l'accès nécessaire est disponible, ainsi que des contrôles d'accès privilégiés basés sur des preuves. Passez en revue les résultats avec votre fournisseur ; un décompte des rôles ne peut pas établir si chaque affectation est justifiée.

Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →

Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft

Questions courantes