Évaluation de la sécurité Microsoft 365 pour les petites entreprises

Que doit couvrir l’évaluation ?

Commencez par une portée définie : votre environnement Microsoft 365, vos personnes, vos comptes d'administrateur et vos services connectés. Enregistrez toutes les exclusions avant d’interpréter un score.

• Identité : MFA, accès administrateur et exceptions d'authentification.
• E-mail : transfert, protection contre le phishing et modification des règles de la boîte aux lettres.
• Accès aux données : partage externe, invités et avis d'accès.
• Récupération : couverture des sauvegardes, tests de restauration et responsabilités en cas d'incident.

Comment réaliser une évaluation utile ?

Demandez à votre équipe informatique ou à votre fournisseur d'identifier le propriétaire de chaque contrôle. Passez en revue les paramètres actuels, demandez les preuves manquantes et attribuez à chaque découverte une prochaine action claire.

• Confirmez les personnes, les appareils et les services inclus.
• Collectez des rapports de paramètres datés et identifiez tout ce qui n'a pas pu être vérifié.
• Séparez les contrôles vérifiés des lacunes en matière de preuves et des contrôles nécessitant une action.
• Convenez des propriétaires et des dates cibles, puis réévaluez après les changements.

Que vous dit un score ?

Une note résume les contrôles sélectionnés. Cela ne prouve pas que chaque partie de l’entreprise est sécurisée, qu’aucune attaque n’a jamais eu lieu ou qu’une restauration fonctionnera.

• Lisez les résultats derrière la partition.
• Traitez les données manquantes comme une lacune plutôt que comme un résultat conforme.
• N’utilisez pas une évaluation de configuration comme substitut à une enquête sur les incidents ou à des tests d’intrusion.

Évaluation, audit ou examen : de quoi avez-vous besoin ?

Une évaluation de sécurité M365 établit une base de référence. Un audit de sécurité Microsoft 365 peut impliquer des critères convenus, des tests détaillés et un jugement professionnel indépendant. Un examen de sécurité permet de revoir le poste après des modifications. Définissez la portée et les livrables avant de comparer les services.

• Utilisez une évaluation de base pour identifier certaines lacunes en matière de contrôle et les preuves manquantes.
• Commandez des travaux d’audit ou de tests d’intrusion spécialisés lorsque la question l’exige.
• Utilisez des examens de suivi pour vérifier si les modifications convenues ont été apportées.

Où vérifier cela dans Microsoft 365

Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.

Ce que CyberProva peut vérifier automatiquement

Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.

• AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
• Accès administrateur : rôles Entra et PIM: Évaluation de base : attributions actuelles des rôles d’annuaire et comptes ou entités ayant le rôle Administrateur général. Évaluation avancée : observations prises en charge sur les accès permanents lorsque les sources nécessaires sont disponibles. Les décomptes de base ne déterminent ni les appartenances aux groupes ni tous les accès PIM éligibles.
• Transfert d'e-mails externes : Exchange Online: La connexion Graph de base de CyberProva n’énumère pas les règles de boîte de réception Exchange, les paramètres de transfert des boîtes aux lettres ou les règles de transport. Ces contrôles nécessitent des justificatifs ; ils ne constituent pas des vérifications automatiques du contenu des boîtes aux lettres.
• Accès aux fichiers externes : SharePoint et OneDrive: Les évaluations avancées à partir du plan Business peuvent lire certains paramètres de partage et de liens à l’échelle de l’environnement Microsoft 365, sous réserve d’autorisation. Elles ne réalisent pas un audit des accès fichier par fichier ou dossier juridique par dossier juridique.
• Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Les évaluations avancées prennent en charge certaines observations sur l’inventaire Intune, la conformité, le chiffrement et les stratégies classiques, selon les autorisations et les licences disponibles. La présence d’une stratégie ne prouve pas son déploiement effectif. CyberProva ne vérifie pas automatiquement l’intégration des appareils à Defender EDR ni le bon fonctionnement de leurs capteurs.
• Récupération : conservation et sauvegarde Exchange/SharePoint: CyberProva ne vérifie pas automatiquement la couverture de conservation, l’isolation des sauvegardes ou la réussite des restaurations. Ces contrôles nécessitent des documents justificatifs et un examen par votre organisation.

Ce que vous devez demander à votre fournisseur informatique

Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.

• AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
• Accès administrateur : rôles Entra et PIM: Attributions de rôles, enregistrements de comptes d'administrateur séparés, exigences d'activation et d'approbation du PIM le cas échéant, et examen des enregistrements de garde, de surveillance et de test d'accès d'urgence. Un rôle nommé n’établit pas de besoin métier.
• Transfert d'e-mails externes : Exchange Online: Un inventaire daté des règles de transfert/de transfert avec les destinations et les exceptions, les politiques applicables en matière de spam sortant et de flux de courrier, ainsi qu'un examen par un administrateur des modifications suspectes ou inattendues.
• Accès aux fichiers externes : SharePoint et OneDrive: Paramètres de partage du locataire et du site pertinent, exceptions d'invité/lien approuvées et exemples de résultats d'examen d'accès. Enregistrez qui a approuvé l’accès externe et ce qui a été supprimé après l’examen.
• Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Inventaire des appareils réconcilié, intégration/santé de Defender et couverture EDR, politiques de conformité/mise à jour attribuées, résultats de déploiement et enregistrements de gestion des vulnérabilités. Incluez les appareils absents d’Intune et de tout outil de protection tiers.
• Récupération : conservation et sauvegarde Exchange/SharePoint: Portée de conservation/suppression, couverture et conservation de la charge de travail de sauvegarde, séparation administrative ou isolation/immuabilité le cas échéant, et test de restauration daté avec les données restaurées, le résultat, les échecs et le réviseur.

Comment CyberProva aide

CyberProva combine des contrôles Microsoft 365 en lecture seule sélectionnés avec des contrôles basés sur des preuves. Vous pouvez commencer sans connecter Microsoft 365, enregistrer les lacunes en matière de preuves et étudier les résultats avec votre fournisseur informatique.

Comparez les vérifications de base avec un audit de sécurité Microsoft 365 · Planifier un examen de sécurité de suivi

Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft

Questions courantes