Audit de sécurité Microsoft 365 pour les petites entreprises

Que doit apporter un audit de sécurité Microsoft 365 ?

Le mot audit peut désigner des services très différents. Pour un audit de sécurité M365 ou Office 365, demandez les critères, la portée, les sources de preuves, la méthode de test et les livrables finaux avant d'accepter une proposition.

• Un locataire, un compte et une étendue de service déclarés, y compris les exclusions.
• Résultats liés à des contrôles spécifiques et à des preuves datées.
• Une explication de ce qui a été testé, de ce qui a été déduit et de ce qui n'a pas pu être établi.
• Une liste d’actions prioritaires avec les propriétaires et les attentes en matière de suivi.

Comment démarrer sans mission de conseil ?

Une base de référence en libre-service peut rendre la première conversation plus productive. CyberProva combine des contrôles de configuration automatisés sélectionnés avec des preuves fournies et examinées par votre organisation.

• Créez votre espace de travail et déclarez la portée.
• Connectez éventuellement Microsoft 365 en utilisant un accès en lecture seule.
• Demandez des preuves pour les contrôles qui ne peuvent pas être établis automatiquement.
• Examinez les résultats en anglais simple et convenez des mesures correctives avec votre équipe informatique.

En quoi cela diffère-t-il d’un audit de conseil complet ?

CyberProva est un outil d'évaluation structurée. Il ne fournit pas le jugement indépendant d'un consultant sur chaque fait sous-jacent ni ne teste activement l'exploitation de vos systèmes.

• Un consultant peut enquêter sur le contexte, interroger les équipes et valider les preuves dans le cadre d'un engagement convenu.
• Les tests d'intrusion étudient les faiblesses exploitables dans un périmètre autorisé.
• Les décisions en matière de certification et d’assurance nécessitent leurs propres processus.
• Commander un travail supplémentaire lorsque la question commerciale dépasse les paramètres sélectionnés et les preuves examinées.

Comment comparer les coûts des audits de sécurité ?

Comparez la portée et les livrables avant le prix. Une base de référence gratuite, une révision de la configuration, un engagement de conseil sur plusieurs jours et des tests d'intrusion font des tâches différentes.

• Demandez si le devis comprend des mesures correctives, des nouveaux tests et un rapport écrit.
• Vérifiez les conditions préalables à la licence et les services exclus des tests.
• Le CyberProva gratuit comprend trois évaluations de base à vie et des résultats à l'écran.
• Les exportations de rapports et les fonctionnalités de gestion des actions sont des fonctionnalités payantes.

Que se passe-t-il après l'audit ?

Le résultat utile est une décision sur ce qu’il faut changer. Préservez les lacunes dans les preuves et distinguez-les des résultats de configuration confirmés.

• Convenez d’actions immédiates pour les découvertes importantes.
• Demandez des preuves manquantes plutôt que d’enregistrer un résultat conforme non étayé.
• Revérifiez les contrôles après la correction et gardez la portée de l’évaluation visible.

Où vérifier cela dans Microsoft 365

Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.

Ce que CyberProva peut vérifier automatiquement

Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.

• AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
• Accès administrateur : rôles Entra et PIM: Évaluation de base : attributions actuelles des rôles d’annuaire et comptes ou entités ayant le rôle Administrateur général. Évaluation avancée : observations prises en charge sur les accès permanents lorsque les sources nécessaires sont disponibles. Les décomptes de base ne déterminent ni les appartenances aux groupes ni tous les accès PIM éligibles.
• Transfert d'e-mails externes : Exchange Online: La connexion Graph de base de CyberProva n’énumère pas les règles de boîte de réception Exchange, les paramètres de transfert des boîtes aux lettres ou les règles de transport. Ces contrôles nécessitent des justificatifs ; ils ne constituent pas des vérifications automatiques du contenu des boîtes aux lettres.
• Accès aux fichiers externes : SharePoint et OneDrive: Les évaluations avancées à partir du plan Business peuvent lire certains paramètres de partage et de liens à l’échelle de l’environnement Microsoft 365, sous réserve d’autorisation. Elles ne réalisent pas un audit des accès fichier par fichier ou dossier juridique par dossier juridique.
• Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Les évaluations avancées prennent en charge certaines observations sur l’inventaire Intune, la conformité, le chiffrement et les stratégies classiques, selon les autorisations et les licences disponibles. La présence d’une stratégie ne prouve pas son déploiement effectif. CyberProva ne vérifie pas automatiquement l’intégration des appareils à Defender EDR ni le bon fonctionnement de leurs capteurs.
• Récupération : conservation et sauvegarde Exchange/SharePoint: CyberProva ne vérifie pas automatiquement la couverture de conservation, l’isolation des sauvegardes ou la réussite des restaurations. Ces contrôles nécessitent des documents justificatifs et un examen par votre organisation.

Ce que vous devez demander à votre fournisseur informatique

Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.

• AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
• Accès administrateur : rôles Entra et PIM: Attributions de rôles, enregistrements de comptes d'administrateur séparés, exigences d'activation et d'approbation du PIM le cas échéant, et examen des enregistrements de garde, de surveillance et de test d'accès d'urgence. Un rôle nommé n’établit pas de besoin métier.
• Transfert d'e-mails externes : Exchange Online: Un inventaire daté des règles de transfert/de transfert avec les destinations et les exceptions, les politiques applicables en matière de spam sortant et de flux de courrier, ainsi qu'un examen par un administrateur des modifications suspectes ou inattendues.
• Accès aux fichiers externes : SharePoint et OneDrive: Paramètres de partage du locataire et du site pertinent, exceptions d'invité/lien approuvées et exemples de résultats d'examen d'accès. Enregistrez qui a approuvé l’accès externe et ce qui a été supprimé après l’examen.
• Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Inventaire des appareils réconcilié, intégration/santé de Defender et couverture EDR, politiques de conformité/mise à jour attribuées, résultats de déploiement et enregistrements de gestion des vulnérabilités. Incluez les appareils absents d’Intune et de tout outil de protection tiers.
• Récupération : conservation et sauvegarde Exchange/SharePoint: Portée de conservation/suppression, couverture et conservation de la charge de travail de sauvegarde, séparation administrative ou isolation/immuabilité le cas échéant, et test de restauration daté avec les données restaurées, le résultat, les échecs et le réviseur.

Comment CyberProva aide

CyberProva vous offre une évaluation de départ gratuite avec des contrôles sélectionnés en lecture seule et un flux de travail de preuves. Il ne s’agit pas d’un audit de conseil complet, d’un test d’intrusion ou d’une certification. Votre organisation examine les preuves du fournisseur et reste responsable des réponses finales.

Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →

Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft

Questions courantes