Liste de contrôle de sécurité Microsoft 365 pour les petites entreprises

Vérifier les comptes et l'accès administrateur

Commencez par savoir qui peut se connecter et qui peut modifier votre environnement. Incluez les comptes de support externe et les personnes qui sont parties.

• Passez en revue tous les administrateurs généraux et autres rôles privilégiés.
• Confirmez la protection MFA et les exclusions de documents.
• Utilisez des comptes séparés pour le travail de routine et l'administration.
• Supprimez les accès inutiles et révisez les modalités d’accès d’urgence.

Vérifier les e-mails et les accès externes

Les paramètres de messagerie et de partage nécessitent à la fois un examen des politiques et une vérification de ce qui est réellement autorisé. Documentez les exceptions légitimes.

• Consultez les règles de transfert externe automatique et de transfert de boîte aux lettres.
• Passez en revue la protection contre le phishing et les alertes en cas de modifications suspectes.
• Vérifiez l’accès des invités et les autorisations de partage de fichiers externes.
• Vérifiez comment SPF, DKIM et DMARC sont configurés pour vos domaines.

Vérifier la récupération et la propriété

Les paramètres Microsoft 365 ne peuvent à eux seuls établir que votre organisation peut se remettre d’un incident grave.

• Documentez la couverture de sauvegarde et la conservation des données sur lesquelles vous comptez.
• Demandez un test de restauration avec une date, une portée et un résultat.
• Vérifiez comment les appareils sont mis à jour et protégés.
• Nommez les personnes qui géreront les incidents et les constatations en suspens.

Où vérifier cela dans Microsoft 365

Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.

Ce que CyberProva peut vérifier automatiquement

Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.

• AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
• Accès administrateur : rôles Entra et PIM: Évaluation de base : attributions actuelles des rôles d’annuaire et comptes ou entités ayant le rôle Administrateur général. Évaluation avancée : observations prises en charge sur les accès permanents lorsque les sources nécessaires sont disponibles. Les décomptes de base ne déterminent ni les appartenances aux groupes ni tous les accès PIM éligibles.
• Transfert d'e-mails externes : Exchange Online: La connexion Graph de base de CyberProva n’énumère pas les règles de boîte de réception Exchange, les paramètres de transfert des boîtes aux lettres ou les règles de transport. Ces contrôles nécessitent des justificatifs ; ils ne constituent pas des vérifications automatiques du contenu des boîtes aux lettres.
• Accès aux fichiers externes : SharePoint et OneDrive: Les évaluations avancées à partir du plan Business peuvent lire certains paramètres de partage et de liens à l’échelle de l’environnement Microsoft 365, sous réserve d’autorisation. Elles ne réalisent pas un audit des accès fichier par fichier ou dossier juridique par dossier juridique.
• Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Les évaluations avancées prennent en charge certaines observations sur l’inventaire Intune, la conformité, le chiffrement et les stratégies classiques, selon les autorisations et les licences disponibles. La présence d’une stratégie ne prouve pas son déploiement effectif. CyberProva ne vérifie pas automatiquement l’intégration des appareils à Defender EDR ni le bon fonctionnement de leurs capteurs.
• Récupération : conservation et sauvegarde Exchange/SharePoint: CyberProva ne vérifie pas automatiquement la couverture de conservation, l’isolation des sauvegardes ou la réussite des restaurations. Ces contrôles nécessitent des documents justificatifs et un examen par votre organisation.

Ce que vous devez demander à votre fournisseur informatique

Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.

• AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
• Accès administrateur : rôles Entra et PIM: Attributions de rôles, enregistrements de comptes d'administrateur séparés, exigences d'activation et d'approbation du PIM le cas échéant, et examen des enregistrements de garde, de surveillance et de test d'accès d'urgence. Un rôle nommé n’établit pas de besoin métier.
• Transfert d'e-mails externes : Exchange Online: Un inventaire daté des règles de transfert/de transfert avec les destinations et les exceptions, les politiques applicables en matière de spam sortant et de flux de courrier, ainsi qu'un examen par un administrateur des modifications suspectes ou inattendues.
• Accès aux fichiers externes : SharePoint et OneDrive: Paramètres de partage du locataire et du site pertinent, exceptions d'invité/lien approuvées et exemples de résultats d'examen d'accès. Enregistrez qui a approuvé l’accès externe et ce qui a été supprimé après l’examen.
• Protection des points de terminaison et mises à jour : Defender pour Business et Intune: Inventaire des appareils réconcilié, intégration/santé de Defender et couverture EDR, politiques de conformité/mise à jour attribuées, résultats de déploiement et enregistrements de gestion des vulnérabilités. Incluez les appareils absents d’Intune et de tout outil de protection tiers.
• Récupération : conservation et sauvegarde Exchange/SharePoint: Portée de conservation/suppression, couverture et conservation de la charge de travail de sauvegarde, séparation administrative ou isolation/immuabilité le cas échéant, et test de restauration daté avec les données restaurées, le résultat, les échecs et le réviseur.

Comment CyberProva aide

CyberProva transforme les paramètres Microsoft 365 sélectionnés et les contrôles fondés sur des preuves en résultats que vous pouvez consulter. Certains éléments de cette liste de contrôle nécessitent que votre organisation ou prestataire fournisse des preuves ; ils ne sont pas tous analysés automatiquement.

Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →

Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft

Questions courantes