Guide de sécurité Microsoft 365
Preuves de sécurité Microsoft 365 pour les cabinets comptables
Votre cabinet échange des dossiers fiscaux, des informations sur la paie et des instructions de paiement avec les clients. Avant une période de reporting chargée ou un renouvellement d'assurance, déterminez comment les comptes Microsoft 365 utilisés pour ce travail sont protégés, ce que votre équipe informatique externalisée peut prouver et quels systèmes comptables nécessitent un examen séparé.
Publié · Dernière révision · Par CyberProva
Exécutez votre évaluation gratuite de la sécurité Microsoft 365Aucune carte requise · Connexion Microsoft 365 en lecture seule en option
Suivez les informations clients à travers votre cabinet
Commencez par une mission typique : les documents arrivent par e-mail ou via un portail client, le personnel prépare le travail et les résultats sont renvoyés au client. Identifiez où Microsoft 365 est utilisé et où d’autres fournisseurs détiennent les informations.
- Répertoriez les boîtes aux lettres, les espaces Teams et les emplacements SharePoint ou OneDrive utilisés pour le travail des clients.
- Incluez les équipes de paie, le personnel temporaire et les modalités de comptabilité externalisées dans la discussion sur l'accès.
- Enregistrez les portails de comptabilité, de fiscalité, de paie et de documents qui ne font pas partie de l'évaluation Microsoft 365.
- Demandez qui supprime l'accès lorsqu'un membre du personnel, un sous-traitant ou un client change.
Examiner ensemble les procédures de protection du compte et de modification des paiements
Une boîte aux lettres compromise peut donner l’impression qu’une demande frauduleuse est familière. Les paramètres techniques et le processus d'approbation du cabinet nécessitent des preuves distinctes ; ni l’un ni l’autre n’établit que chaque instruction de paiement est authentique.
- Demandez des preuves d’application et d’exclusion de l’AMF pour les comptes des partenaires, du personnel et des fournisseurs privilégiés.
- Demandez au fournisseur de revoir les règles de transfert et de boîte aux lettres et d'expliquer toute destination externe légitime.
- Confirmez comment une demande de modification des coordonnées bancaires ou salariales est vérifiée à l'aide d'un itinéraire de contact déjà connu du cabinet.
- Utilisez un exemple expurgé du dossier d'approbation pour déterminer si le processus est suivi, sans télécharger les coordonnées bancaires du client.
Se préparer aux délais de reporting et aux transferts de prestataires
Les lacunes en matière de récupération et d'accès peuvent devenir urgentes lorsqu'un traitement de paie, une soumission de comptes ou une date limite fiscale dépendent du service concerné. Demandez des preuves de ces dépendances avant de considérer une instruction de sauvegarde générale comme suffisante.
- Confirmez quels fichiers clients, boîtes aux lettres et données d'application sont inclus dans la couverture de sauvegarde.
- Demandez un enregistrement de test de restauration complété pour un flux de travail représentatif et demandez ce qui a été exclu.
- Revoir l’accès accordé au personnel saisonnier avant et après la période chargée.
- Décidez qui résoudra les demandes de preuves en suspens et quand les partenaires les réexamineront.
Où vérifier cela dans Microsoft 365
Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.
AMF : Conditional Access ou Security Defaults
Centre d'administration Microsoft Entra : Entra ID > Conditional Access > Stratégies ; Entra ID > Présentation > Propriétés > Paramètres de sécurité par défaut ; Méthodes d'authentification > Activité pour les rapports d'inscription.
Conditional Access nécessite l'Entra ID P1 ou P2 ; Business Premium inclut P1. Security Defaults est disponible avec Entra Free et constitue une ligne de base alternative, et non une couche supplémentaire à activer avec Conditional Access.
Transfert d'e-mails externes : Exchange Online
Centre d'administration Exchange : Destinataires > Boîtes aux lettres > Transfert de boîte aux lettres, plus Flux de messagerie > Règles et paramètres de domaine distant. Consultez les règles de la boîte de réception séparément. Dans Microsoft Defender, inspectez les stratégies anti-spam sortantes et leurs paramètres de transfert externe.
Récupération : conservation et sauvegarde Exchange/SharePoint
Microsoft Purview : Gestion du cycle de vie des données > Politiques de rétention et étiquettes de rétention pertinentes ; Examinez les paramètres d’élément supprimé Exchange et de corbeille/restauration SharePoint/OneDrive avec l’administrateur. Inspectez le service de sauvegarde distinct et ses enregistrements de récupération.
La rétention, l'historique des versions et les corbeilles offrent différentes fonctions de récupération. Ne présumez pas qu’ils sont équivalents à une sauvegarde gérée de manière indépendante ou qu’ils répondent à la définition de l’assureur. Confirmez les fonctionnalités de récupération sous licence et les exigences de restauration réelles.
Ce que CyberProva peut vérifier automatiquement
Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.
- AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
- Transfert d'e-mails externes : Exchange Online: La connexion Graph de base de CyberProva n’énumère pas les règles de boîte de réception Exchange, les paramètres de transfert des boîtes aux lettres ou les règles de transport. Ces contrôles nécessitent des justificatifs ; ils ne constituent pas des vérifications automatiques du contenu des boîtes aux lettres.
- Récupération : conservation et sauvegarde Exchange/SharePoint: CyberProva ne vérifie pas automatiquement la couverture de conservation, l’isolation des sauvegardes ou la réussite des restaurations. Ces contrôles nécessitent des documents justificatifs et un examen par votre organisation.
Ce que vous devez demander à votre fournisseur informatique
Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.
- AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
- Transfert d'e-mails externes : Exchange Online: Un inventaire daté des règles de transfert/de transfert avec les destinations et les exceptions, les politiques applicables en matière de spam sortant et de flux de courrier, ainsi qu'un examen par un administrateur des modifications suspectes ou inattendues.
- Récupération : conservation et sauvegarde Exchange/SharePoint: Portée de conservation/suppression, couverture et conservation de la charge de travail de sauvegarde, séparation administrative ou isolation/immuabilité le cas échéant, et test de restauration daté avec les données restaurées, le résultat, les échecs et le réviseur.
Rendre la réponse prouvable
Pack de preuves pour ce guide
- Un inventaire des flux de travail client séparant Microsoft 365 des plateformes de comptabilité, de paie et de fiscalité.
- Politique MFA datée, accès privilégié et dossiers d’examen du personnel saisonnier.
- Preuve de transmission fournie par le fournisseur et exemple d'approbation de modification de paiement expurgé.
- Portée de la sauvegarde et enregistrement de test de restauration complet pertinent pour le travail critique du cabinet.
Comment CyberProva aide
CyberProva rassemble des observations Microsoft 365 en lecture seule et des preuves de fournisseurs sélectionnées dans une évaluation que votre cabinet peut examiner. Vous pouvez demander un enregistrement à votre fournisseur informatique et décider s'il prend en charge le contrôle. Gratuit comprend 3 évaluations de base à vie, des demandes de preuves et un résumé à l’écran. Business et versions ultérieures ajoutent des exportations de rapports, des flux de travail de questionnaires et une gestion des corrections. Votre cabinet examine toujours ses plateformes comptables et ses procédures opérationnelles séparément.
Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →
Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft
Exemple pratique
Exemple : préparer le cabinet à une échéance de paie
Demande de preuves illustratives pour un cabinet qui utilise Microsoft 365 pour la correspondance client et une plateforme de paie distincte. Adaptez la portée et la date d’examen à votre propre engagement.
- Veuillez identifier les comptes du personnel et des fournisseurs ayant accès à notre correspondance de paie et aux documents justificatifs des clients, y compris le personnel temporaire.
- Fournissez la couverture et les exclusions de la politique MFA datée, l'examen de l'accès privilégié et l'examen des destinations de transfert par le fournisseur.
- Confirmez la couverture de sauvegarde pour les fichiers de support et identifiez le propriétaire de la récupération de la plateforme de paie distincte. Fournissez le dernier résultat de test de restauration pertinent.
- Le responsable du cabinet examinera ces dossiers ainsi qu'un exemple expurgé de la manière dont les modifications apportées aux détails de la paie des clients sont autorisées. Gardez les questions sans réponse visibles avant la date limite.
Ce que cela ne peut pas établir
- Il s’agit de la préparation des preuves pour les contrôles sélectionnés. Il ne certifie pas la conformité des organismes professionnels, ne valide pas les comptes ou les déclarations fiscales, ni n'audite tous les systèmes du cabinet.
- Un examen des paramètres de Microsoft 365 ne peut pas établir qu'une instruction client est authentique, que les contrôles de paiement ont été suivis ou qu'une récupération réussira. Ces affirmations nécessitent des preuves opérationnelles et un examen approprié.
Questions courantes
CyberProva vérifiera-t-il notre logiciel de comptabilité ou de fiscalité ?
La connexion Microsoft 365 n’audite pas les plateformes de comptabilité, de fiscalité, de paie ou de portail client. Incluez ces services dans votre portée plus large et obtenez des preuves auprès de leurs administrateurs ou fournisseurs.
Une évaluation peut-elle empêcher la compromission de la messagerie professionnelle ?
Il peut identifier les résultats sélectionnés et les preuves manquantes à examiner. Il ne peut garantir qu'un compte soit intact ou qu'un ordre de paiement soit authentique. La vérification des paiements et les enquêtes sur les incidents nécessitent leurs propres processus.
Devons-nous télécharger les déclarations de revenus des clients comme preuve ?
Habituellement, les preuves utiles sont un rapport de configuration, une révision des accès ou un enregistrement de processus expurgé. Évitez de télécharger les dossiers financiers des clients, leurs informations d'identification ou tout autre document sensible qui n'est pas nécessaire pour évaluer le contrôle.
Devons-nous remplacer notre fournisseur informatique externalisé ?
Non. Vous pouvez utiliser les demandes d’évaluation et de preuves pour clarifier le travail effectué par votre prestataire actuel. Les fournisseurs peuvent soumettre des preuves via un lien de demande sans compte CyberProva.
Directives officielles
Utilisez ces sources avec votre fournisseur informatique lorsque vous examinez les contrôles décrits ci-dessus.
Des hypothèses aux preuves
Découvrez ce qui nécessite une attention particulière dans votre organisation
Commencez par une évaluation gratuite CyberProva. Examinez les résultats, identifiez les lacunes en matière de preuves et convenez des priorités avec votre équipe informatique.
Gratuit comprend 3 évaluations de base à vie. Les exportations de rapports et les fonctionnalités avancées nécessitent un forfait payant.