Preuves de sécurité Microsoft 365 pour les agences de recrutement

Cartographier le parcours d'un candidat à travers vos systèmes

Suivez un flux de travail de recrutement typique, de la candidature à la soumission du client, puis à la conservation ou à la suppression. Utilisez la carte pour éviter de répondre à une question sur l'ensemble du service en utilisant uniquement les preuves du locataire de messagerie.

• Identifiez le système de suivi des candidats, les sites d'emploi, les outils d'analyse de CV et les emplacements de documents partagés utilisés par l'agence.
• Enregistrez où les informations sur les candidats sont copiées ou exportées vers la messagerie électronique, Teams, SharePoint ou OneDrive.
• Identifiez quelle partie administre chaque système et qui peut fournir des enregistrements d’accès et de récupération.
• Conserver les décisions de conservation et de suppression des données des candidats avec l'équipe responsable ; une évaluation Microsoft 365 ne définit ni ne valide ces décisions.

Examiner l’accès des consultants et le partage des candidats

L'accès d'une agence peut changer lorsque les consultants changent de bureau, que les sous-traitants partent ou que les relations avec les clients prennent fin. Passez en revue les autorisations et les itinéraires de partage qui prennent en charge ces modifications, plutôt que de vous fier uniquement au nombre de comptes.

• Demandez la portée et les exclusions de la politique MFA pour les consultants, les administrateurs et les identités de support externe.
• Vérifiez le processus de suppression d’accès dans Microsoft 365 et dans le système de suivi des candidats.
• Demandez des preuves de la manière dont les documents des candidats sont partagés avec les clients et de la manière dont les accès expirés sont gérés.
• Examinez les applications connectées et leurs autorisations lorsqu'elles sont prises en charge ; interrogez chaque fournisseur sur les contrôles extérieurs à l’évaluation des locataires.

Répondre aux questions d'assurance d'un client dans le cadre des preuves

Un client peut demander comment l'agence protège les informations des candidats, gère l'accès des fournisseurs ou récupère son service de placement. Gardez la réponse liée aux systèmes et aux enregistrements réellement examinés.

• Distinguez les observations automatisées de Microsoft 365 des documents des fournisseurs et des déclarations des fournisseurs de suivi des candidats.
• Demandez si les enregistrements de récupération incluent les données et les exportations dont l'agence a besoin pour continuer à fonctionner.
• Laissez ouvertes les questions sur les intégrations ou les plateformes non examinées jusqu'à ce que le fournisseur concerné fournisse des preuves.
• Demandez à l'examinateur responsable de l'agence d'approuver la réponse avant qu'elle ne soit envoyée au service d'approvisionnement.

Où vérifier cela dans Microsoft 365

Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.

Ce que CyberProva peut vérifier automatiquement

Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.

• AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
• Accès aux fichiers externes : SharePoint et OneDrive: Les évaluations avancées à partir du plan Business peuvent lire certains paramètres de partage et de liens à l’échelle de l’environnement Microsoft 365, sous réserve d’autorisation. Elles ne réalisent pas un audit des accès fichier par fichier ou dossier juridique par dossier juridique.
• Applications connectées : applications d'entreprise Entra: Évaluation de base : décompte de certaines applications. Évaluations avancées à partir du plan Business : inventaire des applications pris en charge et autorisations d’application Microsoft Graph accordées sans utilisateur connecté. Le consentement délégué, les autres API et la sécurité interne d’un fournisseur ne sont pas couverts par cet inventaire.

Ce que vous devez demander à votre fournisseur informatique

Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.

• AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
• Accès aux fichiers externes : SharePoint et OneDrive: Paramètres de partage du locataire et du site pertinent, exceptions d'invité/lien approuvées et exemples de résultats d'examen d'accès. Enregistrez qui a approuvé l’accès externe et ce qui a été supprimé après l’examen.
• Applications connectées : applications d'entreprise Entra: Un registre des fournisseurs/applications approuvés, les dates de propriétaire et de révision, les justifications d'autorisation et les enregistrements d'assurance pour les services en dehors de Microsoft 365. Une application activée ne constitue pas une preuve qu'elle est utilisée ou approuvée.

Comment CyberProva aide

CyberProva combine des vérifications Microsoft 365 en lecture seule sélectionnées avec des demandes de preuves du fournisseur. Cela peut aider votre agence à garder visible la base d'une réponse de sécurité et à identifier les lacunes qu'un fournisseur doit combler. Gratuit comprend 3 évaluations de base à vie, des demandes de preuves et un résumé à l’écran. Business et versions ultérieures ajoutent la rédaction de questionnaires à partir des contrôles mappés, les exportations de rapports et la gestion des remédiations. Les questions concernant votre plateforme de suivi des candidats ou un processus de recrutement plus large nécessitent toujours des preuves et un examen appropriés.

Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →

Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft

Ce que cela ne peut pas établir

• CyberProva ne certifie pas la conformité au RGPD du Royaume-Uni et n'établit pas la légalité, la conservation ou la suppression de chaque dossier de candidat. Ces questions nécessitent un examen de l'ensemble des activités de traitement de l'agence et des orientations actuelles.
• Une observation de locataire n'établit pas la sécurité d'une plateforme de suivi des candidats, des systèmes internes d'un fournisseur ou de chaque copie en aval d'un CV. Les preuves du fournisseur restent soumises à l'examen de votre organisation.

Questions courantes