Guide de sécurité Microsoft 365
Preuves pour les questionnaires de sécurité des clients et des fournisseurs
Un client ou une équipe d’approvisionnement envoie un questionnaire de sécurité avec une date limite. Vous avez besoin de réponses que votre entreprise peut soutenir, plutôt que d’un ensemble de déclarations rassurantes. Gardez chaque question liée à sa portée, aux preuves datées et à la personne responsable de l'approbation de la réponse.
Publié · Dernière révision · Par CyberProva
Exécutez votre évaluation gratuite de la sécurité Microsoft 365Aucune carte requise · Connexion Microsoft 365 en lecture seule en option
Comprendre ce que le demandeur vous demande de prouver
Confirmez le service, l'unité commerciale et les systèmes couverts par le questionnaire. Lorsque vous répondez en tant que fournisseur, la question de votre client peut concerner l'ensemble de votre service, et pas seulement Microsoft 365.
- Conservez la question originale et toutes les définitions ou pièces jointes requises.
- Enregistrez le demandeur, la date limite et l’examinateur interne.
- Clarifiez les questions qui combinent plusieurs contrôles ou impliquent une portée plus large que ce que vous pouvez prouver.
Construisez une piste de preuves pour chaque réponse
Une politique décrit une pratique prévue ; un rapport de configuration ou un enregistrement de test peut aider à montrer ce qui fonctionne. Choisissez des preuves qui soutiennent la formulation de la réponse.
- Pour les questions d’accès, rassemblez les avis de compte, les politiques MFA et les exceptions pertinentes.
- Pour les questions de récupération, rassemblez l’étendue de la sauvegarde et les enregistrements de test de restauration terminés.
- Pour les questions de processus, demandez la politique pertinente et les dossiers montrant son utilisation.
- Enregistrez la source des preuves, la date d’examen et les limites ; actualiser les preuves lorsque la portée ou le contrôle change.
Utiliser les brouillons comme point de départ pour une réponse révisée
Dans le workflow de questionnaire Business de CyberProva, vous pouvez coller des questions et consulter leurs mappages avec les contrôles d'évaluation. Les brouillons distinguent les conclusions automatisées, les preuves acceptées, les contrôles défaillants et les faits qui n’ont pas été établis.
- Vérifiez chaque mappage de contrôle suggéré par rapport à la question avant d'utiliser le brouillon.
- Répondez vous-même aux questions extérieures au catalogue en justifiant les justificatifs appropriés.
- Examinez les réponses incomplètes ou défaillantes et expliquez la position actuelle avec précision.
- Approuvez la formulation finale et partagez uniquement les preuves dont le demandeur a besoin.
Où vérifier cela dans Microsoft 365
Demandez à votre administrateur autorisé d'inspecter ces zones pour les comptes, services et appareils concernés. Il s'agit d'emplacements de révision, et non d'instructions permettant de modifier les paramètres sans plan.
AMF : Conditional Access ou Security Defaults
Centre d'administration Microsoft Entra : Entra ID > Conditional Access > Stratégies ; Entra ID > Présentation > Propriétés > Paramètres de sécurité par défaut ; Méthodes d'authentification > Activité pour les rapports d'inscription.
Conditional Access nécessite l'Entra ID P1 ou P2 ; Business Premium inclut P1. Security Defaults est disponible avec Entra Free et constitue une ligne de base alternative, et non une couche supplémentaire à activer avec Conditional Access.
Accès aux fichiers externes : SharePoint et OneDrive
Centre d'administration SharePoint : Stratégies > Partage pour les paramètres du locataire et Sites actifs > site sélectionné > Paramètres pour le partage de site. Passez en revue les autorisations OneDrive/site individuelles, le partage de liens et d'invités avec le propriétaire responsable.
Applications connectées : applications d'entreprise Entra
Centre d'administration Microsoft Entra : applications d'entreprise et inscriptions d'applications ; examiner les autorisations, le propriétaire et l'objectif commercial de l'application avec son fournisseur. Inspectez séparément le suivi des candidats ou toute autre administration de services.
Récupération : conservation et sauvegarde Exchange/SharePoint
Microsoft Purview : Gestion du cycle de vie des données > Politiques de rétention et étiquettes de rétention pertinentes ; Examinez les paramètres d’élément supprimé Exchange et de corbeille/restauration SharePoint/OneDrive avec l’administrateur. Inspectez le service de sauvegarde distinct et ses enregistrements de récupération.
La rétention, l'historique des versions et les corbeilles offrent différentes fonctions de récupération. Ne présumez pas qu’ils sont équivalents à une sauvegarde gérée de manière indépendante ou qu’ils répondent à la définition de l’assureur. Confirmez les fonctionnalités de récupération sous licence et les exigences de restauration réelles.
Ce que CyberProva peut vérifier automatiquement
Les observations en lecture seule dépendent du plan sélectionné, de la licence Microsoft, du consentement et des données disponibles. L’accès manquant est une lacune et non un résultat conforme. Passez en revue le autorisations documentées et limitations de déploiement.
- AMF : Conditional Access ou Security Defaults: Évaluation de base : certaines observations sur les stratégies Conditional Access. Évaluations avancées à partir du plan Business : observations prises en charge sur l’inscription MFA, la couverture des stratégies et Security Defaults. Elles ne prouvent pas que chaque connexion est protégée.
- Accès aux fichiers externes : SharePoint et OneDrive: Les évaluations avancées à partir du plan Business peuvent lire certains paramètres de partage et de liens à l’échelle de l’environnement Microsoft 365, sous réserve d’autorisation. Elles ne réalisent pas un audit des accès fichier par fichier ou dossier juridique par dossier juridique.
- Applications connectées : applications d'entreprise Entra: Évaluation de base : décompte de certaines applications. Évaluations avancées à partir du plan Business : inventaire des applications pris en charge et autorisations d’application Microsoft Graph accordées sans utilisateur connecté. Le consentement délégué, les autres API et la sécurité interne d’un fournisseur ne sont pas couverts par cet inventaire.
- Récupération : conservation et sauvegarde Exchange/SharePoint: CyberProva ne vérifie pas automatiquement la couverture de conservation, l’isolation des sauvegardes ou la réussite des restaurations. Ces contrôles nécessitent des documents justificatifs et un examen par votre organisation.
Ce que vous devez demander à votre fournisseur informatique
Conservez la source, la date, la portée, les exceptions et le réviseur avec chaque enregistrement. La soumission et l'acceptation sont distinctes ; votre organisation décide si les preuves étayent la réclamation.
- AMF : Conditional Access ou Security Defaults: État de la politique daté, utilisateurs/applications ciblés, exclusions, niveaux d'authentification et enregistrements d'enregistrement ; preuve de connexion représentative examinée par un administrateur. Les politiques basées uniquement sur les rapports et l'enregistrement ne suffisent pas à établir l'application.
- Accès aux fichiers externes : SharePoint et OneDrive: Paramètres de partage du locataire et du site pertinent, exceptions d'invité/lien approuvées et exemples de résultats d'examen d'accès. Enregistrez qui a approuvé l’accès externe et ce qui a été supprimé après l’examen.
- Applications connectées : applications d'entreprise Entra: Un registre des fournisseurs/applications approuvés, les dates de propriétaire et de révision, les justifications d'autorisation et les enregistrements d'assurance pour les services en dehors de Microsoft 365. Une application activée ne constitue pas une preuve qu'elle est utilisée ou approuvée.
- Récupération : conservation et sauvegarde Exchange/SharePoint: Portée de conservation/suppression, couverture et conservation de la charge de travail de sauvegarde, séparation administrative ou isolation/immuabilité le cas échéant, et test de restauration daté avec les données restaurées, le résultat, les échecs et le réviseur.
Rendre la réponse prouvable
Pack de preuves pour ce guide
- Un registre de réponses reprenant chaque question initiale et sa portée convenue.
- Résultats de l’évaluation datés et preuves des prestataires examinées par l’organisation.
- Un approbateur nommé, des questions non résolues et la réponse finale examinée.
Comment CyberProva aide
CyberProva vous aide à établir une base de référence et à demander des preuves à l’appui. Business et versions ultérieures incluent la rédaction de questionnaires à partir de contrôles d'évaluation cartographiés, avec la base et la date de chaque réponse disponibles pour examen. Gratuit comprend 3 évaluations de base à vie et un résumé à l'écran ; les flux de travail des questionnaires et les exportations de rapports nécessitent un forfait payant.
Découvrez ce que devrait couvrir une évaluation de sécurité Microsoft 365 →
Voir exactement ce que CyberProva vérifie · Découvrez comment CyberProva évalue la sécurité · Vérifier les autorisations Microsoft
Exemple pratique
Exemple de question et projet fondé sur des preuves
Formulation illustrative uniquement, pas un résultat client. Supposons que le demandeur vous demande si vos sauvegardes sont régulièrement testées, mais que vous détenez une politique de sauvegarde et aucun enregistrement de test de restauration terminé.
- Question : Testez-vous régulièrement la restauration des données commerciales concernées ?
- Projet de réponse : Non établi. Notre politique de sauvegarde décrit le processus prévu, mais nous n'avons pas encore examiné un enregistrement de test de restauration terminé pour cette étendue.
- Demande de preuves : veuillez fournir la dernière date du test, les données et les systèmes restaurés, le résultat, le réviseur et tout échec non résolu.
- Avant la soumission : examinez le dossier, révisez la réponse pour refléter ce qu'elle démontre et identifiez les exclusions restantes.
Ce que cela ne peut pas établir
- Les projets couvrent les contrôles d’évaluation cartographiés, et non toutes les questions de sécurité, de confidentialité, contractuelles ou spécifiques à un secteur. Votre organisation approuve la réponse finale.
- Un élément de preuve d’exportation ou accepté ne certifie pas la conformité ni ne garantit l’approbation de l’approvisionnement. Les preuves sensibles doivent être partagées uniquement avec les destinataires appropriés.
Questions courantes
CyberProva complète-t-il automatiquement n'importe quel fichier de questionnaire ?
Non. Le flux de travail actuel vous permet de coller des questions et de consulter les mappages avec les contrôles d'évaluation pris en charge. Il ne s’agit pas d’un tableur universel ni d’un service de complétion de portail. Les questions en dehors du catalogue nécessitent votre propre réponse.
La même réponse peut-elle être réutilisée pour chaque client ?
Seulement après avoir vérifié que le libellé, l’étendue du service et les preuves à l’appui sont toujours d’actualité. Une réponse précédemment acceptée n'établit pas les exigences d'un nouveau client.
Les preuves acceptées par le fournisseur signifient-elles une vérification indépendante ?
Non. Votre organisation examine et accepte les preuves. Cela se distingue d’une observation automatisée et d’un audit indépendant.
Pouvons-nous l’utiliser pour évaluer tous nos fournisseurs ?
Ce workflow aide votre organisation à répondre aux questionnaires entrants concernant ses propres contrôles. Il ne s’agit pas d’un service d’évaluation des fournisseurs ni d’une plateforme complète de gestion des risques par des tiers.
Directives officielles
Utilisez ces sources avec votre fournisseur informatique lorsque vous examinez les contrôles décrits ci-dessus.
Des hypothèses aux preuves
Découvrez ce qui nécessite une attention particulière dans votre organisation
Commencez par une évaluation gratuite CyberProva. Examinez les résultats, identifiez les lacunes en matière de preuves et convenez des priorités avec votre équipe informatique.
Gratuit comprend 3 évaluations de base à vie. Les exportations de rapports et les fonctionnalités avancées nécessitent un forfait payant.