Transparence de CyberProva
Ce que CyberProva vérifie
Découvrez quels Microsoft 365 et les contrôles externes CyberProva vérifient automatiquement, lesquels nécessitent des preuves et où une révision est encore requise.
Identité et accès
Vérifié automatiquement lorsque Microsoft 365 est connecté : inventaire des utilisateurs et des invités, attributions de rôles privilégiés actuelles, observations de stratégie Conditional Access et disponibilité de l'audit d'annuaire. Une observation peut nécessiter une révision plutôt que d’établir un résultat conforme.
- Évaluation avancée : enregistrement MFA et couverture de la politique, authentification héritée, paramètres de sécurité par défaut, comptes inactifs, âge des invités et risque de connexion, sous réserve des autorisations et licences.
- Preuves requises : comptes d'administrateur séparés, processus d'arrivée et de départ, exceptions justifiées et contrôles d'accès réguliers. L’inventaire à lui seul ne prouve pas que ces processus se produisent.
Configuration Microsoft 365
Vérifié automatiquement : Microsoft Secure Score. Les évaluations avancées examinent également la propriété des applications et les métadonnées d’expiration des informations d’identification, l’accès privilégié, les stratégies d’appareil Intune sélectionnées, les paramètres de protection par mot de passe et la configuration du partage.
- Preuve requise : configuration complète de l'audit Purview et audit de la boîte aux lettres Exchange. L’activité d’audit d’annuaire n’est qu’une observation partielle.
- Les licences Microsoft, les autorisations accordées et le plan CyberProva sélectionné affectent les vérifications qui peuvent être exécutées. Les données indisponibles ne constituent pas un résultat conforme.
Accès aux applications
Les évaluations avancées des plans Business et Professional conservent un inventaire d’applications interrogeable : noms, identifiants d’application et d’objet, type, état d’activation, nombre de propriétaires des principaux de service et autorisations applicatives Microsoft Graph accordées sans utilisateur connecté. L’inventaire est conservé avec chaque évaluation et inclus dans son export JSON.
- Inclut les applications Microsoft, les applications tierces et les identités managées renvoyées par le locataire. L'examen principal rapporte le nombre de demandes ; exécutez une nouvelle évaluation avancée pour remplir l’inventaire détaillé.
- Utilise l’autorisation Application.Read.All en lecture seule existante. L’inventaire manquant ou les lectures d’autorisations sont signalés comme indisponibles.
- Le consentement délégué des utilisateurs, les autorisations sur d’autres API et les dates de dernière utilisation ne sont pas inclus. Une application activée n’est pas nécessairement utilisée récemment. L’absence d’autorisations Graph dans la liste ne prouve pas l’absence d’accès.
- La propriété principale du service peut différer de la propriété de l’enregistrement de l’application. Examiner le besoin commercial avec le propriétaire avant de modifier l'accès ; CyberProva ne révoque pas automatiquement les autorisations.
Sécurité des e-mails
Preuve requise pour la protection anti-hameçonnage Exchange, le transfert automatique, les règles de transfert de boîte aux lettres et les paramètres de liens sécurisés/pièces jointes sécurisées. CyberProva ne lit pas vos messages électroniques pour établir ces contrôles.
- Demandez à votre fournisseur informatique des exportations de politiques ou des preuves de paramètres datées.
- Les observations d’authentification de messagerie DNS sont distinctes d’un examen de stratégie Exchange.
Partage et collaboration
Vérification automatique dans l'évaluation avancée où l'accès est accordé : paramètres de partage SharePoint et OneDrive à l'échelle du locataire et paramètres d'expiration de lien sélectionnés.
- Il ne s’agit pas d’un audit des autorisations fichier par fichier ni d’un examen du contenu du document.
- Preuves requises pour les examens d'accès réels et l'approbation commerciale du partage externe.
Authentification DNS et email
Vérification automatique d'un site Web/domaine vérifié sur un plan pris en charge : SPF, DMARC, le sélecteur DKIM fourni, les observations DNSSEC et les enregistrements DNS sélectionnés.
- Trouver un enregistrement ne prouve pas que tous les expéditeurs sont autorisés, que DKIM signe les messages ou que DMARC est appliqué.
- Certains enregistrements nécessitent une interprétation, notamment l'héritage de domaine organisationnel et les limites de recherche DNS.
Site Web et contrôles externes
Vérification automatique d'un site Web vérifié : observations HTTP/TLS publiques sélectionnées et en-têtes de sécurité. Les observations disponibles dépendent du plan et de ce que renvoie le point de terminaison public.
- La propriété du domaine doit être vérifiée avant la surveillance.
- Il ne s’agit pas d’un test d’intrusion, d’un audit d’application authentifié ou d’une analyse complète des vulnérabilités.
Contrôles nécessitant des preuves de votre organisation ou de votre fournisseur informatique
Microsoft 365 ne peut pas établir tous les contrôles protégeant votre entreprise. CyberProva enregistre les preuves fournies et permet à votre réviseur d'espace de travail de les accepter.
- Correction des appareils et protection des points de terminaison dans l’ensemble du domaine.
- Couverture de sauvegarde, protection et tests de restauration réussis.
- Formation du personnel, exercices de réponse aux incidents, politiques et examens des fournisseurs.
- Configuration du réseau, processus de fraude aux paiements et enregistrements de protection des données.
- Les preuves reçues ou acceptées ne constituent pas une certification indépendante des faits sous-jacents.