Sécurité Microsoft 365 en PME : les contrôles à vérifier en priorité

Commencer par les identités, pas par les licences

Listez les comptes actifs, les comptes administrateurs, les comptes partagés et les prestataires. Vérifiez ensuite quels comptes disposent d’un second facteur et comment sont gérés les accès de secours. Un ancien compte ou un administrateur utilisé au quotidien peut créer plus de risque qu’un manque de fonctionnalités avancées.

MFA : vérifier la couverture réelle

Activer le MFA « quelque part » ne signifie pas que tous les accès sensibles sont couverts. Vérifiez les comptes d’administration, les utilisateurs exposés au phishing et les méthodes de récupération. Microsoft recommande les paramètres de sécurité par défaut ou, selon les licences, des stratégies d’accès conditionnel plutôt que l’ancien MFA par utilisateur.

Messagerie : SPF, DKIM et DMARC travaillent ensemble

SPF identifie les sources autorisées à envoyer pour un domaine, DKIM signe les messages et DMARC contrôle l’alignement avec le domaine visible de l’expéditeur. Un SPF seul ne suffit pas à empêcher l’usurpation. Les services marketing, CRM, facturation ou relais doivent être recensés avant de durcir DMARC pour éviter de bloquer des flux légitimes.

Réduire l’impact d’un compte compromis

Préparez une procédure simple : qui peut révoquer les sessions, réinitialiser un compte, consulter les journaux utiles et vérifier les règles de transfert de messagerie ? Séparez les comptes d’administration des usages courants et retirez les droits qui ne sont plus nécessaires.

Ce qu’un diagnostic peut regarder sans perturber le service

Sur un périmètre convenu, une première revue peut examiner l’authentification du domaine, les expositions publiques et les pratiques déclarées autour des comptes, du MFA et de la récupération. Les vérifications internes plus profondes nécessitent un accès et une autorisation spécifiques.

Pour aller plus loin