Toutes les notes
Cybersécurité
Durcir Microsoft 365 : les 12 réglages à activer d’abord.
Une douzaine de réglages inclus dans la licence évitent la plupart des compromissions de messagerie courantes. Les voici, dans l’ordre où nous les appliquons.
Microsoft 365 est sûr par conception et fragile par défaut. Les réglages ci-dessous sont disponibles dans la plupart des licences Business et Enterprise ; ils demandent un après-midi et un peu de communication interne. Nous les appliquons dans cet ordre, du plus bloquant au plus confortable.
Identités
- MFA pour tout le monde, sans exception pour la direction. Privilégiez l’application Authenticator ou les clés FIDO2 au SMS.
- Désactiver l’authentification héritée (POP, IMAP, SMTP basique) qui contourne le MFA. Vérifiez d’abord les imprimantes et applications qui l’utilisent encore.
- Accès conditionnel : bloquer les pays où vous n’avez personne, exiger un appareil conforme pour les données sensibles, forcer une réauthentification sur les actions à risque. Sans licence P1, activez au minimum les « paramètres de sécurité par défaut ».
- Comptes administrateur dédiés, séparés des comptes de travail quotidiens, avec activation à la demande (PIM) si votre licence le permet, et au maximum deux administrateurs globaux.
- Comptes de secours (break glass) documentés, exclus des règles d’accès conditionnel, surveillés.
Messagerie
- SPF, DKIM et DMARC sur tous vos domaines, DMARC en
p=rejectaprès une période d’observation. C’est le réglage qui protège votre nom auprès de vos clients. - Désactiver le transfert automatique vers l’extérieur : c’est la première chose qu’un attaquant configure sur une boîte compromise.
- Protection des liens et pièces jointes (Defender for Office 365 ou équivalent) avec les politiques standard de Microsoft.
- Bannière « expéditeur externe » et signalement de phishing en un clic dans Outlook.
Données et appareils
- Partage externe SharePoint et OneDrive limité aux invités authentifiés, avec expiration des liens.
- Journal d’audit unifié activé et alertes sur les actions sensibles : création de règles de transfert, ajout d’administrateur, connexions impossibles.
- Appareils gérés (Intune ou équivalent) : chiffrement obligatoire, verrouillage, effacement à distance.
Et ensuite
Le Secure Score de Microsoft donne une mesure mensuelle simple. Visez une progression régulière plutôt qu’un score parfait, et refaites la revue des administrateurs et des applications tierces autorisées tous les trimestres.