Microsoft investit massivement dans la sécurité de Microsoft 365. Les plateformes derrière Exchange Online, SharePoint, OneDrive, Teams et Microsoft Entra disposent de mécanismes de sécurité étendus.

Cependant, il existe une distinction importante entre :

• la sécurité de la plateforme Microsoft elle-même ;
• les possibilités de sécurité incluses dans votre licence Microsoft 365 ;
• la manière dont ces possibilités sont configurées professionnellement ;
• la surveillance et le suivi permanents ;
• et le comportement des utilisateurs.

Microsoft 365 est-il sécurisé par défaut ?

La réponse courte est : Microsoft 365 est construit sur une plateforme cloud fortement sécurisée, mais un tenant standard n'est pas automatiquement optimisé pour la sécurité de votre organisation.

La protection dont vous disposez finalement dépend notamment de :

• vos licences Microsoft 365 ;
• Microsoft Entra et votre configuration d'identité ;
• l'authentification multifacteur (MFA) ;
• l'accès conditionnel ;
• la sécurité des ordinateurs portables et smartphones ;
• Exchange Online et la sécurité des e-mails ;
• la politique de partage SharePoint et OneDrive ;
• les rôles d'administrateur ;
• la journalisation et la surveillance ;
• la sauvegarde et la restauration ;
• et la sensibilisation à la sécurité des utilisateurs.

Microsoft et votre organisation partagent la responsabilité

Microsoft 365 est un service cloud. Cela ne signifie pas que Microsoft est automatiquement responsable de tous les problèmes de sécurité possibles.

Microsoft sécurise notamment l'infrastructure cloud sous-jacente, les centres de données physiques, les serveurs, les réseaux et les services de plateforme.

Votre organisation reste responsable d'éléments importants tels que :

• les utilisateurs et les identités ;
• les droits d'accès ;
• la configuration Microsoft 365 ;
• les appareils clients ;
• les données d'entreprise ;
• la MFA et l'accès conditionnel ;
• la gestion des utilisateurs ;
• et la manière dont les utilisateurs gèrent les données et les alertes de sécurité.

1. Les comptes utilisateurs sont un point d'attaque important

Un des plus grands risques dans Microsoft 365 n'est pas forcément la plateforme, mais un compte utilisateur volé ou compromis.

C'est pourquoi la multi-authentification est aujourd'hui une mesure de base absolue.

Microsoft propose notamment les Security Defaults comme protection de base, mais pour des environnements d'entreprise professionnels, une politique plus ciblée est souvent nécessaire.

2. Toutes les formes de MFA ne se valent pas

La sécurité moderne de Microsoft 365 va au-delà de la simple demande d'un code supplémentaire.

Pensez par exemple à :

• Microsoft Authenticator ;
• la comparaison de numéro ;
• Windows Hello ;
• les passkeys ;
• les clés de sécurité FIDO2 ;
• l'authentification résistante au phishing ;
• la limitation des méthodes d'authentification plus faibles.

3. L'accès conditionnel fait une grande différence

L'accès conditionnel détermine dans quelles conditions quelqu'un peut accéder à Microsoft 365.

La politique peut par exemple prendre en compte :

• l'utilisateur ;
• l'application utilisée ;
• l'appareil ;
• l'état de sécurité de cet appareil ;
• le risque de connexion ;
• la méthode d'authentification utilisée ;
• la localisation ou autre contexte de la connexion.

Cela permet par exemple de :

• exiger une authentification renforcée pour les administrateurs ;
• bloquer les connexions à risque ;
• limiter l'accès aux données sensibles aux appareils gérés ;
• protéger davantage certaines applications ;
• fermer les chemins d'accès indésirables.

4. Une bonne sécurité Microsoft 365 nécessite des spécialistes

Microsoft 365 contient tellement de possibilités de sécurité qu'une configuration professionnelle va bien au-delà de quelques cases à cocher.

Les spécialistes doivent notamment déterminer :

• quelles mesures de sécurité correspondent au profil de risque de l'organisation ;
• quelles règles d'accès conditionnel sont nécessaires ;
• quelles méthodes d'authentification sont autorisées ;
• comment protéger les comptes administrateurs ;
• quels appareils peuvent accéder au système ;
• comment sécuriser les e-mails et la collaboration ;
• quelle journalisation et surveillance sont nécessaires ;
• comment détecter et gérer les incidents ;
• et comment tester les mesures de sécurité sans perturber les opérations.

5. L'appareil doit également être sécurisé

Un compte Microsoft 365 parfaitement sécurisé n'est qu'une partie de l'histoire.

Lorsque les données d'entreprise sont accessibles depuis un ordinateur mal sécurisé, infecté ou non géré, un risque subsiste.

C'est pourquoi une approche de sécurité moderne inclut notamment :

• la gestion centralisée des appareils ;
• Microsoft Intune ;
• la protection des points de terminaison ;
• l'EDR ;
• BitLocker ;
• la gestion des correctifs ;
• la politique de conformité ;
• l'accès conditionnel basé sur l'état de l'appareil.

6. L'e-mail reste une porte d'entrée importante pour les attaquants

Le phishing, les malwares, les liens malveillants, les factures frauduleuses et les comptes volés arrivent encore très souvent par e-mail.

Une bonne sécurité e-mail inclut donc plus que le filtrage anti-spam.

Pensez à :

• l'anti-phishing ;
• la protection contre les malwares ;
• la protection contre les liens et pièces jointes dangereux ;
• SPF ;
• DKIM ;
• DMARC ;
• la protection contre l'usurpation d'identité (impersonation) ;
• la surveillance ;
• la sensibilisation à la sécurité.

7. SharePoint et OneDrive doivent être correctement configurés

Microsoft 365 facilite le partage. C'est très pratique, mais cela peut aussi constituer un risque de sécurité lorsque le partage est trop large.

Pensez par exemple à :

• les liens anonymes ;
• les utilisateurs externes anciens ;
• les liens de partage actifs inutilement longtemps ;
• des droits Teams et SharePoint trop larges ;
• le partage de dossiers entiers alors qu'un seul document suffirait.

8. Les comptes administrateurs méritent une protection supplémentaire

Un administrateur peut faire beaucoup plus qu'un utilisateur ordinaire. C'est pourquoi les comptes administrateurs sont particulièrement précieux pour les attaquants.

Une configuration professionnelle tient compte notamment de :

• le principe du moindre privilège ;
• un minimum de droits administrateurs permanents ;
• une authentification forte ou résistante au phishing ;
• des règles spécifiques d'accès conditionnel ;
• la surveillance des activités administratives ;
• la revue périodique des droits et rôles.

9. Microsoft 365 n'est pas automatiquement une stratégie complète de sauvegarde

Microsoft propose différentes options de restauration telles que l'historique des versions, la corbeille, la rétention et la redondance.

Cependant, les organisations doivent déterminer elles-mêmes les garanties de restauration dont elles ont besoin.

10. Aucune configuration ne garantit une sécurité à 100%

C'est un aspect important mais parfois oublié de la cybersécurité : la sécurité absolue n'existe pas.

Vous pouvez sécuriser très fortement un environnement Microsoft 365 et prévoir plusieurs couches techniques pour absorber erreurs et attaques.

Mais aucun produit et aucune configuration ne peut rendre impossible chaque action humaine.

Un utilisateur peut par exemple :

• faire confiance à un e-mail de phishing convaincant ;
• ouvrir un fichier malveillant ;
• ignorer consciemment un avertissement de sécurité ;
• approuver une demande MFA qu'il n'a pas initiée ;
• envoyer des informations confidentielles à la mauvaise personne ;
• partager des données via un canal non souhaité ;
• effectuer une action pour laquelle il dispose néanmoins de droits légitimes.

C'est pourquoi une bonne cybersécurité repose toujours sur plusieurs couches :

• la technologie pour bloquer et détecter les attaques ;
• la configuration professionnelle pour utiliser correctement cette technologie ;
• la surveillance pour détecter rapidement les situations suspectes ;
• les procédures pour gérer correctement les incidents ;
• la sensibilisation à la sécurité pour que les utilisateurs reconnaissent les risques ;
• l'utilisateur lui-même, qui prend finalement toujours les décisions.

Qui est finalement responsable ?

La cybersécurité est une responsabilité partagée.

Microsoft sécurise sa plateforme cloud. Votre partenaire IT configure et gère les possibilités de sécurité. L'organisation définit la politique et les droits d'accès. Et les utilisateurs doivent utiliser cet environnement de manière sécurisée.

Il est donc trop simple de dire qu'une seule technologie ou un seul fournisseur peut garantir une sécurité complète.

11. La sécurité n'est pas un projet ponctuel

Sécuriser une fois un environnement Microsoft 365 puis le laisser tranquille pendant des années n'est pas une bonne approche.

Microsoft évolue continuellement, mais les attaquants et leurs techniques aussi.

C'est pourquoi les organisations doivent régulièrement examiner :

• les nouvelles possibilités de sécurité Microsoft ;
• les nouvelles techniques d'attaque ;
• les règles d'accès conditionnel ;
• les droits administrateurs ;
• les appareils ;
• les alertes de sécurité ;
• le Secure Score ;
• les nouveaux utilisateurs et les départs ;
• l'accès externe et le partage ;
• la sensibilisation à la sécurité.

À quoi ressemble un environnement Microsoft 365 bien sécurisé ?

Pour un environnement professionnel, on attend au minimum une attention portée à :

Comment savoir si votre environnement Microsoft 365 est bien sécurisé ?

Pour un utilisateur final ou un dirigeant, cela est difficile à évaluer soi-même.

Le fait que la MFA soit active ou que Microsoft Defender soit installé ne dit par exemple pas :

• si la configuration est correcte et complète ;
• si l'accès conditionnel est bien configuré ;
• si les comptes administrateurs sont suffisamment protégés ;
• si tous les appareils sont réellement gérés ;
• si le partage externe est trop large ;
• si les alertes sont effectivement suivies ;
• si la restauration après incident est bien préparée ;
• si la sécurité a été récemment évaluée.

En résumé