Checklist sécurité Microsoft 365 pour une PME de 10 à 50 postes
La plupart des incidents de sécurité dans les PME que j’audite ne viennent pas d’une attaque sophistiquée. Ils viennent d’un réglage laissé par défaut : un compte administrateur sans double authentification, une ancienne méthode de connexion toujours autorisée, une boîte partagée qui transfère tout vers l’extérieur. Voici la liste que j’utilise, dans l’ordre où je la déroule. Chaque point indique le temps nécessaire et ce qui se passe si on l’ignore.
Priorité 1 : les comptes (une demi-journée)
1. Double authentification pour tout le monde
L’authentification multifacteur bloque la quasi-totalité des prises de contrôle de comptes par mot de passe volé. Sur Microsoft 365, activez-la via les paramètres de sécurité par défaut (Security defaults) si vous n’avez pas de licence Entra ID P1, ou via une stratégie d’accès conditionnel si vous en avez une. L’application Microsoft Authenticator avec correspondance de numéro est préférable au SMS.
2. Comptes administrateurs séparés et peu nombreux
Deux comptes Administrateur général maximum, dédiés à l’administration, sans boîte mail, sans licence Office, jamais utilisés pour le travail quotidien. Le compte du dirigeant ne doit pas être administrateur. Créez un compte de secours (break glass) dont le mot de passe est conservé hors ligne.
3. Authentification héritée désactivée
Les protocoles anciens (POP, IMAP basique, SMTP authentifié) ne gèrent pas la double authentification. Tant qu’ils sont actifs, votre MFA a une porte dérobée. Vérifiez dans les journaux de connexion qu’aucune application ne les utilise encore (une photocopieuse qui envoie des scans, souvent), puis désactivez-les.
4. Comptes inactifs et invités
Toute personne partie depuis plus de 30 jours : compte désactivé, licence récupérée, boîte convertie en boîte partagée si nécessaire. Les comptes invités (partenaires, anciens prestataires) méritent la même revue chaque trimestre.
Priorité 2 : la messagerie (une demi-journée)
5. SPF, DKIM, DMARC
Les trois enregistrements qui empêchent l’usurpation de votre domaine. Détaillés dans ce guide. Le diagnostic mail gratuit vous dit en deux jours où vous en êtes.
6. Règles de transfert externe bloquées
Un attaquant qui prend un compte crée d’abord une règle qui transfère discrètement les e-mails vers l’extérieur. Interdisez le transfert automatique vers des domaines externes au niveau du tenant, et passez en revue les règles de boîte existantes.
7. Protection contre le hameçonnage activée
Les stratégies anti-hameçonnage de Defender pour Office 365 (ou au minimum la protection standard d’Exchange Online Protection) doivent protéger les noms de vos dirigeants contre l’usurpation d’affichage. Activez les Liens fiables et Pièces jointes fiables si votre licence les inclut (Business Premium, par exemple).
Priorité 3 : les données (une journée)
8. Partage externe de SharePoint et OneDrive encadré
Par défaut, un utilisateur peut créer un lien « toute personne disposant du lien » vers n’importe quel fichier. Réglez le partage externe sur « invités nouveaux et existants » au maximum, avec expiration des liens, et désactivez les liens anonymes si votre activité le permet.
9. Sauvegarde indépendante de Microsoft
Microsoft 365 n’est pas une sauvegarde. La corbeille conserve les éléments 93 jours, puis ils disparaissent ; un rançongiciel qui chiffre un OneDrive est synchronisé vers le cloud. Une sauvegarde tierce (plusieurs éditeurs le font bien pour quelques euros par utilisateur et par mois) est le seul moyen de restaurer une boîte ou un site SharePoint six mois après un incident.
10. Applications tierces autorisées sous contrôle
Tout utilisateur peut, par défaut, autoriser une application externe à lire sa boîte et ses fichiers. Restreignez le consentement utilisateur aux applications vérifiées à faible impact, et passez en revue les applications déjà autorisées dans Entra ID.
Priorité 4 : les appareils (une journée, puis en continu)
11. Postes inscrits et chiffrés
Si votre licence inclut Intune, inscrivez les postes, exigez BitLocker (ou FileVault sur Mac) et un verrouillage automatique. Sans Intune, vérifiez au moins manuellement que chaque portable est chiffré : un portable perdu non chiffré est une violation de données à déclarer à la CNIL.
12. Mises à jour appliquées
Windows, macOS, navigateurs et Office doivent se mettre à jour sans attendre l’utilisateur. Un outil de supervision ou Intune le garantit ; sinon, un contrôle mensuel manuel est le minimum.
Comment utiliser cette liste
Ne tentez pas tout en une semaine. Les quatre premiers points se font en une demi-journée et couvrent l’essentiel du risque ; faites-les d’abord. Les autres suivent sur un mois. Puis contrôlez chaque trimestre : les réglages dérivent (un nouveau prestataire, un utilisateur pressé, une mise à jour de Microsoft qui change un défaut).
C’est exactement le périmètre de l’audit Microsoft 365 de LR46 : un contrôle de ces points et d’une trentaine d’autres, un rapport lisible par un dirigeant, dix actions prioritaires. Le socle de sécurité les met en place, et le suivi mensuel vérifie qu’ils tiennent.