Audit Microsoft 365 : les 15 points à vérifier

Pourquoi auditer Microsoft 365 dans une PME ?

Microsoft 365 contient souvent les données les plus importantes de l’entreprise : e-mails, contrats, documents clients, fichiers RH, dossiers comptables, conversations Teams, fichiers OneDrive et bibliothèques SharePoint.

Une mauvaise configuration peut exposer des données sensibles, permettre à un compte compromis d’envoyer des e-mails frauduleux, ouvrir des fichiers à des personnes externes ou laisser actifs des accès inutiles.

Un audit sécurité Microsoft 365 permet de vérifier ces points et de construire un plan d’action adapté à la PME.

Les 15 points à vérifier pendant un audit Microsoft 365

Les contrôles doivent être adaptés à l’environnement de l’entreprise, mais les 15 points suivants constituent une base solide pour une PME.

1. Le MFA sur les comptes sensibles

Le MFA, ou authentification multifacteur, est l’un des premiers points à vérifier. Il ajoute une protection supplémentaire lorsque le mot de passe d’un utilisateur est compromis.

Dans une PME, le MFA doit être activé en priorité sur les comptes administrateurs, les comptes de direction, les comptes comptables, RH et tous les comptes ayant accès à des données sensibles.

• MFA actif sur les administrateurs.
• MFA actif sur les comptes sensibles.
• MFA appliqué aux accès externes et distants.
• Absence d’exceptions non justifiées.
• Méthodes d’authentification cohérentes et maîtrisées.

2. Les comptes administrateurs Microsoft 365

Les comptes administrateurs disposent de droits élevés. Ils peuvent modifier des paramètres, accéder à des consoles sensibles, créer des comptes, modifier des règles ou intervenir sur la sécurité de l’environnement.

Un audit doit vérifier le nombre d’administrateurs, leurs rôles, leur usage réel et la séparation entre compte utilisateur quotidien et compte d’administration.

• Nombre d’administrateurs globaux.
• Rôles attribués à chaque compte.
• Comptes administrateurs inutilisés.
• Comptes personnels avec droits excessifs.
• Protection MFA renforcée.
• Compte de secours documenté si nécessaire.

3. Les comptes inactifs ou anciens utilisateurs

Un ancien compte actif représente un risque important. Il peut conserver l’accès à la messagerie, aux fichiers, aux groupes Teams ou aux sites SharePoint.

L’audit doit vérifier les utilisateurs inactifs, les comptes sans connexion récente, les licences attribuées inutilement et les comptes d’anciens salariés.

• Comptes sans connexion récente.
• Comptes d’anciens salariés encore actifs.
• Licences inutiles.
• Boîtes conservées sans procédure claire.
• Accès aux groupes ou sites sensibles.

4. Les règles de messagerie Exchange

Les règles Exchange peuvent être utilisées légitimement, mais elles peuvent aussi être détournées après une compromission de compte. Un attaquant peut créer une règle pour transférer des e-mails, masquer des messages ou supprimer certaines notifications.

Un audit Microsoft 365 doit vérifier les règles de messagerie, les transferts externes, les délégations et les comportements anormaux.

• Règles de transfert automatique.
• Transferts vers des adresses externes.
• Règles masquant ou supprimant des messages.
• Délégations sur les boîtes sensibles.
• Boîtes partagées et droits associés.

En cas de suspicion, l’article Que faire si un compte Microsoft 365 a été piraté ? détaille les premières actions.

5. Les boîtes partagées et délégations

Les boîtes partagées sont fréquentes dans les PME : contact, comptabilité, support, commercial, direction ou service administratif. Elles doivent être contrôlées, car plusieurs personnes peuvent y accéder.

• Liste des boîtes partagées.
• Droits “Accès total”.
• Droits “Envoyer en tant que”.
• Droits “Envoyer de la part de”.
• Utilisateurs qui n’ont plus besoin d’accès.
• Boîtes sensibles sans suivi clair.

6. Les partages externes OneDrive

OneDrive facilite le partage de documents, mais il peut aussi exposer des fichiers si les liens externes sont mal maîtrisés. Un lien partagé trop largement peut rester actif bien après le besoin initial.

L’audit doit vérifier les règles de partage, les liens anonymes, les partages avec des comptes externes et les fichiers sensibles exposés.

• Partages externes actifs.
• Liens anonymes autorisés ou non.
• Liens sans expiration.
• Dossiers sensibles partagés.
• Partages avec anciens partenaires ou prestataires.

7. Les sites SharePoint sensibles

SharePoint contient souvent des bibliothèques critiques : documents clients, RH, finance, contrats, procédures, dossiers projets ou données commerciales.

Un audit doit identifier les sites sensibles, les propriétaires, les membres, les invités et les partages externes.

• Sites contenant des données sensibles.
• Propriétaires des sites.
• Membres internes et externes.
• Liens de partage actifs.
• Droits trop larges.
• Sites anciens ou non utilisés.

8. Les équipes Teams et invités externes

Teams est souvent utilisé pour échanger avec des collaborateurs, clients, fournisseurs ou partenaires. Les invités externes doivent être revus régulièrement pour éviter que des accès restent actifs sans justification.

• Équipes Teams actives.
• Invités externes.
• Propriétaires des équipes.
• Canaux contenant des données sensibles.
• Équipes anciennes ou abandonnées.
• Accès invités encore nécessaires.

9. Les groupes Microsoft 365

Les groupes Microsoft 365 peuvent donner accès à des boîtes, fichiers, sites SharePoint et équipes Teams. Une mauvaise gestion des groupes peut donc ouvrir trop largement certaines données.

• Groupes publics ou privés.
• Groupes sans propriétaire clair.
• Groupes sensibles avec trop de membres.
• Groupes créés automatiquement par Teams.
• Groupes inutilisés mais encore actifs.

10. Les appareils connectés et accès mobiles

Les utilisateurs consultent Microsoft 365 depuis des ordinateurs, smartphones, tablettes ou postes personnels. L’audit doit vérifier les appareils connectés et les règles d’accès, surtout si l’entreprise utilise le télétravail ou des postes non maîtrisés.

• Appareils connectés aux comptes.
• Accès depuis postes personnels.
• Accès mobiles.
• Sessions actives anciennes.
• Révocation des sessions en cas de départ ou incident.
• Politiques d’accès conditionnel si disponibles.

11. Les journaux de connexion

Les journaux de connexion permettent d’identifier des comportements suspects : connexion depuis un pays inhabituel, tentative répétée, connexion hors horaires, ou accès à risque.

Une PME doit savoir où consulter ces informations et comment réagir en cas d’alerte.

• Connexions inhabituelles.
• Échecs de connexion répétés.
• Connexions depuis emplacements inattendus.
• Activités administrateurs.
• Historique disponible selon les licences.

12. Les alertes de sécurité

Microsoft 365 peut générer des alertes de sécurité selon les licences et paramètres activés. Un audit doit vérifier si les alertes sont consultées, comprises et traitées.

• Alertes de connexion suspecte.
• Alertes liées aux comptes compromis.
• Alertes sur les règles de messagerie.
• Alertes de partage externe.
• Personnes responsables du traitement des alertes.
• Procédure de réaction en cas d’incident.

13. Les licences et fonctionnalités disponibles

Les fonctionnalités de sécurité disponibles dépendent des licences Microsoft 365 utilisées. Un audit doit vérifier si les licences sont cohérentes avec les besoins de sécurité de la PME.

• Licences attribuées aux utilisateurs.
• Licences inutilisées.
• Fonctionnalités de sécurité disponibles.
• Besoins MFA, accès conditionnel, protection endpoint ou supervision.
• Écart entre les besoins et les licences actuelles.

14. La restauration et la sauvegarde Microsoft 365

Microsoft 365 offre des mécanismes de rétention et de récupération, mais cela ne remplace pas toujours une stratégie de sauvegarde adaptée aux besoins métier.

L’audit doit vérifier ce qui peut être restauré, pendant combien de temps, et si une solution de sauvegarde complémentaire est nécessaire.

• Restauration des e-mails.
• Restauration OneDrive.
• Restauration SharePoint.
• Récupération après suppression accidentelle.
• Besoin de sauvegarde Microsoft 365 dédiée.
• Procédure de restauration testée.

Ce point peut être intégré dans un audit sauvegarde PRA PCA.

15. La procédure d’arrivée, départ et changement de poste

La sécurité Microsoft 365 dépend aussi des procédures internes. Lorsqu’un salarié arrive, change de poste ou quitte l’entreprise, ses accès doivent être correctement gérés.

• Création de compte avec droits adaptés.
• Attribution des groupes nécessaires.
• Suppression des accès inutiles lors d’un changement de poste.
• Désactivation rapide après départ.
• Révocation des sessions actives.
• Gestion de la boîte mail après départ.
• Retrait des invités externes si nécessaire.

Checklist rapide audit Microsoft 365

Voici une checklist simple à utiliser pour préparer votre audit Microsoft 365.

• MFA activé sur les comptes sensibles.
• Administrateurs Microsoft 365 limités.
• Comptes inactifs supprimés ou désactivés.
• Règles Exchange vérifiées.
• Boîtes partagées et délégations maîtrisées.
• Partages OneDrive contrôlés.
• Sites SharePoint sensibles identifiés.
• Invités Teams revus.
• Groupes Microsoft 365 nettoyés.
• Appareils et sessions actives contrôlés.
• Journaux de connexion consultables.
• Alertes de sécurité suivies.
• Licences adaptées aux besoins.
• Restauration et sauvegarde clarifiées.
• Procédures d’arrivée et départ documentées.

Conclusion : Microsoft 365 doit être audité régulièrement

Microsoft 365 évolue en permanence : nouveaux utilisateurs, nouveaux partages, invités, équipes Teams, règles Exchange, appareils connectés et accès externes. Un réglage sécurisé aujourd’hui peut devenir insuffisant demain si personne ne le revoit.

Un audit Microsoft 365 permet de reprendre le contrôle sur les identités, la messagerie, les fichiers, les partages et les données sensibles. Pour une PME, c’est une étape essentielle pour réduire le risque de phishing, fuite de données ou compromission de compte.