Audit Microsoft 365 Ce que c’est
Un examen de votre organisation Microsoft 365 : identités, partage, boîtes partagées, sauvegarde, journal d’audit, licences et conformité, avec un rapport qui nomme les risques et les classe.
Microsoft 365
Audit Microsoft 365 pour PME au Québec : les douze points que nous vérifions
Un environnement Microsoft 365 qui fonctionne n’est pas forcément un environnement bien tenu. La plupart des tenants que nous ouvrons ont été montés vite, il y a quelques années, puis modifiés au fil des départs et des projets. Cette page décrit exactement les douze points examinés, le document que vous recevez, et ce que vous en faites ensuite.
Un audit Microsoft 365 examine douze points en lecture : identités, rôles d’administration, accès conditionnel, partage externe et invités, SharePoint et Teams, boîtes partagées, sécurité du courriel, sauvegarde, journal d’audit, appareils mobiles, licences et Loi 25. Vous recevez un rapport de constats classés par risque, avec un plan de correction en trois temps.
L’essentiel
L’audit Microsoft 365 en trois points
L’examen se fait en lecture, sans interruption pour vos employés, et le rapport vous appartient même si vous confiez la correction à quelqu’un d’autre.
Pour qui
Une PME qui a hérité de son tenant, qui a changé de fournisseur, qui doit répondre à un questionnaire de sécurité, ou qui s’apprête à ouvrir un assistant comme Copilot sur ses données.
Ce que ça change
Vous savez ce qui est ouvert, à qui, et depuis quand. Vous repartez avec un ordre de correction plutôt qu’avec une liste d’alertes sans priorité.
Comprendre
Pourquoi un tenant qui marche peut être grand ouvert
Microsoft 365 est livré avec des réglages faits pour que tout fonctionne du premier coup. Ce sont de bons réglages pour démarrer, et de mauvais réglages pour une entreprise de trente personnes cinq ans plus tard. Personne ne les a choisis : ils sont restés.
Le deuxième facteur est l’accumulation. Un employé part, sa boîte est convertie en boîte partagée pour ne rien perdre, et cinq personnes y ont accès trois ans après. Un fournisseur reçoit un accès invité pour un projet, le projet finit, l’accès reste. Un lien de partage est créé pour envoyer un fichier à un client, sans date de fin.
Un audit ne cherche pas la faute de quelqu’un. Il fait l’inventaire de ce qui s’est empilé, il dit ce qui est risqué chez vous, et il sépare ce qui se corrige en quelques minutes de ce qui demande un projet.
- Ce qui s’est empilé au fil des départs et des projets
- Ce qui est risqué chez vous, pas en théorie
- Ce qui se règle en quelques minutes, séparé du reste
Le contenu
Les douze points examinés
Pour chaque point : ce que nous regardons, et ce que nous trouvons le plus souvent dans une PME québécoise.
Les identités et l’authentification
Ce qu’on regarde. Comptes actifs, comptes d’anciens employés, comptes de service, authentification multifacteur imposée pour de bon, méthodes de secours, mots de passe qui n’expirent jamais.
Ce qu’on trouve souvent. L’authentification multifacteur activée pour la majorité, mais pas pour les comptes qui comptent le plus : direction, comptabilité, administrateurs.
Les rôles d’administration
Ce qu’on regarde. Le nombre d’administrateurs globaux, qui ils sont, si un ancien fournisseur en fait partie, et si ces comptes servent aussi de boîtes courriel du quotidien.
Ce qu’on trouve souvent. Beaucoup trop d’administrateurs globaux, et un compte d’administration utilisé tous les jours pour lire ses courriels.
Les politiques d’accès conditionnel
Ce qu’on regarde. Ce qui est exigé selon l’appareil, le lieu et l’application, et si des exclusions ont été ajoutées pour dépanner puis oubliées.
Ce qu’on trouve souvent. Aucune politique, ou une politique dont la liste d’exclusions a grossi jusqu’à la vider de son sens.
Le partage externe et les invités
Ce qu’on regarde. Qui peut inviter quelqu’un de l’extérieur, la liste réelle des comptes invités, leur dernière connexion, et les liens de partage sans date de fin.
Ce qu’on trouve souvent. Des invités qui datent d’un projet terminé, et des liens ouverts à toute personne disposant du lien, créés il y a des années.
SharePoint, OneDrive et Teams
Ce qu’on regarde. Les sites partagés avec toute l’organisation, les bibliothèques orphelines, les équipes Teams sans propriétaire vivant, et l’endroit réel où sont rangés les documents sensibles.
Ce qu’on trouve souvent. Des documents de paie ou de direction dans un espace accessible à tous, sans que personne l’ait voulu.
Les boîtes partagées et les anciens employés
Ce qu’on regarde. Les boîtes converties au départ d’un employé, qui y a encore accès, les règles de transfert automatique et les délégations.
Ce qu’on trouve souvent. Une règle de transfert vers une adresse personnelle, posée par un employé parti depuis longtemps.
La sécurité du courriel
Ce qu’on regarde. SPF, DKIM et DMARC, la protection contre l’hameçonnage, les règles de quarantaine, et la gestion des expéditeurs autorisés d’office.
Ce qu’on trouve souvent. DMARC absent ou en mode observation, donc quelqu’un peut écrire à vos clients en votre nom.
La sauvegarde des données Microsoft 365
Ce qu’on regarde. Ce qui est sauvegardé hors du service, à quelle fréquence, où les copies sont conservées, et si une restauration a déjà été testée.
Ce qu’on trouve souvent. La conviction que Microsoft sauvegarde tout. La corbeille et la rétention ne sont pas une sauvegarde, et elles ont une date de fin.
Le journal d’audit et la détection
Ce qu’on regarde. Si la consignation est activée, depuis quand, la durée de conservation, et si quelqu’un reçoit vraiment les alertes.
Ce qu’on trouve souvent. Des alertes envoyées à une adresse que personne ne lit plus.
Les appareils et l’accès mobile
Ce qu’on regarde. Quels appareils se connectent à votre environnement, lesquels sont gérés, et ce qui se passe quand un téléphone personnel est perdu.
Ce qu’on trouve souvent. Du courrier d’entreprise sur des téléphones personnels que rien ne permet d’effacer à distance.
Les licences et les coûts inutiles
Ce qu’on regarde. Licences attribuées à des comptes inactifs, doublons, plans achetés pour un besoin disparu, et fonctions déjà payées mais jamais activées.
Ce qu’on trouve souvent. Des fonctions de sécurité incluses dans le plan déjà souscrit et qui n’ont jamais été allumées.
La Loi 25 dans le tenant
Ce qu’on regarde. Où sont les renseignements personnels, qui y accède, comment un incident serait constaté et consigné, et ce qui existe comme registre.
Ce qu’on trouve souvent. Une politique écrite qui ne correspond pas à ce que fait l’environnement.
Le déroulement
Comment se déroule l’audit
Quatre temps. La collecte se fait en lecture seule : aucune configuration n’est modifiée pendant l’examen.
Cadrage
Une rencontre courte pour comprendre ce que fait votre organisation, ce qui ne peut pas tomber, et vos obligations envers vos clients ou votre assureur. C’est ce qui décide de ce qui compte comme un risque grave chez vous.
Collecte en lecture
Relevé de votre organisation Microsoft 365 par les outils d’administration : identités, partage, boîtes, politiques, journaux, licences. Un compte de lecture suffit, et il est retiré à la fin.
Analyse et classement
Chaque constat est évalué selon deux axes : la probabilité qu’il soit exploité et l’effet sur votre entreprise s’il l’est. C’est cette combinaison qui décide de l’ordre, pas la sévérité affichée par un outil.
Présentation et plan
Une rencontre où on passe les constats sans jargon, avec un plan réparti dans le temps : ce qui se corrige tout de suite, ce qui demande un projet, ce qui demande un budget.
Le livrable
Ce que contient le rapport
Le rapport est écrit pour être lu par la direction, pas seulement par un technicien. Il tient en un document, et chaque constat porte sa preuve.
- Un sommaire d’une page pour la direction, avec les risques majeurs formulés en conséquences pour l’entreprise
- L’inventaire réel de ce qui a été trouvé : comptes, invités, partages ouverts, boîtes partagées, appareils, licences
- Chaque constat avec sa preuve, son niveau de risque et ce qui se produirait s’il était exploité
- Un plan de correction en trois temps : immédiat, à planifier, à budgéter
- Ce qui est déjà bien fait, nommé explicitement, pour ne pas défaire ce qui fonctionne
Un rôle de lecture suffit. Nous vous disons quel rôle est demandé, à quel moment, et l’accès est retiré à la fin du mandat. Vous voyez la trace de nos connexions dans votre propre journal d’audit.
Le rapport vous appartient. Vous pouvez confier la correction à votre équipe interne, à votre fournisseur actuel ou à nous. C’est un choix volontaire de notre part : un audit dont les conclusions ne servent qu’à vendre le service du trimestre suivant ne vaut rien.
- Les éléments nécessaires pour répondre à un questionnaire de sécurité de client ou d’assureur
- Une base de comparaison pour mesurer le progrès au prochain examen
Après
Ce que vous faites du rapport
Une bonne partie des corrections immédiates se règle dans le centre d’administration, sans projet et sans interruption : retirer des invités, fermer des liens, réduire le nombre d’administrateurs, activer une consignation. C’est souvent la moitié des constats.
- Ce qui touche l’hameçonnage et l’usurpation se règle par la protection des courriels
- Ce qui touche les copies de données passe par la sauvegarde de Microsoft 365
- Les appareils hors du bureau relèvent du télétravail sécurisé
- Ce qui demande une décision et un budget alimente un plan directeur TI sur trois ans, qui est le travail du module vCIO
- Pour la suite au quotidien, voir nos services TI gérés et le portrait plus large de l'audit de cybersécurité
- Le volet renseignements personnels se poursuit sur notre page conformité à la Loi 25
Foire aux questions
Questions fréquentes sur l’audit Microsoft 365
Faut-il vous donner un accès administrateur complet ?
Non. Un rôle de lecture sur votre organisation Microsoft 365 suffit pour l’essentiel de la collecte. Nous vous disons exactement quel rôle est demandé, à quel moment, et l’accès est retiré à la fin du mandat. Vous voyez la trace de nos connexions dans votre propre journal d’audit.
Est-ce que ça dérange les employés ?
Non. La collecte est en lecture, sans modification de configuration et sans coupure de service. Ce qui demande du temps de votre côté, c’est la rencontre de cadrage au début et la rencontre de présentation à la fin.
Faut-il être client d’OKTO pour faire faire un audit ?
Non. L’audit est un mandat autonome. Le rapport vous appartient et reste utilisable même si la correction est confiée à quelqu’un d’autre ou à votre équipe interne.
En quoi est-ce différent du score de sécurité affiché par Microsoft ?
Le score de sécurité de Microsoft est une bonne référence, mais il ne connaît pas votre entreprise. Il note des réglages sans savoir lesquels comptent chez vous, et il ignore ce qui vit à côté du tenant : vos sauvegardes, vos appareils, vos obligations envers vos clients. Nous partons de votre réalité, puis nous utilisons ces indicateurs comme une source parmi d’autres.
Sur quoi l’audit s’appuie-t-il ?
Sur la documentation d’administration de Microsoft pour les réglages, sur les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité pour la hiérarchisation, et sur les exigences de la Loi 25 pour le volet renseignements personnels.
À quelle fréquence faut-il refaire l’examen ?
Un environnement change : des employés arrivent et partent, des applications sont ajoutées, des accès sont donnés pour dépanner. Un examen répété permet de vérifier que les correctifs ont tenu. Chez nos clients en services gérés, une partie de cette vérification est continue plutôt que ponctuelle.
Faire examiner votre environnement Microsoft 365
On établit ensemble le périmètre, on collecte en lecture, on analyse, et on vous présente les constats avec un ordre de correction. La première rencontre est sans engagement.