Par où un attaquant entre-t-il réellement dans un Microsoft 365 ?
Presque jamais par une faille technique de Microsoft. Dans la très grande majorité des compromissions que nous voyons, l'entrée se fait par un compte utilisateur légitime : mot de passe réutilisé ailleurs, page de connexion imitée, ou validation d'une notification d'authentification par un salarié fatigué.
Une fois dans la boîte aux lettres, l'attaquant ne fait pas de bruit. Il crée une règle de transfert discrète, lit les échanges pendant des semaines, apprend qui valide les virements et comment on formule les demandes. Puis il intervient au bon moment sur une vraie facture. C'est la fraude au changement de coordonnées bancaires, et elle ne suppose aucune compétence technique particulière.
Le deuxième scénario est le partage excessif. Un lien « toute personne disposant du lien » posé sur un dossier, oublié, indexé. Le troisième est le compte à privilèges laissé actif après le départ d'un prestataire.
Ces trois scénarios ont un point commun : ils se traitent par de la configuration, pas par l'achat d'un outil supplémentaire. Beaucoup d'entreprises paient déjà des fonctions de sécurité qu'elles n'ont jamais activées.
Entra ID, MFA, accès conditionnel : que faut-il régler en premier ?
Entra ID est l'annuaire d'identités de Microsoft 365 : il détient les comptes, les groupes et les règles qui décident qui peut se connecter, d'où et avec quel appareil. C'est le point de départ de toute sécurisation, avant Defender et avant Purview.
Trois réglages produisent l'essentiel du gain.
- Le MFA pour tout le monde, sans exception. Une seule exception finit toujours par devenir la porte d'entrée. Les comptes de service et les boîtes partagées se traitent séparément, pas par une dérogation.
- L'accès conditionnel. Il permet d'exiger un appareil géré pour accéder aux données, de bloquer les protocoles d'authentification anciens, ou de refuser les connexions depuis des pays où vous n'avez ni salarié ni client.
- Le blocage de l'authentification héritée. Ces vieux protocoles contournent purement et simplement le MFA. Tant qu'ils sont ouverts, le MFA n'est qu'une façade.
Sur la messagerie proprement dite — filtrage, liens malveillants, usurpation d'expéditeur, formation des utilisateurs — le détail opérationnel est traité dans notre page sécuriser ma messagerie contre le phishing.
Qu'est-ce qui est déjà inclus dans votre licence, et qu'est-ce qui manque ?
La confusion sur les contenus de licences coûte cher dans les deux sens : des entreprises paient des modules qu'elles n'utilisent pas, d'autres achètent un outil tiers pour une fonction déjà comprise dans leur abonnement. Voici les grandes lignes, à vérifier à date auprès de Microsoft, dont les contenus évoluent régulièrement.
| Fonction | Business Basic | Business Premium | E3 | E5 |
|---|---|---|---|---|
| MFA et accès conditionnel de base | Partiel | Oui (Entra ID P1) | Oui (Entra ID P1) | Oui (Entra ID P2) |
| Accès privilégié juste-à-temps, revues d'accès | Non | Non | Non | Oui (Entra ID P2) |
| Filtrage anti-spam et anti-malware Exchange | Oui | Oui | Oui | Oui |
| Defender for Office 365 (liens et pièces jointes) | Non | Plan 1 | Non (option) | Plan 2 |
| Investigation et réponse automatisées | Non | Limité | Non | Oui |
| Gestion des appareils (Intune) | Non | Oui | Oui | Oui |
| Étiquettes de confidentialité Purview | Non | Oui (base) | Oui | Oui (étendu) |
| Prévention de fuite de données (DLP) étendue | Non | Limité | Oui (Exchange, SharePoint) | Oui (postes inclus) |
| Journal d'audit longue durée | 90 jours env. | 90 jours env. | 90 jours env. | Un an env. |
| Limite d'utilisateurs | 300 | 300 | Aucune | Aucune |
| Sauvegarde de vos données | Non | Non | Non | Non |
La dernière ligne n'est pas une erreur de mise en forme. Aucun plan Microsoft 365, quel que soit son prix, n'inclut de sauvegarde au sens où l'entend une entreprise. Microsoft commercialise bien un service de sauvegarde, mais comme module payant distinct facturé à part : il ne fait partie d'aucun plan, et son périmètre est à vérifier à date. Le calcul du coût réel d'un parc de licences, options comprises, est détaillé dans notre page réduire le coût de mes licences.
Pourquoi Microsoft ne sauvegarde pas vos données à votre place
C'est le point que nous répétons le plus souvent, et celui qui surprend le plus de dirigeants. Le contrat Microsoft repose sur un principe de responsabilité partagée : Microsoft garantit que le service fonctionne et que l'infrastructure survit à une panne. Vous restez responsable du contenu que vous y mettez.
Concrètement, Microsoft conserve les éléments supprimés dans des corbeilles et des rétentions temporaires, de l'ordre de quelques semaines à trois mois selon les charges de travail — à vérifier à date. Ces mécanismes couvrent l'erreur détectée rapidement. Ils ne couvrent pas :
- Une suppression malveillante découverte six mois plus tard.
- Un rançongiciel qui chiffre les fichiers synchronisés depuis un poste.
- Un départ de salarié dont le OneDrive a été purgé après le délai de rétention.
- Une erreur de configuration de rétention qui supprime en masse.
La parade est une sauvegarde tierce, quotidienne, stockée hors du tenant, avec une rétention que vous décidez. Le critère de choix n'est pas la sauvegarde mais la restauration : combien de temps pour rendre une boîte aux lettres de 40 Go à un utilisateur, et l'avez-vous déjà testé ? Un test de restauration annuel devrait être une obligation interne.
Comment tenir les comptes à privilèges sans se bloquer dehors ?
Un compte administrateur global peut lire toutes les boîtes, exporter toutes les données, désactiver toutes les protections. C'est la cible prioritaire.
La règle de base tient en quatre points. Séparer le compte quotidien du compte d'administration : on n'administre pas depuis le compte qui reçoit les e-mails. Limiter le nombre d'administrateurs globaux à deux ou trois, et attribuer partout ailleurs des rôles restreints. Activer l'élévation temporaire de privilèges, disponible avec Entra ID P2, pour que les droits élevés ne soient plus permanents. Enfin, conserver deux comptes de secours, exclus des règles d'accès conditionnel, avec des identifiants longs conservés hors ligne dans un coffre physique.
Ce dernier point évite la situation la plus embarrassante d'un durcissement mal préparé : une règle d'accès conditionnel trop stricte, et plus personne ne peut se connecter pour la corriger. Nous testons systématiquement les règles en mode rapport avant de les appliquer.
Le suivi dans la durée — revue des accès, alertes, journalisation — relève de notre page infogérance Microsoft 365.
Purview, RGPD, NIS2 : qu'est-ce qui vous concerne vraiment ?
Purview est la brique de gouvernance de l'information : étiquettes de confidentialité, prévention de fuite de données, rétention, recherche pour un contrôle ou un contentieux. Utile, mais souvent mal séquencé. Étiqueter des documents dont les droits d'accès sont incohérents ne sert à rien : le rangement et les permissions viennent d'abord, sujet traité dans notre page collaboratif Microsoft 365.
Sur le RGPD, Microsoft 365 fournit des outils — recherche de contenu, rétention, suppression — mais la conformité reste votre affaire : registre des traitements, durées de conservation, réponse aux demandes des personnes.
Sur NIS2, soyons précis. La directive vise les entités d'au moins 50 salariés ou 10 millions d'euros de chiffre d'affaires appartenant à un secteur listé. En dessous de ces seuils, et hors des cas particuliers d'entités critiques, vous n'êtes en principe pas concerné : une PME de 30 personnes dans le négoce n'a pas d'obligation NIS2. La transposition française n'est pas entièrement publiée à ce jour, donc les obligations exactes et le calendrier restent à confirmer. Le périmètre et les étapes sont détaillés dans notre page me mettre en conformité NIS2.
Comment nous travaillons sur ce sujet
Premier contact : un audit de 30 minutes, gratuit, qui sert à qualifier le risque immédiat — état du MFA, présence d'authentification héritée, comptes administrateurs, existence d'une sauvegarde.
Vient ensuite un audit de sécurité complet, mené à partir d'une grille de contrôle que nous appliquons à tous les tenants. Elle passe en revue la configuration d'Entra ID, d'Exchange, de SharePoint, de Defender et de Purview, point par point. Sa durée dépend du nombre d'utilisateurs et du nombre de sites à examiner ; elle est fixée au devis. Livrable : un rapport avec les constats classés par gravité, l'effort de correction estimé pour chacun, et un plan en trois vagues.
La première vague traite en quelques jours ce qui est urgent et sans impact utilisateur : blocage des protocoles anciens, règles de transfert externes, comptes dormants. La deuxième vague déploie le MFA généralisé et l'accès conditionnel, par lots d'utilisateurs, avec communication préalable et accompagnement ; c'est elle qui demande le plus de temps, parce qu'elle touche tout le monde. La troisième installe la sauvegarde tierce et la gouvernance Purview.
Nous ne vendons pas de licences pour vendre des licences : si votre Business Premium actuel suffit, nous vous le disons. L'audit est facturé au forfait, en fonction du nombre d'utilisateurs et du périmètre retenu ; le montant vous est communiqué avant tout engagement.
