Les contrôles qui comptent le plus dans une PME : comptes sans double authentification, nombre d'administrateurs généraux (moins de cinq selon Microsoft), authentification héritée encore ouverte, invités oubliés, secrets d'applications expirés et utilisateurs signalés à risque.
1. Double authentification
- Qui n'a aucune méthode MFA enregistrée ? Ce sont les comptes les plus exposés au vol de mot de passe.
- Les administrateurs ont-ils tous une MFA résistante (application, clé) ?
- Les paramètres de sécurité par défaut ou une règle d'accès conditionnel imposent-ils la MFA à tous ?
2. Administrateurs
- Combien d'administrateurs généraux ? Dans les PME, on en trouve souvent bien plus que les cinq recommandés.
- Des administrateurs inactifs ou des comptes de prestataires partis ?
- Utilisent-ils un compte dédié à l'administration, distinct de leur compte de tous les jours ?
3. Accès conditionnel et authentification héritée
- Une règle bloque-t-elle l'authentification héritée, ces protocoles qui ne passent pas par la MFA ?
- Les connexions depuis l'étranger ou depuis des appareils non gérés sont-elles encadrées, quand la licence le permet ?
4. Invités
- Invités inactifs depuis plus de 90 jours, ou qui n'ont jamais accepté l'invitation.
- Qui peut inviter : tout le monde, ou seulement les administrateurs ?
5. Applications et secrets
- Applications avec des secrets ou certificats expirés ou proches de l'expiration.
- Applications tierces ayant reçu des droits étendus par le consentement d'un utilisateur.
6. Utilisateurs à risque
Entra ID signale des utilisateurs à risque (identifiants divulgués, connexions suspectes). Un compte actif signalé est à traiter en priorité ; un compte désactivé encore signalé est à nettoyer.
Présenter le résultat
Une note, les constats classés critique, important ou conseil, et pour chacun les comptes concernés et l'action à mener. Le dirigeant doit comprendre en une page pourquoi il faut agir.
Questions fréquentes
Combien d'administrateurs généraux faut-il dans Microsoft 365 ?
Microsoft recommande d'en avoir moins de cinq, et au moins deux pour ne pas perdre l'accès. Les autres administrateurs reçoivent des rôles limités à leur besoin (Exchange, utilisateurs, facturation).
Les paramètres de sécurité par défaut suffisent-ils pour une PME ?
Ils imposent la MFA et bloquent l'authentification héritée, ce qui couvre l'essentiel. L'accès conditionnel, inclus dans Entra ID P1, permet d'aller plus loin : appareils conformes, localisation, applications.
Quels outils gratuits pour auditer la sécurité Microsoft 365 ?
Le Secure Score dans le portail Defender, ScubaGear publié par la CISA et Maester. Ils sont complets, mais leurs rapports sont techniques et en anglais.
En lecture seule, en français : le script d'audit de sécurité du Pack Microsoft 365 fait ces contrôles avec le rôle Lecteur global et produit un rapport noté sur 100, avec un lien vers le portail Entra pour chaque compte.
Voir le Pack Microsoft 365