Dans cet article
Dans Microsoft 365, Microsoft protège les datacenters, les serveurs, le réseau physique et le système d'exploitation du service ; l'entreprise reste responsable des données, des comptes, des accès et des appareils des utilisateurs. Microsoft le dit elle-même dans sa documentation officielle. C'est pourquoi la phrase « les données sont dans Microsoft 365, donc elles sont en sécurité » — celle que nous entendons le plus lors de nos diagnostics — vise juste pour le bâtiment et se trompe pour les clés. Cet article présente le partage des responsabilités et les dix contrôles qui incombent à votre organisation.
Synthèse pour la direction
- Quatre responsabilités sont les vôtres Données, comptes, accès et appareils.
- Le risque est dans la configuration La plupart des incidents viennent de comptes sans MFA, de partages ouverts ou d'anciens collaborateurs ayant encore accès, pas de failles de Microsoft.
- 99,9 % Selon Microsoft, la MFA et le blocage de l'authentification héritée stoppent plus de 99,9 % des attaques courantes contre les comptes.
- Revue trimestrielle Une checklist de 10 points couvre l'essentiel.
Qui répond de chaque couche
Microsoft distingue trois types de services cloud. Pour le logiciel en tant que service (SaaS) — Exchange Online, OneDrive, SharePoint et Teams — elle prend en charge la quasi-totalité de la pile technique. Mais quel que soit le modèle, le client reste propriétaire de ses données et de ses identités.
| Couche | Responsable | En pratique |
|---|---|---|
| Datacenters, serveurs et réseau physique | Microsoft | Énergie, refroidissement, pannes, sécurité physique |
| Système d'exploitation et contrôles réseau du service | Microsoft | Mise à jour des serveurs et protection de la plateforme |
| Configuration des applications | Partagée | Microsoft maintient le logiciel ; l'entreprise décide de sa configuration |
| Appareils des utilisateurs | Partagée, protection à la charge de l'entreprise | Portables et smartphones à jour, chiffrés et protégés |
| Comptes et accès | Entreprise | Création et suppression des comptes, MFA, autorisations, accès conditionnel |
| Données | Entreprise | Classification, chiffrement, conservation et conformité |
Une image aide : Microsoft est le propriétaire d'un immeuble très bien gardé, avec gardien, caméras et murs solides. La clé de votre bureau, la liste de ceux qui peuvent l'utiliser et ce qui reste sur le bureau relèvent de vos décisions. Si vous distribuez des doubles de la clé, le gardien n'a aucun moyen de le savoir.
Contrôle 1 : l'identité est le nouveau périmètre
Auparavant, accéder aux fichiers impliquait d'entrer dans le réseau du bureau. Avec Microsoft 365, une adresse e-mail et un mot de passe suffisent, depuis n'importe quel ordinateur dans le monde.
Les paramètres de sécurité par défaut de Microsoft, sans coût supplémentaire, obligent tous les utilisateurs à enregistrer la MFA (généralement une validation sur le téléphone), exigent la MFA des administrateurs à chaque connexion et bloquent les anciens protocoles d'authentification. Ils sont activés par défaut sur de nombreux locataires créés depuis le 22 octobre 2019, mais pas sur tous — et certaines organisations les ont désactivés « parce qu'ils dérangeaient ». Les alternatives sont expliquées dans le guide de l'authentification multifacteur en entreprise.
Trois questions qui doivent trouver une réponse en quelques minutes :
- Administrateurs généraux — combien y en a-t-il ? Il devrait y en avoir deux ou trois, pas dix.
- Couverture MFA — tous les comptes, y compris partagés et de service, ont-ils la MFA ou sont-ils bloqués à la connexion ?
- Départs — les comptes des personnes parties au cours des 12 derniers mois sont-ils désactivés ?
Contrôle 2 : des partages externes décidés, pas hérités
Selon Microsoft, le partage externe est activé par défaut dans SharePoint et OneDrive pour toute l'organisation. Collaborer avec clients et partenaires est utile, mais cela doit être une décision consciente.
Le point critique, ce sont les liens « Tout le monde » : quiconque reçoit le lien ouvre le fichier sans s'authentifier, et un simple transfert emporte le fichier avec lui.
- Liens anonymes Les désactiver ou imposer une date d'expiration.
- Invités Partager uniquement avec des personnes authentifiées.
- Sites sensibles Fermer le partage externe pour la finance, les ressources humaines et la direction.
- Revue Nettoyer la liste des invités externes chaque trimestre.
La messagerie mérite une attention particulière : transferts automatiques vers l'extérieur, règles créées par des attaquants et domaines faciles à usurper. Voir ce qui échoue dans la sécurité de la messagerie Microsoft 365.
Contrôle 3 : appareils et données
Un portable non chiffré, oublié dans un taxi avec Outlook et OneDrive synchronisés, est une fuite de données ambulante. Microsoft ne le gère pas : la documentation attribue au client la protection des appareils qui accèdent aux services. Cela signifie disque chiffré, système à jour, antivirus géré et, idéalement, des règles qui bloquent les appareils non conformes.
Pour les données, deux décisions reviennent à l'entreprise : ce qui est confidentiel et qui peut le voir, et la durée de conservation. La sauvegarde relève de la seconde et n'est pas incluse comme beaucoup le pensent — nous expliquons pourquoi dans la sauvegarde de Microsoft 365 pour les entreprises. Certaines protections dépendent du niveau de licence, comme le montre licences Microsoft 365 et sécurité dans les PME.
DataRoad IT Unlimited
Parlez à DataRoad. Nous évaluons votre activité et proposons l’offre adaptée.
Les 10 contrôles trimestriels
| # | Contrôle | Périodicité |
|---|---|---|
| 1 | MFA active sur tous les comptes, sans exception oubliée | Mensuelle |
| 2 | Authentification héritée bloquée | Une fois ; confirmer chaque trimestre |
| 3 | Administrateurs généraux réduits au minimum, avec des comptes distincts de ceux du quotidien | Trimestrielle |
| 4 | Comptes des anciens collaborateurs désactivés le jour du départ | À chaque départ |
| 5 | Liens « Tout le monde » désactivés ou avec expiration | Une fois ; revoir chaque trimestre |
| 6 | Invités externes revus | Trimestrielle |
| 7 | Transfert automatique des e-mails vers l'extérieur bloqué | Une fois |
| 8 | Portables et smartphones chiffrés, à jour et gérés | Mensuelle |
| 9 | Sauvegarde indépendante avec test de restauration | Trimestrielle |
| 10 | Journaux d'audit actifs et alertes de connexion suspecte | Continue |
Cas réel : Massamá et Monte Abraão
Pour la União das Freguesias de Massamá e Monte Abraão, DataRoad a migré environ 50 boîtes aux lettres vers Exchange Online, avec l'historique et l'arborescence des dossiers. Après la migration, les postes et les appareils mobiles ont été reconfigurés et validés, avec une synchronisation sans faille de la messagerie, du calendrier et des contacts. Pour un organisme public, le cloud a également apporté davantage de contrôle, de conservation et d'audit de la messagerie. Le projet est décrit dans migration vers Microsoft 365 à Massamá et Monte Abraão.
Comment DataRoad prend en charge cette partie
L'administration de Microsoft 365 pour les entreprises — comptes, MFA, partages et appareils — est incluse dans les formules IT Unlimited. Avec IT Unlimited Essential, à partir de 10 postes, le support est assuré à distance et par téléphone, ce qui couvre la quasi-totalité de ces tâches ; il n'y a pas de déplacements sur site.
Questions fréquentes
Si un compte de l'entreprise est attaqué, Microsoft en répond-elle ?
En règle générale, non. Dans le modèle de responsabilité partagée, les comptes, les accès et la MFA relèvent du client. Microsoft protège la plateforme ; celui qui entre avec un mot de passe volé utilise la porte que contrôle l'entreprise.
Les paramètres de sécurité par défaut suffisent-ils ?
Pour de nombreuses PME, c'est un bon point de départ, sans coût supplémentaire. Avec des licences incluant l'accès conditionnel, on peut aller plus loin, par exemple en exigeant un appareil géré ou en bloquant les connexions depuis certains pays.
Limiter le partage externe pénalise-t-il le travail avec les clients ?
Non, s'il est bien calibré : partage avec des invités authentifiés, liens anonymes bloqués ou limités et partage externe fermé uniquement sur les sites sensibles.
À quelle fréquence faut-il revoir la configuration ?
Une revue complète par trimestre et une vérification rapide à chaque arrivée ou départ. La configuration change sans prévenir : nouvelles fonctionnalités, nouveaux invités, nouvelles exceptions.
Prochaine étape : revue de sécurité Microsoft 365 en 5 jours ouvrés
Nous vérifions les comptes, la MFA, les administrateurs, les partages externes, les transferts, les appareils et la sauvegarde, et livrons les corrections classées par risque. Proposition sans engagement. Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.
