Dans beaucoup d'entreprises, Microsoft 365 a été mis en place vite, il y a des années, et personne n'a repris les réglages depuis. Voici les dix points que nous regardons en premier lors d'un audit. Vous pouvez en vérifier une partie vous-même ; les autres demandent un accès administrateur.
La double authentification pour tous
Chaque compte, y compris ceux de la direction, doit demander un second facteur en plus du mot de passe. Préférez une application d'authentification ou une clé de sécurité au SMS. Ce réglage bloque à lui seul l'essentiel des piratages par mot de passe volé. Pour les comptes partagés, voir notre tutoriel sur keybox365.fr.
Plus aucun compte d'ancien salarié actif
Un compte que plus personne n'utilise n'est surveillé par personne : s'il est piraté, personne ne le remarque. Au départ d'un salarié : connexion bloquée le jour même, boîte convertie en boîte partagée si son contenu doit être conservé, licence récupérée.
Peu d'administrateurs, avec des comptes dédiés
Le compte d'administration ne doit pas être celui qui sert tous les jours à lire ses mails. Deux ou trois administrateurs suffisent, dont un compte de secours protégé à part.
Aucun transfert automatique vers l'extérieur
Les règles qui renvoient tout le courrier vers une messagerie personnelle sont fréquentes, souvent installées de bonne foi, et deviennent une fuite permanente. Microsoft 365 permet de bloquer ces transferts pour toute l'entreprise, avec des exceptions justifiées.
SPF, DKIM et DMARC sur vos noms de domaine
Ces trois enregistrements indiquent quels serveurs ont le droit d'envoyer des mails en votre nom. Sans eux, n'importe qui peut envoyer un mail qui semble venir de votre adresse. Pensez aussi aux noms de domaine que vous possédez sans les utiliser : ils peuvent être verrouillés pour qu'aucun mail ne parte en leur nom.
La mention « Externe » sur les mails venant de l'extérieur
Un simple bandeau permet de repérer au premier coup d'œil un mail qui prétend venir d'un collègue ou du dirigeant mais arrive de l'extérieur.
La protection contre l'usurpation
Avec les licences adaptées (Microsoft 365 Business Premium, par exemple), un mail qui imite le nom de votre dirigeant ou de votre service comptable peut être mis en quarantaine automatiquement.
Les applications connectées sous contrôle
Agendas en ligne, outils de signature, assistants d'écriture : beaucoup d'applications demandent l'accès aux mails ou aux fichiers, et un clic d'utilisateur suffit à le leur donner. Faites la liste, retirez celles qui ne servent plus, et réservez l'autorisation de nouvelles applications à l'administrateur.
Les anciens modes de connexion coupés
Certains anciens modes de connexion, encore utilisés par des copieurs ou de vieux logiciels de messagerie, se contentent d'un mot de passe. Coupez-les partout où ils ne servent pas, et limitez-les aux seuls appareils qui en ont besoin.
Le journal d'audit actif, et quelqu'un pour le lire
Microsoft 365 enregistre les connexions, les règles créées, les partages et les téléchargements. Encore faut-il que le journal soit activé et que quelqu'un le regarde : un piratage découvert au bout de trois semaines a déjà fait ses dégâts.
Par où commencer ?
Si vous ne devez retenir qu'un point : la double authentification, pour tous les comptes. Viennent ensuite les comptes d'anciens salariés et les transferts vers l'extérieur.
Shield 365 commence par un audit en lecture seule de ces dix points, avec une synthèse claire de ce qui est en place et de ce qui manque. Nous corrigeons ensuite avec vous, puis nous surveillons dans la durée.