La fin d’année est une période critique pour la sécurité des systèmes d’information. Entre les départs en congés, les changements de postes et la fatigue décisionnelle, les risques liés aux identités numériques augmentent. Pour toute organisation utilisant Microsoft 365, que ce soit une TPE, une PME, un cabinet juridique ou une collectivité, la sécurisation des accès ne doit pas attendre le premier incident du mois de janvier. Cette checklist opérationnelle vous permet d’auditer rapidement votre posture de sécurité sur les identités, le Multi-Factor Authentication (MFA) et la gestion des droits. L’objectif est de réduire la surface d’attaque face au phishing et aux ransomwares en s’assurant que seuls les utilisateurs légitimes accèdent aux données sensibles.
1. Audit des comptes inactifs et des invités
Le premier levier de sécurité consiste à éliminer les accès superflus. Un compte utilisateur qui n’est plus utilisé reste une porte ouverte pour un attaquant. Avant toute autre action, il convient de lister les comptes créés au cours des douze derniers mois et de vérifier leur activité réelle. **Actions concrètes :** * **Comptes en attente de suppression :** Identifiez les employés partis depuis plus de 30 jours dont les comptes sont toujours actifs. Désactivez-les immédiatement pour libérer la licence et couper l’accès aux données. * **Invités externes (B2B) :** Microsoft 365 permet d’inviter des partenaires ou consultants. Vérifiez qui a été invité, pour quelle durée et si ces accès sont encore nécessaires. Un invité avec un droit « Lecteur » sur tout le SharePoint est souvent une faille majeure. * **Comptes de service :** Les comptes utilisés par des scripts ou des applications tierces doivent avoir des mots de passe complexes et ne jamais être soumis à la même politique de rotation que les humains, mais doivent être surveillés pour détecter les connexions anormales.
- Désactiver les comptes de départs > 30 jours
- Révoquer les invitations B2B obsolètes
- Isoler les comptes de service
2. Activation et validation du MFA (Multi-Factor Authentication)
Le MFA est la barrière la plus efficace contre le vol d’identifiants. Selon Microsoft, il bloque plus de 99,9 % des attaques sur les identités. Cependant, l’activation seule ne suffit pas ; la méthode d’authentification choisie par l’utilisateur impacte directement la sécurité et l’expérience utilisateur. **Points de contrôle :** * **Méthodes préférées :** Vérifiez que vos utilisateurs n’utilisent pas uniquement les SMS (vulnérables au SIM swapping) ou les appels vocaux. Privilégiez l’application Microsoft Authenticator ou les notifications push, qui offrent une meilleure traçabilité. * **Exclusions critiques :** Assurez-vous que les comptes administrateurs globaux ont le MFA activé en priorité. Un administrateur sans MFA est un risque systémique pour toute l’organisation. * **Niveaux d’information (Information Bar) :** Activez cette fonctionnalité dans le centre d’administration. Elle permet à l’utilisateur de signaler une notification MFA suspecte (« Je n’ai pas demandé cela »), transformant chaque collaborateur en sentinelle contre le phishing.
- Prioriser l'application Authenticator
- Activer le MFA pour tous les admins
- Configurer les niveaux d'information
3. Politique de mots de passe et conformité RGPD
Même avec un MFA robuste, la qualité du mot de passe reste fondamentale. Une politique trop restrictive (changement tous les 30 jours) conduit à des comportements risqués comme noter le mot de passe sur un post-it ou utiliser des variantes simples (MotDePasse1, MotDePasse2). **Recommandations opérationnelles :** * **Durée et complexité :** Adoptez une durée de vie plus longue (90 jours ou plus) si aucune fuite n’est détectée, mais exigez une longueur minimale (12 caractères recommandés). Utilisez les listes de blocage Microsoft pour empêcher l’utilisation des mots de passe les plus courants. * **Historique :** Conservez un historique de 10 à 24 mots de passe pour éviter la réutilisation immédiate. * **Conformité :** Pour les données sensibles (santé, juridique, RH), assurez-vous que le chiffrement des données au repos et en transit est activé dans votre tenant Microsoft 365. Cela complète la sécurité des accès par la protection du contenu.
- Allonger la durée de vie des mots de passe
- Bloquer les mots de passe courants
- Vérifier le chiffrement des données
4. Gestion des droits d’accès (Principle of Least Privilege)
L’erreur la plus fréquente est l’accumulation de droits administratifs. Un utilisateur qui a besoin d’accéder à un dossier partagé ne doit pas avoir les droits d’administrateur Exchange ou SharePoint. **Vérifications à effectuer :** * **Administrateurs Globaux :** Combien de personnes ont ce rôle ? Idéalement, deux ou trois maximum, avec des comptes dédiés et non utilisés pour la navigation quotidienne. * **Rôles spécifiques :** Remplacez les droits globaux par des rôles granulaires (ex: Administrateur Exchange, Administrateur SharePoint). Cela limite l’impact en cas de compromission d’un compte. * **Groupes de sécurité :** Utilisez les groupes Microsoft 365 pour gérer les accès aux ressources. Il est plus simple de modifier l’appartenance à un groupe que de changer les permissions sur chaque fichier ou boîte mail individuellement.
- Réduire le nombre d'admins globaux
- Utiliser des rôles granulaires
- Gérer les accès via des groupes
5. Exemples génériques de mise en œuvre
Pour illustrer ces bonnes pratiques, voici trois scénarios courants rencontrés chez nos clients, présentés à titre d’exemple : **Exemple 1 : Le cabinet comptable en période de clôture** Un cabinet de 20 collaborateurs doit sécuriser l’accès aux dossiers clients sensibles. Avant le 31 décembre, l’administrateur IT désactive les comptes des stagiaires partis en novembre. Il active le MFA obligatoire pour tous les associés et vérifie que les droits d’accès aux dossiers SharePoint sont bien limités par équipe (Audit, Fiscalité, RH) et non ouverts à tout le cabinet. **Exemple 2 : L’association multisites** Une association avec des bénévoles tournants utilise Microsoft 365. Le risque est la prolifération d’invités externes. La checklist consiste à révoquer systématiquement les invitations de bénévoles dont le mandat a expiré, et à configurer une expiration automatique des liens de partage pour les documents envoyés par email. **Exemple 3 : La PME industrielle en télétravail partiel** Les employés accèdent aux données depuis différents réseaux. L’accent est mis sur la configuration du MFA via l’application Authenticator pour éviter les problèmes de réception SMS lors des déplacements. De plus, une politique de mot de passe forte est appliquée pour compenser l’usage de Wi-Fi publics non sécurisés.
- Cabinet : Restriction d'accès par équipe
- Association : Révocation des invités bénévoles
- PME : MFA via app et mots de passe forts
6. Méthode de déploiement et livrables
Pour appliquer cette checklist sans perturber l’activité, nous recommandons une approche progressive : 1. **Audit initial :** Export des listes d’utilisateurs actifs, inactifs et invités. 2. **Communication :** Informer les utilisateurs des changements (activation MFA, nouvelle politique de mots de passe) pour réduire les tickets support. 3. **Application technique :** Mise en œuvre des politiques dans le centre d’administration Microsoft 365. 4. **Vérification post-déploiement :** Contrôle des journaux d’audit (Sign-in logs) pour détecter les échecs de connexion suspects. **Livrables attendus :** * Un rapport d’inventaire des comptes et droits. * Une politique de sécurité des identités documentée. * Une liste des actions correctives effectuées (comptes désactivés, MFA activé).
- Audit des comptes
- Communication aux utilisateurs
- Application des politiques
- Vérification des logs
| Critère | Avant sécurisation | Après application de la checklist |
|---|---|---|
| MFA | Optionnel ou absent | Obligatoire pour tous, méthode optimisée |
| Comptes inactifs | Accumulation de licences et risques | Désactivés ou archivés |
| Droits d'accès | Souvent trop permissifs (Admin Global) | Granulaires et limités au nécessaire |
| Mots de passe | Rotation fréquente, complexité faible | Durée allongée, longueur imposée, blocage des courants |
| Invités externes | Accès ouverts indéfiniment | Révoqués ou à durée limitée |
Questions fréquentes
Combien de temps prend l'activation du MFA pour tous les utilisateurs ?
L’activation technique est rapide (quelques minutes dans le portail). Cependant, la configuration individuelle par chaque utilisateur peut prendre plusieurs jours. Il est recommandé d’activer le MFA en mode « Information » ou « Rapport » pendant une semaine avant de le rendre obligatoire, pour identifier les problèmes potentiels.
Dois-je changer tous les mots de passe immédiatement ?
Non, sauf si un incident de sécurité est suspecté. Un changement massif génère de la frustration et des erreurs. Privilégiez une mise à jour progressive via la nouvelle politique de durée de vie, en forçant le changement uniquement lors de la prochaine expiration naturelle.
Comment gérer les comptes des anciens employés ?
Désactivez-les dès leur départ effectif. Ne supprimez pas immédiatement le compte si vous devez conserver l’accès à leurs emails ou fichiers. Vous pouvez convertir le compte en boîte aux lettres partagée ou archivée, ce qui permet de libérer la licence active tout en conservant les données.
Le MFA protège-t-il contre le ransomware ?
Indirectement, oui. En empêchant l’accès non autorisé aux comptes administrateurs et utilisateurs, le MFA bloque la porte d’entrée principale des attaques par phishing qui précèdent souvent un chiffrage des données (ransomware). C’est une mesure de prévention essentielle.
Puis-je automatiser la revue des droits ?
Oui, Microsoft 365 propose des outils d’audit et des rapports automatisés. De plus, des solutions d’infogérance peuvent superviser ces accès de manière continue, alertant en cas de comportement anormal ou de droit excessif détecté.
Besoin d'une revue de vos accès Microsoft 365 ?
Ne laissez pas la sécurité de vos identités au hasard. Expertis’IT peut réaliser un audit rapide de votre configuration MFA et de vos droits d’accès pour vous garantir une protection optimale avant le nouvel an.