Audit de sécurité Microsoft 365 : 15 réglages à vérifier

Un vendredi après-midi, la contrôleuse d'une firme de génie-conseil de Trois-Rivières reçoit un courriel d'un fournisseur habituel : ses coordonnées bancaires ont changé. Le message s'insère dans le bon fil de discussion, avec le bon ton et la bonne signature. Et pour cause : un attaquant lit la boîte de la contrôleuse depuis trois semaines, et une règle de boîte de réception cache les vrais messages du fournisseur.

Ce scénario de fraude au virement est l'un des plus coûteux pour les PME. Selon des données de l'industrie citées par Insurance Business Canada (octobre 2025), il coûte en moyenne 118 000 $ par incident. Souvent, tout commence par un réglage Microsoft 365 jamais vérifié : authentification multifacteur incomplète, ancien protocole resté ouvert, transfert automatique permis.

Microsoft 365 est configuré d'abord pour faciliter la collaboration. Et beaucoup d'environnements de PME ont été mis en place il y a des années, puis jamais revus. Voici les 15 réglages que notre équipe vérifie en priorité.

Avant de commencer : accès et référence

Un audit Microsoft 365 n'exige aucun droit de modification. Créez un compte dédié avec le rôle Lecteur général, protégé par MFA, et supprimez-le à la fin. Comme référence, le CIS Microsoft 365 Foundations Benchmark est le cadre le plus utilisé : il détaille les contrôles recommandés, classés en deux niveaux d'exigence.

Votre licence compte aussi. Certains réglages (accès conditionnel, liens fiables, gestion des appareils) exigent Business Premium ou un module complémentaire. Les autres sont disponibles partout.

Identités et accès (réglages 1 à 6)

1. MFA pour tous, sans exception. Vérifiez que les paramètres de sécurité par défaut ou une stratégie d'accès conditionnel exigent la MFA pour chaque compte. Cherchez les exceptions oubliées : le compte « réception », la boîte partagée avec connexion activée, le vieux compte de service.

2. Authentification héritée bloquée. Les anciens protocoles (POP, IMAP, authentification SMTP de base) ne supportent pas la MFA. Un attaquant qui connaît le mot de passe peut s'en servir pour contourner la MFA. Selon Microsoft, la MFA combinée au blocage de l'authentification héritée arrête plus de 99,9 % des attaques courantes visant les identités. Attention au photocopieur qui envoie les numérisations par courriel : il existe des méthodes plus sûres.

3. Moins de cinq administrateurs généraux. C'est la recommandation de Microsoft. Les administrateurs doivent utiliser un compte dédié, distinct de leur compte de courriel quotidien.

4. Deux comptes d'accès d'urgence. Microsoft recommande deux comptes infonuagiques réservés aux urgences, avec des identifiants très robustes conservés en lieu sûr et une alerte à chaque connexion. Ils vous évitent d'être bloqué hors de votre propre environnement.

5. MFA résistante à l'hameçonnage pour les administrateurs. Clés de sécurité FIDO2 ou clés d'accès plutôt que codes par texto. Notre article pour choisir son MFA compare les options.

6. Consentement aux applications limité. Par défaut, un utilisateur peut parfois autoriser une application tierce à lire ses courriels. Les attaquants exploitent ce mécanisme avec de fausses applications. Limitez le consentement aux éditeurs vérifiés, ou exigez l'approbation d'un administrateur.

Courriel (réglages 7 à 10)

7. Transfert automatique externe bloqué. Dans la stratégie de filtrage du courrier indésirable sortant, réglez le transfert automatique à « Désactivé » plutôt que « Automatique », dont le comportement varie selon l'ancienneté de votre environnement. Profitez-en pour passer en revue les règles de boîte de réception existantes : c'est la signature classique d'une fraude au président ou d'un courriel d'affaires compromis.

8. SPF, DKIM et DMARC. Ces trois enregistrements DNS empêchent qu'on usurpe votre domaine. Visez une politique DMARC en mode quarantaine ou rejet. Tout est expliqué dans notre guide SPF, DKIM et DMARC.

9. Protection contre l'usurpation d'identité. Les politiques anti-hameçonnage permettent de protéger les noms de vos dirigeants et de vos domaines. Avec Defender pour Office 365, activez aussi les liens fiables et les pièces jointes fiables.

10. Balise « expéditeur externe ». Exchange Online peut afficher une mention visible sur les courriels venus de l'extérieur. Simple, gratuit, et très efficace contre les faux courriels du « président ».

Partage et collaboration (réglages 11 à 13)

11. Partage externe SharePoint et OneDrive. Les liens « Toute personne disposant du lien » circulent sans contrôle. Limitez-les, ou imposez une date d'expiration, et réservez le partage externe aux personnes authentifiées.

12. Accès externe et invités dans Teams. Décidez qui peut clavarder avec des organisations externes et qui peut inviter des invités. Les campagnes d'hameçonnage par Teams existent bel et bien.

13. Comptes inactifs et invités oubliés. Les comptes d'employés partis, les invités d'un projet terminé il y a deux ans et les licences encore attribuées sont autant de portes oubliées. Faites une revue au moins une fois par trimestre.

Surveillance et résilience (réglages 14 et 15)

14. Journal d'audit actif et consulté. Le journal d'audit unifié est activé par défaut et Audit (Standard) conserve les événements 180 jours. Encore faut-il que quelqu'un le consulte : configurez des alertes pour les connexions suspectes, les nouvelles règles de transfert et les changements de rôles d'administrateur.

15. Sauvegarde indépendante. Microsoft assure la disponibilité du service, pas la restauration de vos données au-delà des délais de ses corbeilles. Un rançongiciel qui chiffre OneDrive ou un employé qui supprime des dossiers par erreur exigent une vraie sauvegarde, distincte de l'environnement.

Vérifiez aussi qu'aucun intrus n'est déjà là

Corriger les réglages ne sert à rien si un attaquant est déjà installé. Un bon audit Microsoft 365 cherche donc aussi les traces d'une compromission en cours :

• Règles de boîte de réception qui déplacent ou suppriment les messages contenant « facture », « virement » ou « paiement »
• Transferts vers des adresses externes configurés sur des boîtes individuelles
• Connexions réussies depuis des pays où vous n'avez ni employés ni clients
• Nouvelle méthode MFA ajoutée à un compte sans que l'employé s'en souvienne
• Applications tierces autorisées récemment avec accès au courriel ou aux fichiers
• Comptes d'administrateur créés ou rôles attribués sans demande connue

Si l'un de ces éléments apparaît, traitez-le comme un incident avant de poursuivre l'audit : réinitialisez les accès, révoquez les sessions et documentez ce que vous trouvez. Si des renseignements personnels ont pu être consultés, la Loi 25 exige d'inscrire l'incident à votre registre et, s'il présente un risque de préjudice sérieux, d'aviser avec diligence la Commission d'accès à l'information et les personnes concernées. Validez la démarche avec votre conseiller juridique.

Par où commencer

Pas besoin de tout régler en une fin de semaine. Voici un ordre réaliste :

Avant chaque changement, prévenez vos employés et testez sur un petit groupe : bloquer l'authentification héritée un lundi matin sans avertissement, c'est l'assurance d'appels au soutien technique. Si vous utilisez aussi Google Workspace, voyez notre audit de sécurité Google Workspace, qui suit la même logique.

Notre équipe réalise des audits Microsoft 365 et Google Workspace en lecture seule, avec un rapport qui indique pour chaque réglage l'état actuel, le risque et la correction à apporter.