Pour la plupart des PME, Microsoft 365 ou Google Workspace, c'est le cœur de l'entreprise : courriels, documents, agendas, Teams ou Meet. C'est aussi une cible de choix pour les fraudeurs. Un seul compte compromis suffit pour détourner un paiement ou hameçonner vos clients à partir d'une adresse légitime.
Les réglages par défaut ne sont pas toujours les plus sûrs, et une configuration se dégrade avec les années : anciens administrateurs, exceptions temporaires devenues permanentes, partages oubliés. Notre audit fait le ménage, sans rien modifier à votre environnement.
Ce que nous vérifions dans Microsoft 365
Identités et accès (Entra ID)
MFA pour tous les comptes, administrateurs en tête ; politiques d'accès conditionnel ou paramètres de sécurité par défaut ; blocage de l'authentification héritée, ces anciens protocoles qui permettent de contourner le MFA ; nombre d'administrateurs généraux ; consentement des utilisateurs aux applications tierces.
Messagerie (Exchange Online et Defender)
Audit des boîtes aux lettres activé ; règles de transfert automatique vers l'externe ; politiques antihameçonnage, liens et pièces jointes sécurisés de Defender pour Office 365 ; enregistrements SPF, DKIM et DMARC.
Partage et journalisation
Partage externe dans SharePoint, OneDrive et Teams ; liens accessibles à « tout le monde » ; accès des invités ; journal d'audit unifié et durée de conservation des journaux.
Notre article sur l'audit de sécurité Microsoft 365 détaille les réglages les plus importants.
Et dans Google Workspace
La logique est la même, avec les outils de Google :
- validation en deux étapes imposée, et clés de sécurité pour les super-administrateurs ;
- nombre de super-administrateurs et séparation des comptes d'administration ;
- contrôle des applications tierces qui ont accès à vos données (API et OAuth) ;
- paramètres de sécurité de Gmail : protection contre l'usurpation, pièces jointes, SPF, DKIM et DMARC ;
- partage externe dans Google Drive et les Drive partagés ;
- journaux d'audit et centre d'alertes.
Pour en savoir plus, lisez notre article sur l'audit de sécurité Google Workspace.
Un audit en lecture seule
Nous n'avons pas besoin des clés du royaume. Dans Microsoft 365, votre administrateur nous attribue des rôles comme Lecteur général et Lecteur de sécurité ; dans Google Workspace, un rôle d'administrateur personnalisé limité à la consultation. Les rares vérifications qui demandent davantage de droits se font avec votre administrateur, en séance partagée.
Résultat : aucun risque de modifier un réglage par erreur, et vous gardez le contrôle complet de votre environnement. L'audit se fait entièrement à distance, peu importe où se trouvent vos bureaux au Québec.
Pourquoi c'est une priorité pour une PME
La compromission de courriel d'affaires est une fraude redoutable pour les PME : un fraudeur accède à une boîte aux lettres, observe les échanges, puis envoie de fausses coordonnées bancaires au bon moment. Notre article sur la fraude au président décrit le scénario en détail.
Les questionnaires d'assurance cyber demandent couramment si le MFA est imposé sur la messagerie et les comptes administrateurs. Et vos boîtes aux lettres contiennent des renseignements personnels protégés par la Loi 25. Un environnement bien configuré répond à ces trois enjeux à la fois.