Les informations clés
- Audit Microsoft 365 : Un audit régulier est essentiel pour détecter les configurations à risque et éviter les failles de sécurité dans le tenant.
- Secure Score : Cet indicateur utile ne suffit pas seul, car il ignore le contexte métier et peut masquer des partages ou accès dangereux.
- Journal d'audit : Activer le journal unifié est fondamental pour disposer d’une visibilité complète sur les activités suspectes et mener des investigations.
- MFA Microsoft 365 : L’activation du MFA, surtout pour les administrateurs, bloque la majorité des attaques automatisées.
- Plan d'action audit : Une fois les vulnérabilités identifiées, il faut prioriser les correctifs critiques et instaurer une routine de contrôle régulier.
On croit souvent que basculer dans le cloud Microsoft 365, c’est comme installer une alarme dans sa maison : une fois activée, on peut dormir tranquille. Sauf que non. La réalité, c’est qu’un tenant mal configuré, c’est une porte grande ouverte, masquée par une interface rassurante. Les outils sont là, mais ils ne se sécurisent pas tout seuls. Et c’est justement cette fausse impression de sécurité qui coûte cher aux entreprises.
Pourquoi l'audit de sécurité Microsoft 365 est devenu indispensable
Microsoft 365, c’est bien plus qu’un simple pack bureautique. C’est un écosystème vivant, où circulent emails, fichiers sensibles, agendas, et données stratégiques. Chaque utilisateur est potentiellement un maillon de la chaîne de sécurité. Pourtant, combien d’entreprises prennent le temps de vérifier que les accès invités à un site SharePoint sont bien expirés ? Que les mots de passe n’ont pas de stratégies désactivées ? Que dire des comptes administrateurs laissés orphelins après un départ en retraite ?
Le problème, c’est que Microsoft fournit une configuration de base, mais pas une posture de sécurité optimale. C’est à vous de la durcir. Or, sans audit régulier, les habitudes s’installent, les partages s’accumulent, les applications tierces s’invitent, et personne ne relève les anomalies. Une brèche peut rester silencieuse pendant des semaines, voire des mois.
L’audit, ce n’est pas une formalité. C’est une hygiène numérique obligatoire. Il permet de repérer les configurations à risque avant qu’elles ne soient exploitées. Pour approfondir la démarche technique sur votre propre tenant, une ressource complète est disponible à cette adresse - https://axorys.com/guides-microsoft-365-pme/audit-microsoft-365-pme.
Identifier les failles de configuration
Les erreurs de configuration sont la première cause de compromission dans le cloud. On pense souvent à un hacker distant, alors que le danger vient souvent d’un simple oubli : un compte admin sans MFA, une stratégie de mot de passe trop permissive, ou un groupe de sécurité mal attribué. Or, ces petits défauts s’accumulent et forment un terrain fertile pour les attaques.
Surveiller les flux de données sensibles
Dans OneDrive ou SharePoint, un fichier confidentiel partagé avec toute l’entreprise par erreur, c’est courant. Un audit permet de cartographier ces partages, d’identifier les fichiers trop exposés, et de détecter les accès externes non revus depuis des mois. Mieux vaut le savoir avant qu’un ancien prestataire ne décide de consulter vos devis en cours.
Anticiper les risques de fuites internes
La menace ne vient pas toujours de l’extérieur. Parfois, un employé sur le point de partir copie massivement des données client. Les logs d’audit permettent de repérer ces comportements anormaux : téléchargements inhabituels, accès à des heures atypiques, ou exportations répétées. Sans cette visibilité, vous êtes aveugle.
Comparatif des indicateurs clés à surveiller en priorité
Le Secure Score face à l'analyse manuelle
Microsoft propose un Secure Score, un indicateur global qui évalue la sécurité de votre tenant. C’est un bon point de départ, mais il ne raconte pas toute l’histoire. Il valorise des actions techniques (comme l’activation du MFA), mais ignore le contexte métier. Par exemple, il ne saura pas si un accès partagé est légitime pour un projet collaboratif ou s’il traîne depuis deux ans sans raison.
| 🔐 Indicateur | ⚠️ Niveau de risque habituel | 🔍 Méthode de vérification rapide | 🛡️ Impact sur la sécurité globale |
|---|---|---|---|
| MFA activé pour tous | Élevé (sans activation) | Vérifier dans le centre d’administration | Empêche 99 % des intrusions automatisées |
| Nombre d’admin globaux | Très élevé (au-delà de 3) | Exporter la liste des rôles | Risque de compromission critique |
| Journalisation activée | Élevé (si désactivé) | Vérifier l’état du journal unifié | Indispensable pour toute forensic |
| Applications OAuth non revues | Moyen à élevé | Passer par Entra ID > App registrations | Porte dérobée fréquente pour les attaquants |
Les étapes structurelles pour auditer votre tenant
Activation et configuration des logs d'audit
Avant toute analyse, il faut s’assurer que le journal d’audit unifié est activé. Sans cela, vous ne pourrez pas remonter dans le temps. Cette fonction est disponible dans le centre de conformité Microsoft 365. Une fois activée, elle enregistre des centaines d’événements : accès aux fichiers, modifications de stratégies, connexions suspectes.
Examen des droits d'administration
Le principe du moindre privilège est fondamental. Combien d’administrateurs globaux avez-vous ? Dans une PME, il devrait y en avoir moins de cinq. Chaque compte admin est une cible. L’audit doit lister tous les rôles élevés, vérifier leur nécessité, et identifier les comptes dormants. Un ancien directeur technique avec les droits max, c’est un risque inutile.
- ✅ Vérifier le statut du MFA pour tous les comptes utilisateurs
- ✅ Inventorier les applications tierces connectées via OAuth
- ✅ Auditer les politiques de rétention des données (email, fichiers)
- ✅ Configurer des alertes sur les connexions suspectes (pays étrangers, heures atypiques)
Exploiter le journal d'audit et les rapports de conformité
Recherche d'activités suspectes sur SharePoint
Le centre de sécurité permet de lancer des recherches ciblées. Par exemple, chercher tous les accès à un site stratégique sur les 30 derniers jours, ou filtrer les partages externes créés par un service précis. Cela prend quelques minutes, mais peut révéler des anomalies invisibles au quotidien.
Audit des boîtes aux lettres Exchange
Les boîtes aux lettres sont une cible de choix. Les attaquants utilisent souvent des règles de transfert automatique ou des délégations pour exfiltrer des emails sans être détectés. Un audit doit donc vérifier toutes les règles de messagerie, les accès délégués, et les tentatives de connexion en échec. Une longue série d’échecs suivie d’une réussite, c’est souvent un signe de brute force.
Outils et solutions pour automatiser votre veille
Les scripts PowerShell pour les Power Users
Pour aller plus loin que l’interface web, les scripts PowerShell avec les modules Microsoft Graph sont incontournables. Ils permettent d’extraire des rapports massifs : tous les fichiers partagés externément, la liste complète des accès admin, ou encore les applications autorisées à lire les emails. C’est technique, mais précis.
Logiciels tiers vs outils natifs
Les outils natifs de Microsoft sont puissants, mais parfois limités en ergonomie. Des solutions tierces proposent des tableaux de bord plus lisibles, des alertes en temps réel, ou des analyses prédictives. Le choix dépend de votre maturité : pour une PME, les outils natifs suffisent souvent, surtout si on suit une procédure claire.
Définir un plan d'action post-audit
Priorisation des remédiations
Vous avez trouvé 50 points à corriger ? Par quoi commencez-vous ? Par les plus critiques. Un compte admin sans MFA, c’est prioritaire. Un partage OneDrive ancien, ça peut attendre. Classez les vulnérabilités par niveau d’exposition, et agissez par ordre d’urgence. Sans cela, vous risquez de perdre du temps sur des détails sans toucher aux vrais risques.
Établir une routine de contrôle
Un audit ponctuel, c’est bien. Une routine, c’est mieux. Fixez-vous un rythme : tous les trimestres, ou chaque semestre. Cela permet de détecter les dérives au fil du temps - nouveaux projets, nouveaux employés, nouvelles applications. La gouvernance cloud, c’est un état d’esprit, pas une tâche unique.
Les questions récurrentes des utilisateurs
Est-ce que le Microsoft Secure Score remplace un véritable audit de sécurité ?
Non, le Secure Score est un outil utile, mais incomplet. Il mesure des paramètres techniques, sans comprendre le contexte métier. Un score élevé ne garantit pas une sécurité réelle, surtout si des accès anormaux ou des partages oubliés passent sous le radar. Une analyse humaine reste indispensable.
Existe-t-il des alternatives open-source pour auditer un tenant sans payer de licence supplémentaire ?
Oui, des outils comme Monkey365, disponibles sur GitHub, permettent d’auditer plusieurs services Microsoft 365 via des scripts PowerShell. Ils sont techniques à mettre en œuvre, mais efficaces pour les équipes à l’aise avec l’automatisation et sans budget dédié.
L'intelligence artificielle change-t-elle la façon dont on audite les logs aujourd'hui ?
Progressivement, oui. L’IA commence à être utilisée pour détecter des comportements anormaux dans les logs, comme des séries de connexions improbable ou des téléchargements massifs. Elle ne remplace pas l’analyste, mais l’aide à filtrer le bruit et à se concentrer sur les vraies alertes.
Je viens de prendre mes fonctions d'admin, par quel service informatique commencer mon audit ?
Commencez par l’identité : vérifiez que le MFA est activé pour tous, surtout les comptes administrateurs. Ensuite, passez aux droits d’accès, puis aux logs d’audit. Sans une bonne gestion des identités, tous les autres contrôles sont fragiles. C’est la base de toute sécurité cloud.