Microsoft 365 est devenu le cœur de millions d’entreprises, des TPE et PME aux grands groupes, pour le travail collaboratif et la sécurité informatique. Microsoft met à disposition une infrastructure cloud robuste et un très haut niveau de disponibilité de ses services. La sécurité repose toutefois sur les bonnes pratiques mises en œuvre par chaque client. Quels sont donc les points de vigilance que les entreprises ignorent souvent dans Microsoft 365 ? Des choix de configuration aux politiques internes appliquées, voici les aspects à ne pas banaliser.
Sommaire et contenus de la page
Le principe de responsabilité partagée : ne pas confondre disponibilité et protection
Dans l’univers du cloud, Microsoft assure la disponibilité de l’infrastructure, la continuité du service et la sécurité physique de ses datacenters. En revanche, la sécurisation des informations stockées, le contrôle des accès utilisateurs et la sauvegarde active des informations sensibles relèvent entièrement de la responsabilité du client.
Ce modèle de responsabilité partagée est souvent mal compris. Beaucoup d’organisations assimilent leur abonnement à Microsoft 365 à une protection globale et automatique. Cette confusion expose l’entreprise à des compromissions, à des suppressions accidentelles de données ou à des infiltrations difficiles à détecter.
Concrètement, une suppression malveillante de fichiers par un collaborateur interne ne déclenche aucune alerte automatique du côté de Microsoft. Il appartient à l’organisation d’assurer la détection, la restauration des données et la réponse à l’incident. Pour compléter les protections natives de Microsoft 365, l’intégration de solutions de cybersécurité pour les entreprises devient indispensable.
La configuration par défaut : le piège des paramètres d’origine
Un abonnement Microsoft 365 activé sans durcissement préalable constitue une porte d’entrée potentielle. L’authentification multifacteur, par exemple, n’est pas systématiquement activée sur tous les comptes.
Les règles de mots de passe trop souples constituent un autre point faible. Sans une politique de mots de passe robuste, combinée à l’authentification multifacteur, un compte compromis peut rester actif pendant des semaines sans être détecté. Le piratage par force brute ou par credential stuffing exploite directement ces failles de configuration.
Pour renforcer la sécurité Microsoft 365, le durcissement des paramètres passe par des actions concrètes :
- Activation de l’authentification multifacteur pour l’ensemble des comptes ;
- Restriction des accès conditionnels selon la localisation ou le type d’appareil ;
- Blocage des protocoles d’authentification obsolètes.
La gestion des accès et des identités : la faille des comptes mal supervisés
L’identité numérique est devenue le principal périmètre de sécurité en entreprise. Pourtant, la gestion des comptes utilisateurs souffre régulièrement de négligences qui ouvrent la voie à des élévations de privilèges non justifiées. Accorder des droits d’administrateur à des collaborateurs qui n’en ont pas besoin multiplie les points d’exposition en cas de compromission.
Les comptes d’anciens collaborateurs représentent un risque souvent sous-estimé. Un compte actif appartenant à un employé ayant quitté l’organisation reste une faille réelle. Il peut être réutilisé à des fins malveillantes ou exploité par des tiers. La désactivation immédiate de tout accès lors d’un départ est une mesure basique que beaucoup d’organisations appliquent avec retard.
L’examen régulier des comptes administrateurs s’impose également. Une revue périodique des autorisations attribuées permet de détecter les dérives silencieuses :
- Droits accordés temporairement et jamais révoqués ;
- Comptes de service oubliés ;
- Utilisateurs avec des accès disproportionnés par rapport à leur fonction réelle.
Le partage externe non contrôlé : quand les données fuient par omission
SharePoint, OneDrive et Teams offrent des fonctionnalités de partage puissantes. Ces outils collaboratifs deviennent cependant un vecteur d’exfiltration de données lorsque les règles de partage externe ne sont pas clairement définies. Un lien public anonyme partagé par un collaborateur permet à n’importe quel tiers d’accéder à des fichiers ou dossiers potentiellement sensibles.
L’absence de date d’expiration sur ces liens aggrave le risque. Un document partagé pour un usage ponctuel reste ainsi accessible de manière permanente, sans que l’entreprise en soit informée. En matière de cybersécurité entreprise, cette forme de fuite d’informations est particulièrement difficile à tracer après coup.
La politique de partage externe doit être définie au niveau du tenant, avec des restrictions claires :
- Partage limité aux domaines autorisés ;
- Interdiction des liens anonymes ;
- Expiration systématique fixée pour tout accès temporaire.
Sans ces paramètres, chaque collaborateur devient involontairement un maillon vulnérable dans la chaîne de protection des données.
L’absence de sauvegarde tierce : la fausse sécurité de la Corbeille Microsoft
La Corbeille de Microsoft 365 assure une rétention temporaire des fichiers supprimés, mais cette fonctionnalité ne constitue pas une stratégie de sauvegarde. En cas d’attaque par rançongiciel, les mécanismes natifs de restauration peuvent s’avérer insuffisants et ne remplacent pas une véritable solution de sauvegarde indépendante.
Un administrateur compromis peut supprimer un grand volume de données et endommager les mécanismes de récupération si aucune sauvegarde indépendante n’est prévue. Sans solution de sauvegarde tierce, la restauration peut s’avérer très limitée, voire impossible selon les situations.
Une solution de backup externe, distincte de l’environnement Microsoft 365, permet de sauvegarder les boîtes mail, les fichiers SharePoint et les données Teams de manière autonome. Cette architecture renforce la résilience de l’organisation face à des incidents de suppression accidentelle ou de cyberattaque.
La sécurité des e-mails : une porte ouverte au phishing
La messagerie électronique reste le premier vecteur d’attaque utilisé pour pénétrer un système d’information. L’hameçonnage ciblé et l’usurpation d’identité exploitent directement les failles d’authentification des e-mails. Sans les protocoles SPF, DKIM et DMARC correctement configurés, n’importe qui peut envoyer un message en se faisant passer pour le domaine de l’entreprise.
Le SPF (Sender Policy Framework) désigne les serveurs autorisés à émettre des e-mails pour un domaine donné. Le DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique aux messages pour en garantir l’intégrité. Le DMARC, quant à lui, définit le comportement à adopter lorsqu’un e-mail ne passe pas ces vérifications : quarantaine ou rejet automatique.
L’absence ou la mauvaise configuration de ces protocoles facilite les attaques de type spoofing. Un collaborateur reçoit alors un e-mail frauduleux portant l’adresse légitime de son directeur ou d’un partenaire, sans que le filtre de messagerie ne l’intercepte. Ces campagnes d’hameçonnage ciblé débouchent fréquemment sur une compromission de comptes ou un transfert de fonds non autorisé.
La journalisation et le suivi : un angle mort fréquent
Les journaux d’audit de Microsoft 365 enregistrent les activités essentielles du tenant : connexions, modifications de paramètres, accès aux fichiers et suppressions de comptes. Ces journaux permettent ensuite de retracer les actions réalisées dans l’environnement Microsoft 365. Pourtant, beaucoup d’entreprises n’activent pas cette journalisation ou n’en analysent jamais le contenu.
Une connexion depuis un pays inhabituel, un téléchargement massif de fichiers en dehors des heures de bureau sont entre autres signaux suspects qui passent inaperçus. Or, la détection précoce d’une intrusion repose directement sur l’analyse régulière de ces données d’activité.
L’activation des journaux d’audit unifiés est indispensable. La mise en place d’alertes automatiques pour les événements critiques permet de réagir avant qu’un incident ne se propage à l’ensemble du système d’information.
Le risque lié aux applications tierces : l’essor du Shadow IT via OAuth
Microsoft 365 permet aux utilisateurs de connecter des applications tierces à leur compte via le protocole OAuth, généralement en quelques clics. Cette intégration améliore la productivité, mais elle génère également un flux d’autorisations non contrôlé. Un collaborateur peut ainsi accorder à une application externe un accès complet à sa boîte mail, ses fichiers ou ses contacts, sans validation de l’équipe informatique.
Ce phénomène, désigné sous le terme de Shadow IT, rend une partie du parc applicatif de l’entreprise totalement invisible pour les administrateurs. Une application malveillante ou vulnérable connectée via OAuth peut exfiltrer des contenus sensibles en silence, sans déclencher aucune alerte de sécurité native. Le vol ou le détournement de jetons OAuth est une technique d’attaque bien documentée et en pleine expansion.
La supervision de ces intégrations passe par l’activation du catalogue d’applications dans Microsoft Defender for Cloud Apps, pour inventorier, évaluer et bloquer les applications non conformes. Sans ce niveau de contrôle, chaque autorisation OAuth accordée par un utilisateur peut devenir un point d’entrée pour une infiltration discrète du système d’information.
