La plupart des PME fonctionnent aujourd’hui avec Microsoft 365 : courriel, Teams, OneDrive, SharePoint et applications Office. C’est donc une cible de choix pour les pirates. Un seul compte compromis peut servir à envoyer de fausses factures, à voler des fichiers ou à attaquer vos clients.
Microsoft 365 comprend de solides outils de sécurité, mais plusieurs ne sont pas configurés par défaut ou restent à leurs réglages de base. Voici huit paramètres que toute PME devrait vérifier, à peu près par ordre d’impact.
1. Exiger l’authentification multifacteur pour tout le monde
L’authentification multifacteur (MFA) est la protection la plus efficace pour les comptes Microsoft 365. Si votre locataire n’utilise pas l’accès conditionnel, activez les paramètres de sécurité par défaut dans le centre d’administration Microsoft Entra, qui exigent la MFA pour tous les utilisateurs. Si vous avez Microsoft 365 Business Premium, utilisez plutôt des stratégies d’accès conditionnel, qui offrent plus de contrôle. Encouragez votre équipe à utiliser l’application Microsoft Authenticator plutôt que les messages texte.
2. Bloquer l’authentification héritée
Les anciennes méthodes de connexion utilisées par des logiciels de courriel désuets ne prennent pas en charge la MFA, ce qui permet aux pirates de la contourner. Les paramètres de sécurité par défaut bloquent automatiquement l’authentification héritée. Avec l’accès conditionnel, créez une stratégie qui la bloque, et désactivez SMTP AUTH pour les boîtes aux lettres qui n’en ont pas besoin, c’est-à-dire toutes sauf celles des numériseurs et des applications métiers qui envoient des courriels.
3. Protéger vos comptes administrateurs
Les administrateurs généraux peuvent tout modifier dans votre locataire. Limitez leur nombre (Microsoft recommande moins de cinq), donnez aux administrateurs des comptes distincts qui ne servent pas au courriel quotidien et exigez la MFA sur chaque compte administrateur. Attribuez des rôles plus restreints, comme administrateur des utilisateurs ou administrateur Exchange, lorsque c’est possible.
4. Activer les Liens fiables et les Pièces jointes fiables
Microsoft Defender pour Office 365 vérifie les liens au moment du clic et ouvre les pièces jointes dans un environnement isolé avant qu’elles n’atteignent la boîte de réception. Il est inclus dans Microsoft 365 Business Premium. Activez les stratégies de sécurité prédéfinies Standard ou Strict dans le portail Microsoft Defender pour appliquer en une étape les réglages recommandés par Microsoft.
5. Bloquer le transfert automatique vers l’externe
Quand des pirates prennent le contrôle d’une boîte aux lettres, ils créent souvent une règle qui transfère discrètement chaque message vers une adresse externe. Dans la stratégie de courrier indésirable sortant de Microsoft Defender, désactivez le transfert externe automatique et n’autorisez des exceptions que pour les boîtes qui en ont vraiment besoin.
6. Identifier les courriels provenant de l’externe
Activez l’identification des expéditeurs externes dans Exchange Online pour qu’Outlook signale clairement les messages venant de l’extérieur de votre organisation. Ce simple repère visuel aide votre équipe à repérer un faux courriel qui prétend venir du propriétaire ou de la comptabilité.
7. Vérifier que la journalisation d’audit est activée
Les journaux d’audit consignent qui s’est connecté, ce qui a été modifié et quels fichiers ont été consultés. Sans eux, enquêter sur un compte compromis relève de la devinette. Confirmez que l’audit est activé dans Microsoft Purview et surveillez les alertes de connexion depuis des emplacements inhabituels.
8. Suivre vos progrès avec le degré de sécurisation
Le degré de sécurisation Microsoft (Secure Score), dans le portail Microsoft Defender, évalue votre configuration de sécurité et propose des améliorations par ordre de priorité. Consultez-le chaque mois et appliquez les recommandations pertinentes pour votre entreprise.
Quelles fonctions viennent avec quelle licence?
Certaines de ces protections dépendent de votre forfait Microsoft 365. Les paramètres de sécurité par défaut, la journalisation d’audit, l’identification des expéditeurs externes et le contrôle du transfert sont offerts dans tous les forfaits Entreprise. L’accès conditionnel, Defender pour Office 365 et la gestion des appareils avec Intune sont inclus dans Microsoft 365 Business Premium.
Pour bien des PME, passer à Business Premium est l’investissement en sécurité le plus rentable, puisqu’il remplace plusieurs outils distincts.
Au Québec : Microsoft 365 et la Loi 25
Ces réglages vous aident aussi à respecter la Loi 25 :
- Journaux d’audit et incidents. En cas d’incident de confidentialité, vous devez évaluer le risque de préjudice et consigner l’incident dans votre registre. Les journaux d’audit vous disent quels comptes et quels fichiers ont été touchés.
- Emplacement des données. Microsoft exploite des centres de données au Canada. Vérifiez l’emplacement de vos données dans le centre d’administration Microsoft 365 et documentez-le : cette information est utile pour votre évaluation des facteurs relatifs à la vie privée si des renseignements sont hébergés ou communiqués hors Québec.
- Accès limité. La MFA, des rôles administrateurs restreints et le blocage du transfert externe réduisent le risque qu’un renseignement personnel soit consulté ou communiqué sans autorisation.
Pour une vue d’ensemble, consultez notre guide pratique de la Loi 25 pour les PME.
N’oubliez pas les sauvegardes
Microsoft assure la disponibilité de vos données, mais n’offre pas un service de sauvegarde complet. Les éléments supprimés et les anciennes versions ne sont conservés que pendant une période limitée, et un rançongiciel ou un employé malveillant peut endommager les fichiers synchronisés dans OneDrive et SharePoint. Une sauvegarde Microsoft 365 indépendante vous donne des copies que vous pouvez restaurer.
Besoin d’aide pour sécuriser Microsoft 365?
HuPrin Systems configure, sécurise et gère Microsoft 365 pour des entreprises de partout au Canada, de la MFA et l’accès conditionnel aux stratégies Defender, à la gestion des appareils et aux sauvegardes. Découvrez nos services TI gérés ou demandez une revue gratuite de votre sécurité Microsoft 365. Nous vous montrerons où vous en êtes et ce qu’il faut corriger en premier.
