La plupart des PME équipées de Microsoft 365 disposent déjà des briques de sécurité dont elles ont besoin. Le problème n’est presque jamais l’absence d’outil, mais des protections livrées désactivées ou laissées dans leur configuration par défaut. Ce guide parcourt les réglages qui comptent vraiment, dans l’ordre où les traiter.
Commencez par mesurer : le Secure Score
Avant toute modification, ouvrez le Microsoft Secure Score dans le portail Microsoft 365 Defender. Il attribue une note à votre tenant et liste des actions concrètes, chacune assortie de son gain de points et de son impact sur les utilisateurs.
Son intérêt réel n’est pas le score lui-même mais la priorisation : il distingue ce qui apporte beaucoup pour peu d’efforts. Notez votre point de départ, il servira à démontrer les progrès accomplis.
L’identité : la priorité absolue
Dans un environnement cloud, l’identité remplace le pare-feu comme premier périmètre de défense. C’est là que se joue l’essentiel.
Authentification multifacteur
Activez le MFA pour tous les comptes, sans exception pour la direction — les dirigeants sont précisément les cibles privilégiées de la fraude au président. Si votre licence le permet, préférez l’accès conditionnel aux paramètres de sécurité par défaut : il autorise des règles nuancées plutôt qu’une bascule globale.
Méthodes résistantes à l’hameçonnage
Le MFA par SMS vaut mieux que rien, mais il est contourné par les attaques par proxy en temps réel. Migrez progressivement vers des méthodes liées au domaine visité : clés FIDO2, passkeys, ou Windows Hello Entreprise. Commencez par les comptes à privilèges.
Comptes d’administration
Trois principes simples : des comptes admin distincts des comptes de travail quotidien, aucune boîte aux lettres associée, et le nombre d’administrateurs généraux réduit au strict minimum — deux à quatre suffisent dans la quasi-totalité des PME. Prévoyez un compte de secours documenté et exclu des règles d’accès conditionnel, pour éviter de vous verrouiller dehors.
La messagerie : le principal point d’entrée
Defender for Office 365 protège contre les pièces jointes et les liens malveillants, mais son efficacité dépend de trois enregistrements DNS souvent incomplets :
- SPF déclare les serveurs autorisés à émettre pour votre domaine.
- DKIM signe cryptographiquement vos messages sortants.
- DMARC indique aux destinataires comment traiter un message qui échoue aux deux contrôles précédents.
Sans DMARC en mode restrictif, n’importe qui peut usurper votre domaine pour écrire à vos clients. Progressez par étapes : p=none pour observer, puis quarantine, puis reject.
Vérifiez également les règles de transfert automatique : leur création est un signal classique de compromission, un attaquant s’en servant pour lire votre courrier discrètement.
Les postes de travail avec Intune
Intune permet d’imposer un socle homogène sans intervention manuelle sur chaque machine :
- Chiffrement BitLocker avec sauvegarde automatique des clés de récupération dans Entra ID.
- Stratégies de conformité exigeant un système à jour et un antivirus actif, couplées à l’accès conditionnel : un poste non conforme n’accède plus aux données.
- Anneaux de mise à jour pour déployer les correctifs progressivement plutôt qu’en une fois sur tout le parc.
- Defender for Endpoint avec les règles de réduction de surface d’attaque, qui bloquent des comportements malveillants courants comme l’exécution de macros Office téléchargées.
Les données et la sauvegarde
Une confusion fréquente mérite d’être levée : Microsoft ne sauvegarde pas vos données à votre place. La corbeille et l’historique des versions de SharePoint ou OneDrive offrent une fenêtre de récupération limitée, pas une sauvegarde. Un rançongiciel qui chiffre les fichiers synchronisés propage le chiffrement dans le cloud. Une solution de sauvegarde tierce reste nécessaire.
Activez par ailleurs la journalisation d’audit unifiée si elle ne l’est pas : sans journaux, aucune investigation n’est possible après un incident.
Un ordre de mise en œuvre réaliste
- Relever le Secure Score initial.
- MFA généralisé, en commençant par les administrateurs.
- Réduire et séparer les comptes à privilèges.
- Compléter SPF, DKIM et DMARC.
- Vérifier l’existence d’une sauvegarde réelle et la tester.
- Déployer les stratégies de conformité Intune.
- Passer les comptes sensibles en MFA résistant à l’hameçonnage.
En résumé
Les six premières étapes ci-dessus ne nécessitent aucun achat supplémentaire dans la majorité des abonnements Microsoft 365 et couvrent la grande majorité des scénarios d’attaque réellement rencontrés par une PME. Le Secure Score fournit à la fois la feuille de route et la mesure des progrès.