Microsoft 365 : sept erreurs de configuration qui exposent les données de l'entreprise

Microsoft 365 rassemble messagerie, fichiers, collaboration et identités. Sa sécurité ne dépend donc pas d'un seul réglage : une configuration acceptable pour un service peut devenir risquée lorsqu'elle se combine avec des droits trop larges ou des partages externes mal suivis.

Le Microsoft Secure Score aide à suivre l'adoption de contrôles, mais Microsoft précise qu'il ne mesure pas directement la probabilité d'une compromission et ne constitue pas une garantie de sécurité. 1

1. Une MFA incomplète, notamment sur les comptes privilégiés

Contrôler la couverture réelle de l'authentification multifacteur : administrateurs, comptes utilisateurs, exceptions et méthodes autorisées. Pour les accès sensibles, privilégier les méthodes résistantes au phishing lorsque le contexte le permet. Attention aux comptes d'urgence : ils exigent une politique documentée et une surveillance adaptée, pas une suppression improvisée. 2

Preuve à conserver : export daté des stratégies, population couverte et justification des exclusions.

2. Des stratégies d'accès conditionnel incohérentes

Une stratégie peut exister sans couvrir tous les utilisateurs ou toutes les applications visées. Vérifier son activation, les exclusions, les appareils non gérés, les accès depuis l'extérieur et les risques de blocage. Les fonctionnalités disponibles dépendent des licences et de l'architecture Entra. 2

Test : simuler des connexions représentatives et vérifier le résultat attendu avant généralisation.

3. Des liens SharePoint ou OneDrive trop ouverts

Les liens « toute personne disposant du lien » facilitent le partage mais rendent le suivi individuel plus difficile. Microsoft permet de limiter les personnes autorisées à partager vers l'extérieur et de privilégier des invités authentifiés pour les informations sensibles. 3

Test : inventorier les sites sensibles, leurs paramètres de partage et les liens encore actifs.

4. Des comptes invités jamais réévalués

Un partenaire peut conserver l'accès à un espace longtemps après la fin d'un projet. Vérifier les invités, leur sponsor métier, les groupes auxquels ils appartiennent et les modalités de révocation. La gouvernance des identités externes doit couvrir l'arrivée, les revues périodiques et le départ. 4

Preuve : compte rendu de revue des accès externes, décisions et suppressions effectives.

5. Des applications tierces disposant de permissions excessives

Une application connectée à Microsoft 365 peut obtenir des permissions déléguées ou applicatives importantes. Examiner les consentements, les éditeurs, les secrets ou certificats, les comptes de service et les permissions réellement nécessaires.

Test : rapprocher chaque intégration de son propriétaire métier et retirer les autorisations devenues inutiles. Ne pas révoquer sans analyser les impacts opérationnels.

6. Une journalisation insuffisamment exploitable

Disposer de journaux ne suffit pas : il faut savoir quels événements sont collectés, pendant combien de temps, avec quelles licences et qui reçoit les alertes. Vérifier la capacité à reconstituer un partage externe, une modification de privilège ou une connexion suspecte.

Test : réaliser un scénario autorisé et vérifier que l'équipe de sécurité peut retrouver les événements correspondants.

7. Des données sensibles sans règles de partage adaptées

Une bibliothèque documentaire peut être correctement protégée au niveau du site tout en contenant des fichiers sensibles partagés au-delà du besoin. Évaluer les classifications, les règles de prévention des pertes de données (DLP), les conditions d'accès et les usages réels. Microsoft documente ces leviers pour SharePoint et OneDrive. 5

Exemple fictif : un cabinet de conseil

Le cabinet dispose de MFA sur ses salariés et d'un Secure Score jugé satisfaisant. L'audit révèle pourtant trois écarts : un ancien prestataire possède toujours un compte invité, un espace projet accepte les liens anonymes et une application tierce conserve des droits étendus sur les fichiers.

La remédiation consiste à identifier le propriétaire de chaque accès, supprimer les droits non justifiés, limiter le partage externe sur les sites sensibles et tester les conséquences métier. Une simple hausse du score ne remplacerait pas cette vérification.

Une méthode d'audit reproductible

Pour chaque contrôle, enregistrer : périmètre, configuration attendue, configuration observée, risque, propriétaire, action et date de retest. Conserver des extraits minimisés, sans divulguer de secrets ni de données personnelles inutiles.

Les sept points ci-dessus ne constituent ni un audit exhaustif ni une configuration universelle. Ils forment un socle de revue priorisée, à adapter aux licences, aux besoins de collaboration et à la sensibilité des données.