Ressource
Ressource publiée il y a moins de 30 jours.
Préparer un audit Microsoft 365 utile
Publications remain available in their original language.
Un audit Microsoft 365 devient utile lorsqu’il permet de décider quoi corriger, dans quel ordre et avec quelles conséquences pour les utilisateurs. Un export de comptes, une liste de recommandations ou un score de sécurité ne suffisent pas. Il faut rapprocher la configuration observée, les pratiques des équipes et les preuves réellement disponibles.
Ce guide prépare un audit de configuration et de gouvernance. Il ne décrit ni un test d’intrusion, ni une investigation d’incident, ni une certification de conformité. Ces missions demandent un cadrage et des moyens spécifiques.
Partir de décisions concrètes
Avant de demander un accès au tenant, réunissez le commanditaire, l’exploitation et un représentant des usages. Faites préciser trois ou quatre décisions attendues : faut-il revoir les comptes à privilèges ? Peut-on conserver le partage externe actuel ? Pourquoi certains départs laissent-ils des documents sans responsable ? Les licences correspondent-elles aux services utilisés ?
Pour chacune, notez le service concerné, l’impact redouté et la personne qui pourra arbitrer. Cette étape évite de consacrer l’essentiel de l’audit à des réglages faciles à compter, tout en ignorant un processus métier critique.
Préparez une fiche de cadrage d’une page avec :
- le tenant et les entités incluses, ainsi que les services exclus ;
- la période étudiée et la date de l’état de configuration ;
- les populations à examiner : salariés, invités, administrateurs, comptes techniques ;
- les personnes autorisées à consulter les résultats et leur lieu de stockage ;
- les livrables, la restitution et le responsable de chaque décision.
Collecter avec des accès proportionnés
Privilégiez les rôles de lecture adaptés à chaque portail. Le rôle nécessaire pour lire un rapport d’usage n’est pas automatiquement celui qui donne accès aux journaux de sécurité ou à Purview. Établissez une matrice « question, preuve attendue, rôle requis » et vérifiez les possibilités du tenant avant la collecte. Une mission d’observation n’a pas à recevoir des droits d’administration générale par commodité.
Utilisez un compte nominatif, documentez les attributions temporaires et prévoyez leur retrait à la clôture. Une exportation réalisée par un administrateur interne peut parfois répondre au besoin sans ouvrir un accès supplémentaire. Dans tous les cas, conservez la date, les filtres et le périmètre de chaque export : un fichier sans provenance devient difficile à interpréter.
Séparez la lecture de configuration des essais qui modifient le tenant. Créer un lien externe, changer une politique ou envoyer un message pour tester un contrôle demande un scénario convenu, des données de test et un nettoyage prévu.
Examiner les parcours, pas seulement les portails
Une collecte exploitable relie plusieurs angles :
| Angle | Questions à résoudre | Preuves à rapprocher |
|---|---|---|
| Identités | Qui dispose de privilèges ? Comment sont traités les départs et les exceptions d’authentification ? | Attributions, politiques applicables, échantillon de demandes clôturées |
| Collaboration | Qui peut accéder aux espaces et inviter des tiers ? Qui revoit ces droits ? | Paramètres de partage, propriétaires, accès effectifs sur un échantillon |
| Exploitation | Qui traite les alertes et peut rétablir un service ? | Procédures, tickets, comptes rendus d’exercice |
| Licences | Quels services sont attribués et utilisés ? Quelles fonctions manquent au périmètre ? | Attributions, rapports d’usage et besoins validés |
Les rapports d’usage, les journaux d’audit et l’état de configuration répondent à des questions différentes. Un service peu utilisé n’est pas nécessairement inutile ; une absence d’événement ne démontre pas l’absence d’action. Pour les journaux, vérifiez la disponibilité, les licences, la durée de conservation et les filtres. Les règles de conservation de Microsoft Purview varient notamment selon les licences et les politiques applicables ; elles ne permettent pas de présumer qu’un historique ancien existe encore. Documentation Microsoft sur la conservation des journaux.
Microsoft Secure Score peut aider à identifier des sujets. Il mesure l’adoption de contrôles recommandés ; il ne représente ni une probabilité de compromission, ni une garantie de sécurité. Confrontez chaque recommandation aux usages, aux protections alternatives et aux licences disponibles. Présentation de Secure Score.
Exemple illustratif : un espace projet trop ouvert
Dans cet exemple fictif, une équipe partage régulièrement des livrables avec des partenaires. Le réglage général du tenant autorise ce partage, mais l’échantillon révèle un espace sans propriétaire actif et des accès externes dont personne ne peut expliquer l’utilité actuelle.
Le constat utile précise les espaces examinés, les accès observés et la limite de l’échantillon. La décision proposée est de désigner un propriétaire, faire confirmer les accès par le responsable du projet, puis retirer ceux devenus inutiles. Désactiver le partage externe pour toute l’organisation serait une autre décision, dont l’impact métier demanderait une analyse séparée.
Le critère de clôture devient vérifiable : propriétaire désigné, revue datée, décisions d’accès appliquées et test du parcours partenaire conservé. Le constat produit ainsi une action contrôlable sans transformer un cas local en règle générale.
Exiger des livrables qui permettent d’agir
Pour chaque constat, demandez une preuve datée, la population concernée, l’impact, le degré de confiance, la recommandation et ses dépendances. Ajoutez un responsable, une échéance à convenir et un critère de validation. Une urgence dépend de l’exposition et de l’impact, pas seulement de la facilité de correction.
La restitution doit distinguer les actions immédiatement décidables, les changements à tester et les questions qui restent ouvertes faute de preuve. Les entretiens déclaratifs, les vérifications par échantillon et les contrôles exhaustifs doivent rester identifiables. Un audit peut conclure « non vérifié » : c’est plus utile qu’une assurance sans fondement.
Avant de clôturer, vérifiez que le commanditaire sait qui pilote la feuille de route, où se trouvent les preuves, quand les accès d’audit seront retirés et comment la correction sera contrôlée. Le rapport devient alors le départ d’un travail suivi, pas sa dernière trace.
Sources et périmètre de vérification
Sources primaires consultées le 23 octobre 2026. Les possibilités exactes doivent être confirmées avec les licences, les rôles et la configuration du tenant audité.