Votre sécurité Microsoft 365 et Google Workspace, vérifiée et corrigée

Ce que vérifie une évaluation de sécurité Microsoft 365

Une évaluation de sécurité Microsoft 365 passe en revue sept zones de votre locataire : connexion et deuxième étape, rôles d’administrateur, anciennes méthodes de connexion, transferts et règles, partage, journal d’audit et appareils. Chaque constat renvoie à une recommandation publique.

Nos repères sont les guides de Microsoft et de Google et les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité, conçus pour les organisations de moins de 500 employés.¹¹ Comme référence plus exigeante, l’agence américaine CISA publie dans son projet SCuBA des configurations de base sécuritaires pour Microsoft 365 et Google Workspace, avec les outils gratuits ScubaGear et ScubaGoggles.¹³

Authentification multifacteur et accès conditionnel dans Microsoft 365

Microsoft 365 propose deux façons de rendre l’authentification multifacteur obligatoire : les paramètres de sécurité par défaut, qu’un locataire peut activer sans frais supplémentaires, et l’accès conditionnel, qui exige au moins une licence Microsoft Entra ID P1. Microsoft 365 Business Premium donne accès à l’accès conditionnel.¹²

Les paramètres de sécurité par défaut forment un seul interrupteur. Une fois activés, chaque utilisateur doit s’inscrire à l’authentification multifacteur, les rôles d’administrateur énumérés par Microsoft doivent l’utiliser à chaque connexion et les protocoles d’authentification hérités sont bloqués. Depuis le 29 juillet 2024, la période de grâce de 14 jours pour s’inscrire a été supprimée : sans préparation, tout le personnel tombe sur l’écran d’inscription à sa prochaine connexion.¹

Une stratégie d’accès conditionnel fonctionne comme un énoncé « si… alors » : si une personne veut ouvrir une application comme Microsoft 365, alors elle doit accomplir une action, par exemple une deuxième étape de connexion.² Une organisation qui adopte l’accès conditionnel doit désactiver les paramètres de sécurité par défaut; les nouvelles stratégies doivent donc être prêtes le jour même.¹

• Mise en correspondance des nombres dans l’application d’authentification : le Centre pour la cybersécurité demande de l’activer contre les demandes répétées, et Microsoft l’affiche à la connexion sous les paramètres de sécurité par défaut.¹²¹
• Clés de sécurité résistantes à l’hameçonnage pour les administrateurs et la direction quand le budget le permet : le Centre recommande fortement les solutions fondées sur FIDO.¹²

Sécurité Google Workspace : la même revue, côté Google

La sécurité Google Workspace repose sur les mêmes réglages sous d’autres noms : validation en deux étapes, comptes de super-administrateur, partage dans Drive, transfert automatique dans Gmail, alertes et journaux de la console d’administration. Pour les petites entreprises, Google demande d’imposer la validation en deux étapes aux administrateurs et aux utilisateurs clés, et d’avoir plus d’un compte de super-administrateur, chacun géré par une personne différente.⁸

Pour les organisations plus grandes, Google va plus loin : clés de sécurité au moins pour les administrateurs et les autres comptes importants, transfert automatique du courriel entrant désactivé, accès bloqué aux applications moins sécurisées, qui n’utilisent pas les normes de sécurité modernes comme OAuth, et approbation des applications tierces qui peuvent lire Gmail et Drive.⁹ Nous appliquons ce qui convient à votre taille.

Le degré de sécurisation Microsoft : une liste de départ

Le degré de sécurisation Microsoft (Microsoft Secure Score) est une mesure du portail Microsoft Defender : plus le nombre est élevé, plus vous avez appliqué d’actions recommandées par Microsoft. Chaque action vaut 10 points ou moins, et une action appliquée à une partie seulement des utilisateurs ou des appareils donne des points partiels.⁴

Activer les paramètres de sécurité par défaut donne d’un coup tous les points de trois actions : l’inscription de tous les utilisateurs à l’authentification multifacteur (neuf points), l’authentification multifacteur exigée pour les rôles d’administration (10 points) et le blocage de l’authentification héritée (sept points).⁴ Microsoft précise que le score résume les contrôles en place et ne mesure pas de façon absolue la probabilité d’une intrusion.⁴

Notre rapport classe les constats selon ce qu’un attaquant utiliserait réellement contre votre bureau et montre l’évolution du score après les correctifs.

Rôles, règles de transfert et partage : là où les prises de contrôle restent discrètes

Une boîte de courriel compromise peut rester inaperçue des semaines, parce que l’intrus se sert de fonctions ordinaires : une règle qui copie les courriels de paiement vers une adresse externe, un compte d’administrateur oublié. Microsoft rappelle qu’un utilisateur peut créer une règle de transfert vers l’extérieur volontairement ou à la suite de la compromission de son compte.⁵

La stratégie anti-courrier indésirable sortant de Microsoft offre trois réglages de transfert. Le réglage par défaut, Automatique - contrôlé par le système, équivaut à « désactivé » pour les nouvelles organisations depuis 2021, mais peut encore équivaloir à « activé » dans certains locataires plus anciens; Microsoft conseille de choisir explicitement « activé » ou « désactivé ».⁵ Nous le mettons à « désactivé », avec les exceptions nommées que vous approuvez.

Côté administration, Microsoft recommande de confier le rôle d’administrateur général à moins de cinq personnes et de garder deux comptes d’accès d’urgence exclusivement infonuagiques pour le jour où tous les autres sont bloqués.³ Le Centre pour la cybersécurité ajoute que les comptes d’administration servent uniquement aux activités de nature administrative, et que les comptes d’administration des services infonuagiques utilisent l’authentification à deux facteurs.¹¹

• Chaque règle de boîte de réception et chaque transfert passés en revue; tout ce que personne ne reconnaît vous est signalé le jour même.
• Administrateurs généraux réduits, comptes d’administration séparés, comptes d’urgence documentés.
• Comptes d’anciens employés fermés, après remise de leurs courriels et fichiers à la bonne personne.
• Journal d’audit confirmé : Audit (Standard) de Microsoft 365 conserve les enregistrements 180 jours, et Google Workspace conserve la plupart des événements de journal généralement 6 mois.⁶¹⁰

Des changements de connexion qui ne bloquent personne

Les changements de connexion suivent un plan écrit, convenu avec vous, dans un ordre qui laisse le bureau travailler. Le plan nomme les personnes touchées, la date de chaque étape et le retour en arrière prévu.

Les vieux appareils sont le piège habituel. Un numériseur qui envoie des documents par courriel, un module comptable ou une vieille application de courriel sur un téléphone peuvent encore se connecter avec un simple mot de passe, et Microsoft demande de vérifier ces protocoles avant de les bloquer.¹ Nous les repérons d’abord. Les stratégies d’accès conditionnel peuvent aussi tourner en mode rapport seul, qui montre qui aurait été bloqué avant toute application.²

Ce que vous avez en main à la fin

À la fin de la revue, vous recevez un rapport sur les réglages de votre locataire, avec des priorités marquées aujourd’hui, ce mois-ci et plus tard, la liste datée de chaque changement effectué, une comparaison avant-après et une note d’une page en langage simple pour la direction. Le rapport vous appartient : vous pouvez le remettre à votre assureur, à votre vérificateur ou à votre prochain fournisseur informatique.

• Rapport de réglages pour Microsoft 365, Google Workspace ou les deux, chaque constat relié à sa source.
• Changements faits selon le plan convenu, avec la date et la personne qui a approuvé chacun.
• Comparaison avant-après, y compris le degré de sécurisation Microsoft s’il s’applique.
• Authentification du courriel par notre service de sécurité du courriel et copies par sauvegarde et reprise après sinistre, lorsque ces volets font partie du mandat.