Sécurité dans le cloud : ce que Microsoft protège et ce qui revient à votre charge

7 min de lecture · DataRoad

La sécurité dans le cloud C’est une responsabilité partagée : Microsoft assure l’infrastructure, votre entreprise garantit qui entre, ce qu’elle partage et d’où elle accède. Microsoft ne le cache pas — elle le publie dans la documentation officielle. “ Nos données sont dans Microsoft 365, donc elles sont sécurisées ” est la phrase que nous entendons le plus souvent lors de réunions de diagnostic. Elle a raison quant au bâtiment. Elle a tort quant aux clés.

Le modèle de responsabilité partagée, en français clair

Microsoft décrit trois types de services cloud. Dans le plus complet — le logiciel comme service, ou SaaS — où se trouvent Exchange Online, OneDrive, SharePoint et Teams — Microsoft assume presque toute la pile technique. Mais il existe une phrase qui vaut pour tous les types : le client est toujours propriétaire de ses données et de ses identités.

Identité : la nouvelle façade

Dans le bureau traditionnel, pour accéder aux fichiers, il fallait se connecter à Internet. Dans Microsoft 365, il suffit d'un email et d'un mot de passe, depuis n'importe quel ordinateur du monde. L'identité est devenue la porte d'entrée.

Microsoft propose gratuitement les fonctionnalités de sécurité préconfigurées : elles obligent tous les utilisateurs à enregistrer MFA (le deuxième facteur, généralement une autorisation via téléphone), exigent MFA pour les administrateurs lors de chaque connexion et bloquent les protocoles d’authentification anciens qui ne supportent pas MFA. Elles sont activées par défaut sur de nombreuses comptes créés depuis le 22 octobre 2019, mais pas toutes — et certaines les ont désactivées “ parce qu’elles étaient gênantes ”. Selon Microsoft, MFA et le blocage de l’authentification ancienne freinent plus de 99,9% des attaques courantes contre les identités. Nous détaillons les options dans le document MFA : authentification multifactorielle dans l’entreprise.

Trois questions que l’administration doit pouvoir répondre en quelques minutes :

• Combien d'utilisateurs ont le droit d'administrateur global ? (Il devrait y en avoir deux ou trois, pas dix.)
• Tous les comptes — y compris les comptes partagés et les comptes de service — sont-ils protégés par MFA ou bloqués lors de l’ouverture de session ?
• Les comptes de ceux qui sont partis au cours des 12 derniers mois sont-ils désactivés ?

Configuration et partage externe

Selon la documentation de Microsoft, le partage externe est activé par défaut dans SharePoint et OneDrive pour toute l’organisation. C’est pratique — travailler avec des clients et des partenaires est l’objectif — mais il faut le décider, pas l’hériter.

Le point le plus sensible est les liens de type “ Tout le monde ” : qui reçoit le lien ouvre le fichier sans s’authentifier. Si ce courriel est redirigé, le fichier suit. En pratique, nous recommandons :

• Désactiver les liens “ Toute personne ” ou, si nécessaire, imposer une date d’expiration.
• Permettre la partage uniquement avec des invités ayant authentifié leur compte.
• Limiter le partage externe sur les sites web contenant des données sensibles (financière, ressources humaines, administration).
• Revoir trimestriellement la liste des invités externes et supprimer ceux qui ne travaillent plus pour l'entreprise.

La configuration du courrier électronique mérite un chapitre à part — les redirections automatiques vers d'autres adresses, les règles de boîte aux lettres créées par des pirates, un domaine facile à imiter. Nous avons traité ce sujet en détail dans notre article « Spam ». La sécurité du courrier électronique dans Microsoft 365 : ce qui ne fonctionne pas.

Dispositifs et données

Un portable sans chiffrement, oublié dans un taxi, avec Outlook et OneDrive synchronisés, est une fuite de données à toute vitesse. Microsoft n’administre pas ce portable : la documentation précise expressément que la protection des appareils qui accèdent aux services est du ressort du client. Cela signifie un chiffrement du disque, un système mis à jour, un antivirus géré et, idéalement, des règles empêchant l’accès depuis des appareils ne répondant pas à ces exigences.

En ce qui concerne les données, il y a deux décisions qui relèvent de l'entreprise : ce qui est confidentiel (et qui peut le voir) et la durée de conservation. Le backup fait partie de cette deuxième décision — et n'est pas inclus comme beaucoup de gens le pensent. Nous expliquons pourquoi dans cet article. Microsoft 365 ne sauvegarde pas tout. Les licences comptent également : certaines protections ne sont disponibles que dans certains plans, comme nous l’expliquons dans Licences Microsoft 365 et sécurité.

Liste de contrôle : la partie qui vous appartient

Un cas réel : 50 boîtes aux lettres migrées vers Office 365

Dans l’Union des paroisses de Massamá et de Monte Abraão, DataRoad a migré environ 50 boîtes aux lettres vers Exchange Online, y compris l’historique et l’organisation des dossiers. Le projet n’est pas terminé lors de la migration : les postes de travail et les appareils mobiles ont été réconfigurés et validés, avec l’email, le calendrier et les contacts synchronisés correctement. Dans une entité publique, le passage vers le cloud a également été une manière de renforcer le contrôle, la conservation et l’audit de l’email. Lisez l’histoire de l’affaire Migration vers Office 365 à Massamá et à Monte Abraão.

Dans DataRoad, la gestion des données Microsoft 365 pour les entreprises — Comptes, MFA, partage, appareils — fait partie des plans IT Unlimited. Non Plan Essential, Avec 10 postes, le support est à distance et par téléphone, ce qui couvre presque toutes ces tâches ; les déplacements sur place sont pris en charge séparément.

Foire aux questions

Microsoft est-il responsable si un compte de mon entreprise est attaqué ?

En règle générale, non. Selon le modèle de responsabilité partagée de Microsoft, les comptes, les accès et la MFA sont la responsabilité du client. Microsoft est responsable de la sécurité de la plateforme ; ceux qui s’y connectent avec un mot de passe volé y entrent par la porte que l’entreprise contrôle.

Les préconfigurations de sécurité arrivent ?

Pour de nombreuses PME, elles constituent un bon point de départ et ne nécessitent pas de frais supplémentaires. Les entreprises disposant de licences incluant un accès conditionnel bénéficient de règles plus strictes — par exemple, l’exigence d’équipement géré ou le blocage des sessions de connexion à partir de certains pays.

Inactiver le partage externe ne va-t-il pas compromettre le travail avec les clients ?

Il n'est pas nécessaire de désactiver tout. L'équilibre habituel consiste à permettre la partage avec des invités ayant authentifié leur identité, à bloquer ou à limiter les connexions anonymes et à fermer le partage externe uniquement sur les sites web contenant des données sensibles.

De combien de temps en temps devons-nous réviser la configuration ?

Un audit complet trimestriel et une vérification rapide chaque fois que quelqu'un entre ou quitte l'entreprise. La configuration de la cloud change sans que personne ne s'en rende compte : nouvelles fonctionnalités, nouveaux invités, nouvelles exceptions.

Régénération de sécurité de Microsoft 365 en 5 jours ouvrables

Nous avons vérifié la partie qui vous concerne — comptes, MFA, administrateurs, partage externe, redirections, appareils et sauvegarde — et avons présenté la liste des corrections par ordre de risque. Pour les entreprises avec plus de 10 postes · contrat d'assistance · support distant, local et téléphonique.

Sources

• Microsoft Learn — Une responsabilité partagée dans le cloud
• Microsoft Learn — Les paramètres de sécurité par défaut dans Microsoft Entra ID
• Microsoft Learn — Vue d’ensemble de la partage externe (SharePoint et OneDrive)