1. Protégez chaque identité
Activez les paramètres de sécurité par défaut (Security Defaults) pour un petit tenant lorsqu'ils sont appropriés, ou utilisez des politiques d'accès conditionnel (Conditional Access) bien conçues lorsque les licences et les besoins opérationnels le justifient. Appliquez la MFA, protégez les rôles administratifs et bloquez l'authentification héritée (legacy authentication).
Maintenez au moins deux comptes d'accès d'urgence soigneusement contrôlés et surveillez leur utilisation. Les administrateurs devraient utiliser des comptes privilégiés distincts plutôt que de lire leur courriel ou de naviguer avec une identité administrative.
2. Contrôlez le cycle de vie de l'accès
Utilisez un processus documenté d'arrivée, de mutation et de départ des employés. Retirez rapidement les utilisateurs partis, révisez les comptes invités et examinez régulièrement les attributions de rôles privilégiés. Évitez les exceptions permanentes aux politiques de MFA ou d'accès; lorsque des exceptions sont nécessaires, attribuez un responsable et une date d'expiration ou de révision.
3. Renforcez la protection du courriel et du domaine
Configurez le SPF, le DKIM et le DMARC pour chaque domaine d'envoi. Révisez les politiques antihameçonnage, antipourriel et contre les logiciels malveillants. Protégez les utilisateurs à risque élevé, comme les finances, les administrateurs et la haute direction, avec des contrôles plus robustes et une formation de sensibilisation spécifique.
4. Sécurisez les points de terminaison
Sachez quels appareils accèdent aux renseignements de l'entreprise. Appliquez des systèmes d'exploitation pris en charge, des mises à jour de sécurité automatiques, le chiffrement de disque, le verrouillage d'écran et la protection des points de terminaison. Pour les appareils personnels, définissez quelles données peuvent être consultées et quels contrôles de gestion ou de protection des applications s'appliquent.
5. Protégez SharePoint, OneDrive et Teams
Révisez les paramètres par défaut de partage externe, les liens anonymes, l'accès invité et les sites sensibles. Utilisez la méthode de partage la moins permissive qui soutient tout de même l'entreprise. Assurez-vous que les fichiers importants disposent d'une stratégie de récupération indépendante adaptée aux besoins de l'organisation.
6. Activez la journalisation et la visibilité de la réponse
Confirmez que la journalisation d'audit est offerte et conservée pendant la période requise. Révisez les connexions à risque, les règles de boîte de réception inhabituelles, le transfert inattendu, les changements privilégiés et le consentement aux applications. Établissez qui recevra et enquêtera sur les alertes.
7. Mesurez sans courir après un pointage
Le Microsoft Secure Score peut aider à cerner les actions recommandées, mais le pointage n'est pas une preuve que l'entreprise est sécurisée. Priorisez les actions selon l'exposition réelle, les licences, la compatibilité et l'impact opérationnel. Consignez les risques acceptés et les contrôles compensatoires.
8. Testez le processus opérationnel
Effectuez une révision d'accès trimestrielle, un exercice de compromission de boîte de réception et un test de restauration de fichiers. Une configuration sécuritaire que personne ne surveille ni ne teste se dégrade en silence.