Le constat alarmant : 90 % des tenants Microsoft 365 sont vulnérables
Microsoft 365 est utilisé par plus de 80 % des PME parisiennes. Mais selon une étude CrowdStrike 2025, 9 tenants sur 10 n'ont pas activé les protections de base : MFA non obligatoire, accès legacy ouverts, partage anonyme illimité, journalisation désactivée. Résultat : 1 compromission de compte M365 toutes les 39 secondes dans le monde.
Étape 1 : activer Security Defaults (ou mieux, Conditional Access)
Pour les licences Business Basic / Standard : activez les Security Defaults dans Entra ID. MFA obligatoire pour tous, blocage des protocoles legacy (POP, IMAP, SMTP basic auth).
Pour les licences Business Premium : désactivez les Security Defaults et configurez l'accès conditionnel granulaire :
- MFA obligatoire hors réseau d'entreprise
- Blocage des connexions depuis pays à risque
- Conformité device (Intune) requise pour accéder aux données sensibles
- Session limitée à 8 h pour les utilisateurs privilégiés
Étape 2 : déployer Defender for Office 365 Plan 2
Inclus dans Business Premium. Active : Safe Links, Safe Attachments (détonation sandbox), anti-phishing avec ML, simulations d'attaque. Bloque 99,9 % des emails malveillants avant la boîte de réception.
Étape 3 : DLP et étiquettes de confidentialité
Configurer des stratégies DLP pour bloquer l'envoi d'IBAN, numéros de carte bancaire, numéros de sécurité sociale par email externe. Indispensable pour la conformité RGPD et pour les cabinets d'avocats ou professions de santé.
Étape 4 : sauvegarde tierce de M365
Microsoft ne sauvegarde pas vos données au sens propre — la rétention par défaut est de 30 à 93 jours selon le service. Utilisez Veeam Backup for Microsoft 365 ou Acronis pour conserver Exchange, SharePoint, OneDrive et Teams sur 7 ans minimum. Budget : 3 à 5 €/utilisateur/mois.
Étape 5 : auditer et alerter
Activer Microsoft Purview Audit (Premium pour 1 an de rétention). Configurer des alertes sur : création de règles de transfert email, élévation de privilèges, partage externe massif, connexions impossibles (Paris puis Tokyo en 1 h).
Checklist 12 points à vérifier ce mois-ci
- MFA activé pour 100 % des comptes
- Comptes admin séparés (jamais de boîte mail)
- Protocoles legacy bloqués
- Accès conditionnel configuré (Business Premium)
- Defender for Office 365 actif
- Sauvegarde tierce en place
- Rétention Purview ≥ 1 an
- Politique de partage SharePoint restreinte
- Étiquettes de sensibilité déployées
- Microsoft Secure Score > 70 %
- Formation utilisateurs trimestrielle
- Revue trimestrielle des accès
Cas concrets Paris
Migration sécurisée M365 pour PME du 8e, déploiement Intune complet dans le 15e, mise en conformité RGPD cabinet médical du 7e. Témoignages : secteur santé, startups tech.
Audit Microsoft 365 gratuit
Nous calculons votre Microsoft Secure Score et livrons un plan d'action priorisé en 48 h. Découvrir notre offre M365 — ☎ 01 88 61 55 55.