Sécuriser son Microsoft 365 : guide pour PME belges

Microsoft 365 est la cible n°1 des attaques par phishing et compromission de comptes en Europe. Par défaut, un nouveau tenant M365 est loin d'être suffisamment sécurisé. Voici les 7 étapes que nous appliquons systématiquement chez nos clients.

Étape 1 : Activer le MFA pour tous les utilisateurs

Le Multi-Factor Authentication (MFA) bloque 99,9% des attaques de compromission de comptes selon Microsoft. C'est la mesure la plus impactante, et elle est incluse dans toutes les licences M365.

• › Via Security Defaults : activez-les dans Azure AD → Properties → Manage Security Defaults. Idéal pour les petites structures sans politique d'accès conditionnel.
• › Via Conditional Access (recommandé, nécessite P1) : créez une règle Require MFA for all users avec des exclusions pour les comptes de service.
• › Application recommandée : Microsoft Authenticator (push notification, plus sécurisé que SMS).

Étape 2 : Configurer les politiques d'accès conditionnel

Le Conditional Access (Azure AD P1, inclus dans Business Premium) permet de définir des règles précises : qui peut se connecter, depuis où, avec quel appareil.

• › Bloquer les connexions depuis les pays à risque : limitez l'accès aux pays où votre équipe travaille réellement.
• › Exiger un appareil compliant : couplé à Intune, seuls les appareils gérés peuvent accéder aux données.
• › Bloquer les protocoles legacy : désactivez IMAP, POP3 et SMTP de base — ils ne supportent pas le MFA.

Étape 3 : Protéger les comptes administrateurs

• › Créez des comptes administrateurs dédiés ([email protected]) distincts des comptes quotidiens.
• › N'utilisez jamais le compte Global Admin pour les tâches courantes.
• › Activez Privileged Identity Management (PIM) si vous avez Azure AD P2 : les droits admin sont accordés à la demande, pour une durée limitée.
• › Configurez des alertes sur les connexions des comptes admin (Microsoft Sentinel ou les alertes natives d'Azure AD).

Étape 4 : Activer Microsoft Defender for Office 365

Defender for Office 365 (inclus dans Business Premium) ajoute des couches de protection cruciales :

• › Safe Links : chaque URL dans les emails est analysée en temps réel au clic.
• › Safe Attachments : les pièces jointes sont ouvertes dans un sandbox avant livraison.
• › Anti-phishing : protection contre l'usurpation d'identité et l'impersonation.
• › Attack Simulator : envoyez de faux emails de phishing à vos collaborateurs pour les former.

Étape 5 : Configurer la protection des données (DLP)

La Data Loss Prevention (DLP) empêche l'envoi accidentel ou malveillant de données sensibles par email ou via SharePoint/Teams.

• › Créez des règles pour détecter les numéros de registre national belge, numéros IBAN, données de cartes de crédit.
• › Configurez des actions : bloquer l'envoi externe, notifier l'utilisateur, alerter le compliance officer.
• › Commencez en mode test (audit only) pendant 2 semaines avant d'activer le blocage.

Étape 6 : Gérer les appareils avec Intune

Microsoft Intune (inclus dans Business Premium) permet de gérer et sécuriser tous les appareils accédant à vos données M365 : PC Windows, Mac, iPhone, Android.

• › Inscrivez les appareils de l'entreprise dans Intune (enrollment automatique via Azure AD join).
• › Déployez des Compliance Policies : chiffrement BitLocker obligatoire, PIN d'écran, version OS minimale.
• › Activez le wipe à distance : en cas de vol ou perte d'un appareil, effacez les données professionnelles à distance.

Étape 7 : Activer l'audit et les alertes

• › Activez le journal d'audit unifié dans le portail de conformité M365.
• › Configurez des alertes sur les activités suspectes : connexions impossibles (depuis deux pays en 1h), téléchargements massifs, modifications des règles de boîte mail.
• › Exportez les logs vers un SIEM si vous avez des exigences de rétention légales (NIS2, ISO 27001).