Sécurisation de Microsoft 365 / Office 365

Microsoft 365 Business Premium pour les PME jusqu’à 300 utilisateurs. Il ajoute à Business Standard tout le socle sécurité : Entra ID P1 (Conditional Access), Intune, Defender for Office 365 P1, Sensitivity Labels. Business Basic (apps web uniquement) et Business Standard (apps de bureau) n’incluent ni Conditional Access, ni Intune, ni Defender for Office 365. Au-dessus de 300 utilisateurs : E3 + add-on E5 Security, ou directement E5.

Pour 25 à 100 utilisateurs : 8 à 12 jours-homme étalés sur 2 à 3 semaines. Au-delà : ajouter environ 1 jour par tranche de 50 users supplémentaires. Ce n’est pas proportionnel à la taille, car le travail porte principalement sur la configuration du tenant, pas sur les utilisateurs.

Oui. Prévenez-les deux semaines avant, puis une semaine avant et la veille. Fournissez un tutoriel d’enrôlement Microsoft Authenticator (5 minutes). Idéalement, organisez une courte session en direct (30 minutes) pour expliquer la démarche et répondre aux questions. Les réticences viennent surtout d’un manque d’explication, pas de l’outil.

Deux options : (1) lui demander un audit Secure Score documenté et un plan de remédiation, (2) faire réaliser un audit indépendant (3 jours) pour valider l’état des lieux et identifier les écarts. Les partenaires IT généralistes n’ont pas tous une expertise poussée en sécurité M365, ce qui se comprend vu l’étendue du sujet.

Security Defaults (gratuit, simple) si vous avez moins de 100 utilisateurs et un usage standard. Conditional Access (Entra ID P1, inclus dans Business Premium) dès que vous avez besoin de finesse : exclusions, contextes, scénarios métier. Conditional Access remplace Security Defaults, il ne s’y ajoute pas.

Les boîtes partagées sont des comptes utilisateur sans licence dédiée. Les accès se font via les comptes des utilisateurs, pas via un mot de passe propre. Important : (1) bloquer la connexion directe sur ces comptes (Block sign-in), (2) auditer les accès, (3) ne pas les utiliser comme adresse d’expédition automatique sans validation.

Oui, sauf besoin métier avéré. Les protocoles hérités n’acceptent pas la MFA : tout compte qui les autorise reste vulnérable, même avec la MFA partout ailleurs. Le blocage se fait par une politique Conditional Access « Block Legacy Authentication ». Vérifiez d’abord que personne n’utilise un client mail ancien (Outlook 2010, Thunderbird sans authentification moderne).

Microsoft retire progressivement l’authentification basique, y compris SMTP AUTH. Privilégier Graph API avec permissions applicatives (OAuth 2.0) pour l’envoi applicatif, ou un service de relais dédié. Documenter chaque compte de service, le surveiller via les audit logs, et le revoir au moins une fois par an.