La check-list d'évaluation de sécurité Microsoft 365 pour les MSP

Les évaluations de sécurité comptent parmi les services les plus faciles à vendre pour un MSP — et les plus difficiles à livrer avec profit. L'équation économique ne fonctionne que si l'évaluation est standardisée, répétable et largement automatisée. Voici la check-list, et comment la transformer en un service qui passe l'échelle au-delà d'une poignée de clients.

Pourquoi la plupart des évaluations MSP ne passent pas l'échelle

La première évaluation se passe bien. Vous connaissez le client, vous passez deux jours dans les portails d'administration, vous rédigez un rapport correct et le client est content. C'est la dixième qui casse : chaque évaluation est légèrement différente, les constats dépendent de qui a fait le travail, le rapport prend aussi longtemps à écrire que la revue à mener, et personne ne peut dire si le client A est réellement en meilleure forme que le client B parce qu'ils ont été évalués différemment.

Trois contraintes doivent être satisfaites pour en faire une vraie ligne de service : la cohérence entre clients et entre techniciens, la vitesse, pour que le coût de main-d'œuvre ne mange pas la marge, et un livrable sur lequel le client agira plutôt que de le classer.

La check-list

Organisée selon là où le risque se concentre réellement, pas selon le portail dans lequel vous vous trouvez.

Identité et accès — Entra ID

• Application du MFA : couverture de tous les utilisateurs, et spécifiquement de chaque rôle privilégié. Notez les groupes d'exclusion — c'est là que la couverture meurt en silence.
• Authentification héritée : bloquée, et confirmée dans les journaux de connexion avant blocage.
• Nombre d'Administrateurs généraux, et accès privilégié permanent ou just-in-time.
• Jeu de stratégies d'accès conditionnel : stratégies de base présentes, portails d'administration protégés, aucune stratégie en mode rapport seul que tout le monde croit appliquée.
• Comptes break-glass : existent, exclus à bon escient, documentés, surveillés.
• Accès invité et réglages de collaboration externe.
• Libre-service : enregistrement d'applications, consentement utilisateur aux applications tierces, droits d'invitation d'invités.
• Comptes dormants, principaux de service inutilisés, identifiants proches de l'expiration.

Active Directory on-premises

Sautez cette partie et votre évaluation couvre la moitié du parc. Pour tout client avec un domaine :

• Appartenance aux Domain Admins et Enterprise Admins — taille et justification.
• Délégation, en particulier la délégation non contrainte.
• Hygiène Kerberos, dont l'âge du mot de passe krbtgt et les comptes de service porteurs de SPN à mots de passe faibles.
• Politique de mots de passe et de verrouillage, et politiques granulaires pour les comptes privilégiés.
• Comptes dont le mot de passe n'expire jamais, chiffrement réversible, ou longue inactivité tout en restant activés.
• Approbations de domaine et de forêt — lesquelles existent, et si quelqu'un en a encore besoin.

Azure

• Affectations Owner et Contributor au niveau abonnement ou groupe d'administration.
• Ressources exposées publiquement : comptes de stockage, bases de données, points de terminaison de gestion.
• Couverture Defender for Cloud sur les abonnements portant de vraies charges de travail.
• Politiques d'accès des key vaults et protection contre la purge.

Collaboration et messagerie

• Transfert automatique vers des destinataires externes — l'élément le plus précieux de cette liste.
• Réglages par défaut du partage externe SharePoint et OneDrive, et toute surface « toute personne disposant du lien ».
• Accès invité Teams et stratégies de réunion.
• Stratégies de menaces Defender : safe links, safe attachments, anti-hameçonnage.

Journalisation et preuves

• Journal d'audit unifié activé — vérifiez, ne supposez pas.
• Rétention des journaux de connexion et d'audit d'annuaire, et export éventuel vers une rétention plus longue.
• Audit des boîtes aux lettres.

Transformer la check-list en service

Standardisez avant de passer l'échelle

Définissez une seule méthodologie d'évaluation et appliquez-la à chaque client. Dès que deux techniciens évaluent différemment, vos comparaisons à travers la base clients perdent leur sens et vos rapports cessent de ressembler à un produit. Ancrez la méthodologie à un référentiel reconnu — les benchmarks CIS sont l'ajustement naturel pour les environnements Microsoft — pour que les constats portent une référence externe plutôt que l'opinion de votre technicien.

Prévoyez la variation par client, délibérément

Les clients diffèrent. Certains n'utilisent pas du tout un service ; certains ont un contrôle réellement hors périmètre ; d'autres ont des exigences plus strictes que le standard. Traitez cela avec une baseline documentée par client plutôt que des arbitrages au cas par cas, pour que les exclusions soient visibles dans le rapport au lieu de rester dans la tête de quelqu'un. Les baselines personnalisées empêchent aussi les constats sans pertinence d'enterrer ceux qui comptent.

Faites du livrable le produit

Le rapport est ce que le client paie. Il lui faut un score suivi dans le temps, des constats classés par criticité plutôt que listés par service, une étape de remédiation pour chacun, et une référence de référentiel pour que la recommandation ne repose pas que sur votre parole. Le passer en marque blanche à votre branding compte plus qu'il n'y paraît — c'est votre service, pas la sortie d'un outil.

Vendez la cadence, pas le ponctuel

Une évaluation unique est une transaction. La version récurrente est le business : ré-évaluation trimestrielle, avec la tendance du score comme preuve de valeur. Elle résout aussi la conversation gênante où vous livrez des constats sans jamais savoir si quelque chose a été corrigé. Quand le rapport suivant montre le score passé de 54 % à 78 %, la valeur de la mission est évidente — comme l'argument pour la renouveler.

Surveillez la frontière lecture seule

Évaluation et remédiation sont des missions différentes aux profils de risque différents. Mener une évaluation qui ne peut pas modifier le tenant d'un client est à la fois plus sûr et plus facile à vendre : vous ne demandez pas un accès en écriture à leur système d'identité de production pour leur dire ce qui ne va pas dedans.

Une économie réaliste

La variable qui décide de la rentabilité de cette ligne est le nombre d'heures de technicien par évaluation. Une revue manuelle dans une douzaine de portails pour un tenant de taille moyenne est un travail de plusieurs jours, et les travaux de plusieurs jours mettent le service hors de portée des petits et moyens clients que la plupart des MSP servent réellement. Automatiser la collecte de données et la génération de rapports fait passer l'évaluation d'un projet sur mesure à un livrable répétable — et vous permet de l'offrir à toute la base clients plutôt qu'aux trois plus gros comptes.