Le guide du bon audit
de sécurité Microsoft 365
Un audit réussi ne se résume pas à lancer un scan. De la préparation au suivi des corrections, voici la méthode pour obtenir un résultat fiable, défendable et réellement actionnable.
Savoir ce que vous auditez
Un audit sans périmètre clair produit un score ininterprétable. Avant toute chose, listez les services réellement en usage dans votre organisation : identité (Entra ID), annuaire local (Active Directory), Azure, et les services Microsoft 365 activés (Exchange, SharePoint, OneDrive, Teams, Defender, Purview).
Auditer un service que vous n'utilisez pas fausse le résultat : des dizaines de contrôles ressortiront « non conformes » alors qu'ils ne vous concernent pas. À l'inverse, oublier un service en production laisse un angle mort.
Commencez par l'identité (Entra ID / AD). C'est la porte d'entrée de tout le reste : un compte compromis annule la plupart des autres protections.
Un audit en lecture seule, rien de plus
Un audit de sécurité ne doit jamais modifier votre environnement. Les permissions accordées à l'outil d'audit doivent être strictement en lecture seule : il consulte les configurations, il ne les change pas.
Concrètement, pour Microsoft 365, cela passe par une application enregistrée dans Entra ID disposant de permissions Graph de type *.Read.All. Aucune permission d'écriture ne doit être demandée.
Méfiez-vous de tout outil qui réclame des droits d'écriture ou d'administration globale « pour auditer ». Un audit n'en a pas besoin. Le principe du moindre privilège s'applique aussi à l'auditeur.
Sur quelle base juger la conformité
Un contrôle n'a de sens que rapporté à un référentiel reconnu. Les plus utilisés pour Microsoft 365 sont le CIS Microsoft 365 Benchmark, les recommandations de l'ANSSI, le NIST et l'ISO 27001. Ils formalisent ce qu'est une configuration « sûre ».
Mais aucun référentiel générique ne colle parfaitement à votre contexte. Certains contrôles ne s'appliquent pas à vous ; d'autres, secondaires pour le standard, sont critiques chez vous. D'où l'intérêt d'une baseline personnalisée : partir du standard, exclure le hors-sujet, et ajuster la criticité de ce qui compte vraiment.
Tous les contrôles ne se valent pas. On distingue généralement les contrôles fondamentaux (niveau 1), indispensables, des contrôles de renforcement (niveau 2), qui durcissent la posture. Un bon score pondère ces niveaux plutôt que de les compter à égalité.
Un instantané fiable et reproductible
L'exécution doit être automatisée et reproductible. Un audit fait « à la main » via des captures d'écran et des vérifications manuelles est lent, incomplet et impossible à rejouer à l'identique trois mois plus tard.
L'automatisation garantit que chaque audit couvre exactement les mêmes points, dans les mêmes conditions — condition indispensable pour comparer deux audits et mesurer un progrès.
- Chaque contrôle est évalué contre la configuration réelle du tenant.
- Les résultats sont catégorisés : conforme, en avertissement (indéterminé), ou non conforme.
- L'opération n'altère aucune configuration : c'est une simple lecture.
Comprendre ce que dit le chiffre
Un score de conformité n'est utile que si l'on sait ce qu'il mesure. Un simple ratio « X cases cochées sur Y » est trompeur : il met sur le même plan un contrôle critique et un réglage cosmétique.
Un score pondéré par criticité est bien plus parlant : les contrôles fondamentaux pèsent davantage que les contrôles de renforcement. Un contrôle indéterminé (avertissement) compte pour une valeur intermédiaire. Le résultat reflète le risque réel, pas un décompte mécanique.
Regardez le score global, mais surtout le score par référentiel. Un 70 % global peut cacher un service à 40 % qui mérite toute votre attention.
Par quoi commencer
Un audit qui liste 120 non-conformités sans ordre est décourageant et inexploitable. La valeur d'un audit tient à sa capacité à dire par quoi commencer.
La règle : traiter en premier les non-conformités fondamentales (niveau 1), celles qui exposent le plus. Une remédiation concrète doit accompagner chaque point — pas un simple constat, mais l'action à mener et, idéalement, un lien vers la documentation officielle.
- D'abord les contrôles critiques non conformes (impact maximal).
- Ensuite les avertissements, à lever pour clarifier la situation.
- Enfin les contrôles de renforcement, pour durcir la posture.
Deux lectures pour deux publics
Un même audit s'adresse à deux publics aux besoins opposés. La direction et le RSSI veulent une vision synthétique : un score, une tendance, les priorités, le risque global. Les équipes techniques veulent le détail : chaque contrôle, son résultat, sa remédiation.
Un bon rapport sait servir les deux : une synthèse exécutive en tête (page de garde, score, méthodologie, priorités) suivie du détail technique complet. Le tout dans un livrable présentable — pas un tableur brut.
Un score défendable et une méthodologie explicite sont précieux face à un assureur cyber, un auditeur ISO 27001 ou dans le cadre d'une mise en conformité NIS2.
Un audit n'est pas un événement, c'est un cycle
La sécurité d'un environnement Microsoft 365 dérive en permanence : nouveaux comptes, changements de configuration, nouvelles fonctionnalités Microsoft. Un audit unique n'a qu'une valeur limitée dans le temps.
La bonne pratique est de réauditer régulièrement et de suivre l'évolution du score. « Vous étiez à 54 %, vous êtes à 71 % » est une preuve tangible de progrès — bien plus convaincante qu'un état ponctuel.
À quelle fréquence auditer ?
- Trimestriellement pour un suivi de posture standard.
- Mensuellement dans les environnements sensibles ou en phase de remédiation active.
- Après tout changement majeur : migration, nouvelle brique M365, réorganisation des accès.
Passez de la théorie à la pratique
EntraGUARD applique cette méthodologie de bout en bout : 283 contrôles, score pondéré, baselines personnalisées, rapports exécutifs et suivi dans le temps.
Télécharger la démo gratuite