On installe Microsoft 365 dans l’enthousiasme : messagerie fluide, fichiers accessibles partout, collaboration en temps réel. Mais une fois la phase de déploiement terminée, beaucoup de PME baissent la garde. Erreur. Le vrai travail commence juste après, quand les réglages par défaut persistent, les anciens collaborateurs gardent des accès, et les menaces évoluent en silence. Ce n’est plus de l’informatique, c’est de la gouvernance - et elle se joue dans les détails que personne ne voit.
Pourquoi le paramétrage initial de Microsoft 365 PME se dégrade
Après le déploiement, l’urgence opérationnelle reprend le dessus. On forme les équipes, on migre les données, on répond aux premiers bugs - et très vite, la sécurité passe au second plan. Pourtant, les configurations temporaires deviennent vite définitives. Un compte d’administrateur créé à la hâte pour résoudre un problème ? Il reste actif. Un partage externe accordé en urgence ? Il n’expire jamais. Sans revue régulière, ces petits écarts s’accumulent, créant ce qu’on appelle une dette technique silencieuse.
L'accumulation silencieuse de la dette technique
Chaque réglage mal ajusté, chaque accès non révoqué, chaque politique de rétention ignorée ajoute une couche à cette dette. Elle est invisible, mais elle pèse lourd en cas d’incident. Et plus on attend pour la corriger, plus la correction est coûteuse - en temps, en risques, en confiance.
Le turn-over et les accès résiduels
Le départ d’un collaborateur est un moment critique souvent négligé. Selon les retours terrain, environ deux tiers des accès cloud restent actifs après un départ si aucun processus n’est automatisé. Cela signifie que des comptes dormants, encore capables d’accéder à des données sensibles, peuvent traîner des mois dans votre environnement. Un simple stage de trois mois peut laisser derrière lui un accès oublié - et potentiellement exploitable.
L'évolution constante des menaces
Microsoft 365 n’est pas figé. Microsoft met régulièrement à jour ses protocoles, ses outils de sécurité, ses options de partage. Une configuration jugée sécurisée il y a un an peut aujourd’hui présenter des failles. Les attaquants ne cessent d’adapter leurs méthodes, et si vous ne le faites pas aussi, vous prenez du retard. La cybersécurité, c’est un marathon, pas un sprint.
Audit des identités : les droits et accès à revoir
Limiter le nombre d'administrateurs globaux
Le compte administrateur global est la clé de tout. Or, plus il y en a, plus le risque augmente. Une erreur de manipulation, un compte compromis, et c’est tout l’environnement qui vacille. La règle d’or ? Ne jamais dépasser deux administrateurs globaux actifs, et les désigner parmi les profils les plus fiables. Ce n’est pas une question de confiance, mais de surface d’attaque.
Généralisation du MFA et gestion des comptes dormants
L’authentification multi-facteurs (MFA) n’est plus une option : elle est devenue une base de l’hygiène informatique. Pourtant, beaucoup de comptes, surtout chez les utilisateurs occasionnels ou les anciens collaborateurs, en sont encore dépourvus. Pire : certains comptes restent actifs alors que leurs titulaires ont quitté l’entreprise depuis des mois. La règle est simple : tout compte inactif depuis plus de 90 jours doit être désactivé. Automatisez cette vérification si possible.
| 🔐 Type de compte | 👤 Nombre conseillé | ✅ MFA obligatoire | 🔄 Fréquence de revue |
|---|---|---|---|
| Administrateur global | 1 à 2 maximum | Oui, sans exception | Trimestrielle |
| Utilisateur standard | Illimité | Oui, recommandé | Semestrielle |
| Accès invité (externe) | Limité au besoin | Non applicable | Mensuelle |
Partage externe, conservation et sauvegarde des données
Maîtriser SharePoint et Teams
Le partage de fichiers via SharePoint ou Teams est pratique, mais dangereux s’il n’est pas encadré. Par défaut, un lien de partage peut être accessible à n’importe qui, sans expiration. Résultat ? Un fichier confidentiel peut traîner des mois en ligne, consultable par n’importe qui disposant du lien. Pour éviter cela, imposez des règles strictes : expiration automatique des liens, restriction aux utilisateurs authentifiés, et interdiction de créer des équipes ou des sites sans validation. Le partage libre, c’est le chaos organisé.
Mettre en place une revue trimestrielle simplifiée
La responsabilité partagée de la sauvegarde
Une idée reçue tenace : Microsoft sauvegarde vos données. Faux. Microsoft assure la disponibilité de ses services, mais la sauvegarde des données incombe à l’entreprise - c’est le principe de responsabilité partagée. Sans solution tierce, une suppression accidentelle ou un ransomware peut effacer des mois de travail en quelques clics. Un outil de sauvegarde granulaire, capable de restaurer un seul email ou un seul fichier, est indispensable.
Planification et documentation
Pour éviter l’oubli, planifiez une revue trimestrielle simple mais complète. Elle doit couvrir :
- Vérification des comptes actifs et désactivation des inactifs
- État du MFA sur tous les comptes
- Audit des partages externes et de leurs durées
- Nettoyage des droits dans Teams et SharePoint
- Contrôle des quotas de stockage et des alertes non résolues
Documenter cette revue est tout aussi important : cela prouve votre vigilance en cas de contrôle RGPD ou d’audit interne.
Externaliser le pilotage de votre infrastructure cloud
Le recours à un prestataire spécialisé
Si cette gestion vous prend trop de temps, sachez que faire appel à un expert n’est pas un aveu de faiblesse, mais une stratégie intelligente. Des structures comme Easy Service Informatique proposent un accompagnement complet sur la gouvernance de Microsoft 365. Easy Service Informatique détaille son accompagnement des environnements Microsoft 365 sur cette page https://conseils-en-cybersecurite.fr/internet/microsoft-365-pme-les-reglages-de-gouvernance-souvent-oublies-apres-le-deploiement.php. Elles aident à mettre en place des processus, à automatiser les revues et à sécuriser l’environnement sans surcharger les équipes internes.
Avantages d'un suivi proactif
Un suivi externe régulier, c’est de la tranquillité d’esprit. Cela permet de se concentrer sur le cœur de métier tout en garantissant une conformité continue. Et surtout, cela évite les corrections d’urgence après un incident. La prévention, c’est moins cher que la réparation.
Les questions et réponses fréquentes
Que faire si un ancien stagiaire a encore accès à ses fichiers OneDrive ?
Il faut désactiver immédiatement le compte et transférer ou archiver les données nécessaires. Laisser un accès dormant, même pour un stagiaire, expose à une fuite de données passive. Une vérification systématique après chaque départ est indispensable pour éviter ce type de situation.
Comment configurer le MFA pour un employé qui n'a pas de téléphone pro ?
Le MFA ne dépend pas forcément d’un smartphone. On peut utiliser des méthodes alternatives comme une clé de sécurité physique (type YubiKey), des codes de secours imprimés ou une application d’authentification sur un téléphone personnel. L’important est d’activer cette couche de sécurité, quel que soit l’appareil utilisé.
Quelles sont les obligations légales de conservation des emails ?
Les obligations varient selon les secteurs, mais en général, les entreprises doivent conserver certains emails entre 1 et 6 ans, notamment pour des raisons fiscales ou contractuelles. Microsoft 365 Standard ne gère pas cette conformité automatiquement : il faut configurer des politiques de rétention ou recourir à des outils complémentaires.