Audit Microsoft 365 pour PME : les points à vérifier

Un tenant Microsoft 365 peut fonctionner correctement au quotidien tout en restant fragile. C’est fréquent dans les PME : la messagerie a été configurée en premier, Teams est arrivé ensuite, des sites SharePoint ont été créés progressivement, et certaines règles historiques ne sont plus vraiment documentées.

L’objectif d’un audit n’est pas de produire un rapport théorique. Il sert à identifier les risques concrets, les corrections prioritaires et les décisions à prendre.

1. Les accès et les comptes administrateurs

Les comptes administrateurs sont un des premiers points à vérifier.

Un audit doit regarder notamment :

• les comptes disposant de rôles élevés ;
• l’usage ou non d’un compte administrateur séparé ;
• l’activation cohérente du MFA ;
• les méthodes d’authentification autorisées ;
• les comptes inutilisés, invités ou historiques ;
• les exceptions qui ne sont plus justifiées.

Le but est simple : réduire les accès trop larges et éviter qu’un compte compromis donne accès à tout l’environnement.

2. Exchange Online et la messagerie

La messagerie est souvent le premier vecteur d’incident. Elle doit être contrôlée avec attention.

Les points typiques :

• SPF, DKIM et DMARC ;
• connecteurs Exchange ;
• règles de transport ;
• transferts externes ;
• boîtes partagées ;
• délégations ;
• alias ;
• anti-spam et anti-phishing.

Une règle Exchange oubliée ou un transfert externe non maîtrisé peut créer un risque réel.

3. SharePoint, OneDrive et Teams

Les données ne sont plus uniquement dans les boîtes mail. Elles sont souvent réparties dans Teams, SharePoint et OneDrive.

Il faut vérifier :

• les liens de partage anonymes ou externes ;
• les droits sur les sites ;
• les équipes créées sans gouvernance ;
• les groupes Microsoft 365 ;
• les données sensibles exposées trop largement ;
• les propriétaires réels des espaces.

Conclusion

Pour une PME, Microsoft 365 est souvent devenu central : messagerie, fichiers, accès, collaboration et parfois sécurité. Un audit permet de reprendre le contrôle sans repartir de zéro.