# Audit de sécurité Microsoft 365 et Google Workspace

Source : https://cybercaribou.com/services/audit-microsoft-365-google-workspace · Cyber Caribou

> Audit de sécurité Microsoft 365 ou Google Workspace : MFA, accès conditionnel, partage et courriel. Accès en lecture seule, rapport priorisé en français.

Pour la plupart des PME, Microsoft 365 ou Google Workspace, c'est le cœur de l'entreprise : courriels, documents, agendas, Teams ou Meet. C'est aussi une cible de choix pour les fraudeurs. Un seul compte compromis suffit pour détourner un paiement ou hameçonner vos clients à partir d'une adresse légitime.

Les réglages par défaut ne sont pas toujours les plus sûrs, et une configuration se dégrade avec les années : anciens administrateurs, exceptions temporaires devenues permanentes, partages oubliés. Notre audit fait le ménage, sans rien modifier à votre environnement.

## Ce que nous vérifions dans Microsoft 365

### Identités et accès (Entra ID)

MFA pour tous les comptes, administrateurs en tête ; politiques d'accès conditionnel ou paramètres de sécurité par défaut ; blocage de l'authentification héritée, ces anciens protocoles qui permettent de contourner le MFA ; nombre d'administrateurs généraux ; consentement des utilisateurs aux applications tierces.

### Messagerie (Exchange Online et Defender)

Audit des boîtes aux lettres activé ; règles de transfert automatique vers l'externe ; politiques antihameçonnage, liens et pièces jointes sécurisés de Defender pour Office 365 ; enregistrements SPF, DKIM et DMARC.

### Partage et journalisation

Partage externe dans SharePoint, OneDrive et Teams ; liens accessibles à « tout le monde » ; accès des invités ; journal d'audit unifié et durée de conservation des journaux.

Notre article sur [l'audit de sécurité Microsoft 365](https://cybercaribou.com/blogue/audit-securite-microsoft-365) détaille les réglages les plus importants.

## Et dans Google Workspace

La logique est la même, avec les outils de Google :

- validation en deux étapes imposée, et clés de sécurité pour les super-administrateurs ;
- nombre de super-administrateurs et séparation des comptes d'administration ;
- contrôle des applications tierces qui ont accès à vos données (API et OAuth) ;
- paramètres de sécurité de Gmail : protection contre l'usurpation, pièces jointes, SPF, DKIM et DMARC ;
- partage externe dans Google Drive et les Drive partagés ;
- journaux d'audit et centre d'alertes.

Pour en savoir plus, lisez notre article sur [l'audit de sécurité Google Workspace](https://cybercaribou.com/blogue/audit-securite-google-workspace).

## Un audit en lecture seule

Nous n'avons pas besoin des clés du royaume. Dans Microsoft 365, votre administrateur nous attribue des rôles comme Lecteur général et Lecteur de sécurité ; dans Google Workspace, un rôle d'administrateur personnalisé limité à la consultation. Les rares vérifications qui demandent davantage de droits se font avec votre administrateur, en séance partagée.

Résultat : aucun risque de modifier un réglage par erreur, et vous gardez le contrôle complet de votre environnement. L'audit se fait entièrement à distance, peu importe où se trouvent vos bureaux au Québec.

## Pourquoi c'est une priorité pour une PME

La compromission de courriel d'affaires est une fraude redoutable pour les PME : un fraudeur accède à une boîte aux lettres, observe les échanges, puis envoie de fausses coordonnées bancaires au bon moment. Notre article sur [la fraude au président](https://cybercaribou.com/blogue/fraude-president-courriel-affaires-compromis) décrit le scénario en détail.

Les questionnaires d'assurance cyber demandent couramment si le MFA est imposé sur la messagerie et les comptes administrateurs. Et vos boîtes aux lettres contiennent des renseignements personnels protégés par la Loi 25. Un environnement bien configuré répond à ces trois enjeux à la fois.

## FAQ

**Lisez-vous nos courriels ou nos documents pendant l'audit ?**
Non. Nous consultons des réglages, des journaux et des listes de comptes, pas le contenu de vos boîtes aux lettres ni de vos fichiers. Les rôles en lecture seule utilisés ne donnent d'ailleurs pas accès au contenu des courriels. L'accès est retiré à la fin du mandat.

**Notre licence Microsoft 365 suffit-elle pour être bien protégés ?**
Plusieurs protections essentielles sont offertes dans toutes les licences, comme les paramètres de sécurité par défaut qui imposent le MFA. D'autres, comme l'accès conditionnel ou Defender pour Office 365, exigent des licences plus avancées, par exemple Business Premium. Le rapport indique ce que vous pouvez faire avec vos licences actuelles et ce qu'un changement apporterait.

**Microsoft et Google ne s'occupent-ils pas déjà de la sécurité ?**
Ils sécurisent leur infrastructure, mais la configuration de votre compte vous revient : qui peut se connecter, de quelle façon, et ce qui peut être partagé à l'externe. C'est le modèle de responsabilité partagée, et c'est précisément votre part que l'audit vérifie.