Mais si Microsoft 365 est aujourd’hui la suite de productivité bureautique préférée des entreprises, il reste aussi un vecteur important que les hackers exploitent massivement pour diffuser des malwares. En effet, très populaire auprès des acteurs malveillants, Microsoft 365 est souvent la cible de cyberattaques en tous genres. Et selon une étude, Microsoft figure parmi les marques les plus usurpées par les attaques de phishing, notamment à cause de son produit Microsoft 365, qui est une plateforme multi-systèmes regroupant plusieurs applications de messagerie, des solutions de stockage de fichiers susceptibles d’héberger des données sensibles.
Bien que M365 soit équipé de fonctionnalités de sécurité natives, les experts le pointent cependant du doigt pour son niveau sécurité qui reste encore peu fiable. Cela oblige les entreprises d’être plus prudentes et aussi de prendre des mesures supplémentaires pour renforcer sa sécurité, notamment en investissant sur des solutions de sécurité spécialement conçues pour M365.
Musclez la sécurité de Microsoft 365, car c’est capital ! Découvrez dans cet article comment précisément vous pouvez faire pour améliorer la sécurité de Microsoft 365.
Accès rapide (Sommaire) :
Microsoft 365, une plate-forme indispensable pour de nombreuses entreprises
« Microsoft Office 365 » fait référence aux produits de la suite Office 365. La suite Office 365 est une série d’outils collaboratifs publiés par Microsoft pour faciliter le travail. Ceux-ci incluent Microsoft Exchange, SharePoint, OneDrive, Microsoft Word, Microsoft Teams et Microsoft Excel. Ces outils sont tous conçus pour fonctionner ensemble.
Mais bien que ces outils soient conçus et développés pour fonctionner sur Windows, en réalité ils n’en ont pas besoin, car ils sont basés sur le cloud et accessibles en ligne. La suite Office 365 est également accessibles sur différentes plates-formes, telles que les appareils iOS, les appareils Android, les ordinateurs Mac et aussi les ordinateurs Linux.
Quant à « Microsoft 365 », il désigne à la fois la suite d’outils collaboratifs Office 365 et tout l’écosystème global de Microsoft 365, qui inclut notamment le système d’exploitation Microsoft Windows et Enterprise Mobility Suite (EMS). Pour information, EMS se compose de trois produits (Microsoft Azure Active Directory Premium, Microsoft Intune et Microsoft Azure Rights Management Services) et permet aux entreprises de gérer à la fois les identités, les équipements, les applications et les données.
Pour beaucoup d’entreprises, Microsoft 365 est une plateforme indispensable et ce pour de nombreuses raisons. Il y a d’abord ses nombreuses fonctionnalités intégrées qui permettent de réduire les coûts de nombreuses solutions de communication et de collaboration externes. S’abonner à Microsoft 365, c’est en effet accéder à une multitude d’outils.
Il y a notamment aussi la raison liée à l’infrastructure. Les produits fournis avec Microsoft 365 sont hébergés sur Azure, la plateforme applicative en nuage de Microsoft, ce qui élimine pour les entreprises le besoin d’une infrastructure locale étendue, difficile et couteuse à gérer.
Le paysage de la sécurité M365
Les entreprises comptent énormément sur Microsoft 365 et pas seulement les applications de messagerie, de collaboration et de productivité, mais aussi les précieuses données produites par les employés qui utilisent toutes ces applications.
Statista, un portail en ligne allemand offrant des statistiques issues de données d’instituts, estime qu’en 2022 plus d’un million d’entreprises à travers le monde utilisent Microsoft 365 comme suite de productivité essentielle. L’application de chat Teams de M365 compterait par exemple près de 250 millions d’utilisateurs.
Cette popularité de la plateforme Microsoft 365 auprès des entreprises, en particulier des petites et moyennes entreprises, en fait également une cible de choix pour les cyberattaques, surtout qu’elle présente régulièrement de nombreuses nouvelles failles de niveau critique. En 2021 par exemple, selon une étude faite par BeyondTrust, une société américaine qui développe, commercialise et prend en charge une famille de produits de gestion des identités/accès privilégiés, Windows 10 a connu 60 vulnérabilités critiques, bien qu’il ait été présenté comme le système d’exploitation Windows le plus sécurisé à ce jour lors de sa sortie.
En ce qui concerne Microsoft Office 365, le danger est moins important, mais existe toujours. 66 Vulnérabilités au total pour Microsoft Office en 2021, dont seulement 1 était une vulnérabilité critique.
Pour finir, M365 inclut aussi Azure et Dynamics 365. En 2021, Azure représentait 30 vulnérabilités au total et 5 vulnérabilités critiques, toujours selon l’étude faite par BeyondTrust.
La sécurité native de Microsoft n’offre qu’une protection limitée
Microsoft 365 intègre un certain nombre de composants de sécurité que les utilisateurs peuvent activer et configurer pour bénéficier d’une sécurité plus renforcée. Il y a notamment l’authentification multifacteur (MFA), Azure Active Directory (un service d’identité d’entreprise fournissant une authentification unique à plusieurs facteurs), Intune (un service basé sur le cloud qui se concentre sur la gestion des périphériques mobiles), BitLocker pour le chiffrement de données et plus encore.
Seulement, malgré tous ces composants de sécurité, « la sécurité native de Microsoft n’offre qu’une protection limitée, laissant passer les spams, le phishing, la fraude par e-mail et les ransomwares » a déclaré Loïc Guézo, directeur stratégie cybersécurité SEMEA au sein de Proofpoint sur le site solutions-numeriques.com.
Evidemment, Loïc Guézo n’est pas le seul expert à faire ces constats. Le souci de renforcer la protection de Microsoft 365 se manifesterait aussi chez la plupart des entreprises, en particulier chez les grands comptes qui disposent les moyens d’investir sur des solutions logicielles de cybersécurité performantes.
Améliorer la sécurité M365 avec les composants de sécurité qui sont intégrés à lui
Déjà évoqué plus haut, Microsoft 365 propose plusieurs outils intégrés pour aider les organisations à maîtriser tous les aspects de leur paysage de sécurité. Voici les outils spécifiques qui peuvent faire partie de votre stratégie de sécurité :
1- POUR LA GESTION DES IDENTITÉS ET DES ACCÈS
Les menaces internes peuvent être les menaces les plus critiques pour la sécurité de votre entreprise. Voilà pourquoi Microsoft a équipé ses produits de nombreuses et puissantes solutions qui facilitent la protection et limitent l’accès au besoin.
L’Authentification multifacteurs.
Quand vos employés se connectent à un des outils M365, comme l’Office 65 par exemple, seul le nom d’utilisateur et le mot de passe sont demandés. Cependant, vous ne pouvez pas vous attendre à ce que tous vos employés fassent preuve de diligence quant à la protection de leurs mots de passe à tout moment. Heureusement, l’option MFA intégrée dans Microsoft 365 peut vous fournir plus de protection. Vous pouvez en effet d’activer l’authentification multifacteur au niveau de chaque utilisateur, qui offre plusieurs options différentes pour la deuxième méthode de vérification.
Accès conditionnel avec Microsoft Azure Active Directory.
Azure AD est un système de Microsoft qui permet la gestion des identités et la configuration de l’accessibilité des utilisateurs et des groupes aux services et aux ressources. Avec Azure AD, vous pouvez profiter du paramétrage « accès conditionnel ». Celui vous permet notamment de créer et de définir des stratégies de gestion des connexions et des identités qui réagissent aux événements de connexion. Vous pouvez par exemple demander des actions supplémentaires avant qu’un utilisateur ne soit autorisé à accéder à une application ou bien un service. Le but avec une telle stratégie est bien évidemment de s’assurer que l’utilisateur qui se connecte et bien celui qu’il prétend être et aussi qu’il est autorisé à accéder au compte.
Protection de l’identité avec Azure ID Identity Protection.
Le service Azure ID Identity Protection peut être configuré pour qu’il surveille en permanence les comptes des utilisateurs afin de détecter toute activité suspecte. Il vous offre aussi la possibilité d’automatiser la correction des risques liés à l’identité et aussi d’analyser les risques.
2- POUR LA PROTECTION CONTRE LES MENACES
M365 intègre également des outils permettant de gérer la protection contre les menaces dans votre environnement numérique :
Azure Security Center.
Ce service permetde prévenir les attaques et d’évaluer les menaces, Titre 3 – qu’elles soient d’origine interne ou externe. Azure Security Center contribue à améliorer la sécurité en permettant notamment de rechercher et corriger plus facilement les vulnérabilités avant qu’il ne soit tard ou encore d’appliquer des directives qui garantiraient le respect des normes de sécurité.
Office 365 ATP (Advanced Threat Protection).
Ce service vous protège contre les virus et programmes malveillants dits « zero day ». La protection en temps réel se focalise sur l’analyse des pièces jointes, sur l’analyse des liens dans les e-mails reçus, sur l’anti-hameçonnage et enfin sur l’analyse des fichiers partagés dans les outils collaboratifs (OneDrive, SharePoint, Teams).
3- POUR LA PROTECTION DES DONNÉES
Pour assurer la sécurité des données sensibles que ce soit au repos ou bien en transit, Microsoft 365 offre plusieurs fonctionnalités de chiffrement par défaut. Vous pouvez par exemple utiliser BitLocker pour crypter les fichiers enregistrés sur un ordinateur Windows. Et avec les protocoles TLS (Transport Layer Security) et SSL (antérieur au protocole TLS), vous avez la possibilité de chiffrer et sécuriser les communications sur le réseau.
Une autre fonctionnalité intéressante est la possibilité d’envoyer des e-mails chiffrés à des destinataires extérieurs à l’organisation. Pour pouvoir lire les e-mails, ils devront ensuite saisir un mot de passe à usage unique qui sera communiqué par celui qui a envoyé le mail.
Des solutions plus spécifiques pour muscler la sécurité de Microsoft 365
Les composants de sécurité intégrés à Microsoft 365 sont impressionnants. Mais comme l’a déclaré Loïc Guézo, la sécurité native de Microsoft n’offre qu’une protection limitée. C’est la raison pour laquelle de plus en plus d’entreprises optent aujourd’hui pour des solutions de cybersécurité spécialement conçues pour améliorer la sécurité de Microsoft 365.
Ces solutions mises en place par des entreprises privées dans la cybersécurité traitent généralement des problématiques suivantes :
- La classification des données en fonction de leur criticité ;
- La revalidation des droits sur les partages SharePoint ;
- L’analyse du comportement des comptes à privilèges ;
- La prévention des attaques extérieures avec des moyens tels que les contrôles des applications, l’application automatisée des correctifs et plus encore ;
- Les contrôles de sécurité de pointe pour les e-mails, les applications et les données ;
- La sauvegarde automatisée de données ;
En Conclusion sur le Microsoft 365 – M365
Les PME continuent d’être en première ligne, quant aux cyber attaques sur le net, et c’est pour cela qu’en 2020 près de 45 % des entreprises ciblées par les cyber attaques étaient des PME, mais pire encore dans plus de 90 % des cas, le départ est un simple mail
Il est donc nécessaire, pour ne dire primordial, de sensibiliser tous vos utilisateurs et de protéger aux mieux toutes vos applications, car les hackers qui sont à la pointe de l’actualité et l’affut de tout, ne cessent d’innover, en matière de cyberattaques.
Prenez toutes les précautions qui vont bien, et sécurisez autant que possible, en attirant l’attention de vos utilisateurs, car les hackers une fois sur place (et un simple mail suffit) c’est trop tard, et les dégâts pourront être lourds de conséquences pour votre PME.
Auteur Antonio Rodriguez Mota Editeur et Directeur de Clever Technologies
Si vous le souhaitez, vous pouvez consulter notre article qui explique comment avoir Word de Microsoft sans payer.
Rodriguez Mota Antonio, Andalou de naissance et fier de l’être, vivant à Paris de 1961 à fin 2012.
Informaticien de l’ancienne Époque (Cobol, Assembleur, RPGII), Directeur de banque presque 30 ans, depuis 1999 je dirige une PME (Editeur de Logiciel en SaaS et en On-Premise), dans la supervision des astreintes et la gestion des cellules de crise, communication par SMS
J’ai dirigé dans le monde Bancaire l’informatique, la comptabilité et la communication.
J’ai beaucoup travaillé dans le monde bancaire IBM, avec les IBM32, IBM 34 et IBM 38, et j’ai le plaisir d’avoir été parmi les tous premiers installateurs de ces systèmes en France.
Ma passion aujourd’hui, c’est internet, et la publication d’articles sur toutes les thématiques, dans des blogs spécialisés et de large diffusion.
Aujourd’hui, pour tenter de vivre une retraite méritée après tant d’années de labeur, je suis parti vivre en Espagne, mais je continue de passer plusieurs heures par jour, sur internet et les réseaux.
J’écris des articles à publier sur des sites internes, ou bien sur des blogs spécialisés, sur tous les sujets, mais de préférence sur les produits technologiques.
Et mon plaisir quotidien est d’écrire, sur la technologie, toutes les technologies, et de publier mes articles sur les sites de ma société (www.clever.fr) et sur différents blogs internet mais aussi sur d’autres médias plus connus comme médiapart ou le journal du net).
J’ai participé de nombreuses années, à des réseaux professionnels (Administrateur Afdel), Et vice-Président du Comité Richelieu, notamment lors de la création du Pacte PME.
