Connexions, messagerie, applications : toute votre activité passe par Microsoft Entra ID. Notre audit passe en revue la configuration réelle de votre tenant — MFA, accès conditionnels, invités, rôles à privilèges — et vous rend un plan de durcissement priorisé, exécutable par vos équipes ou votre infogéreur.
Votre annuaire est sur site ou hybride ? Voir notre audit Active Directory sur site, notre approche gestion des identités et des accès et l'audit plus large audit Microsoft 365.
Ce que couvre l'audit
L'identité est devenue le périmètre à défendre — nous détaillons pourquoi dans l'article l'identité, nouveau périmètre de sécurité. L'audit Entra ID vérifie concrètement ce que ce principe change chez vous.
Couverture réelle de l'authentification multifacteur, comptes exemptés, politiques d'accès conditionnel mal calibrées et authentification héritée encore active — la première porte d'entrée vers votre annuaire cloud.
Comptes invités sans processus de revue, consentements accordés à des applications tierces, secrets et certificats expirés ou jamais renouvelés : ce qui s'est accumulé dans le tenant au fil des ans, rarement inventorié.
Administrateurs globaux permanents, activation ou absence de Privileged Identity Management (PIM), comptes de service synchronisés, journaux de connexion et d'audit : nous vérifions qui peut tout faire, et ce que vous pourriez prouver après un incident.
Concrètement, voici ce que nous examinons dans votre tenant Microsoft Entra ID. Chaque point est évalué selon vos licences et vos usages : une fonction non incluse dans votre abonnement est signalée comme telle, pas comptée comme un défaut.
Cette grille est tenue à jour et alignée sur la dernière version du CIS Microsoft 365 Foundations Benchmark pour sa partie identité, complétée par les recommandations de Microsoft et de l'ANSSI.
Déroulé
Quatre temps, en lecture seule sur votre tenant, sans interruption de service. Comptez en général deux à quatre semaines du cadrage à la restitution ; le calendrier se fixe au cadrage selon le nombre de comptes, d'applications et la disponibilité de vos équipes.
Définition du périmètre (tenant, comptes, usages, environnement hybride ou non) et accès en lecture seule. Aucune configuration n'est modifiée ; aucun service n'est interrompu.
Analyse de la couverture MFA réelle, des comptes exemptés, des politiques d'accès conditionnel et de l'authentification héritée encore active — confrontée aux risques concrets de votre contexte.
Revue des comptes invités, des consentements applicatifs, des secrets/certificats, des administrateurs globaux permanents, de PIM et de la journalisation.
Remise du rapport et de la matrice des configurations, restitution technique et synthèse direction, avec un plan de durcissement séquencé que vos équipes ou votre infogéreur peuvent exécuter.
Budget
Fourchette indicative pour un tenant unique de PME ou d'ETI : le montant dépend du nombre de comptes, d'applications connectées et de la présence d'un environnement hybride. Comparez avec les autres lignes de notre grille des prix d'un audit cybersécurité.
Financement
Les PME éligibles peuvent faire financer une partie de leur diagnostic cybersécurité par BPI France — un premier état des lieux utile avant un audit Entra ID plus approfondi. Vérifier les conditions du financement BPI.
Questions fréquentes
L'audit Active Directory porte sur votre annuaire sur site : GPO, délégations, comptes à privilèges, tiering. L'audit Entra ID porte sur l'annuaire cloud Microsoft : MFA, accès conditionnels, invités, applications. Dans les environnements hybrides, des chemins d'attaque relient souvent les deux — le cadrage détermine lequel auditer en priorité.
À titre indicatif, à partir de 4 500 € HT pour un tenant unique de PME, le montant variant selon le nombre de comptes, d'applications connectées et la profondeur de la revue. Le cadrage initial fixe un devis ferme, sans surprise.
Non. La mission se déroule avec un accès en lecture seule : aucune modification de configuration, aucune interruption de service. Les corrections sont appliquées ensuite par vos équipes ou votre infogéreur, à votre rythme.
Du même annuaire. Microsoft a renommé Azure Active Directory en Microsoft Entra ID en 2023. Si votre documentation ou votre console mentionne encore Azure AD, l'audit couvre exactement ce périmètre.
Nous inventorions les administrateurs globaux permanents (Microsoft recommande d'en garder moins de cinq), l'usage effectif de PIM, le MFA appliqué aux comptes d'administration, les comptes de service synchronisés depuis l'annuaire sur site et les alertes associées. L'objectif : réduire le nombre de comptes capables de tout faire, en permanence, sans trace exploitable.
Oui. Microsoft recommande au moins deux comptes d'accès d'urgence pour reprendre la main si l'authentification multifacteur, la fédération ou une politique d'accès conditionnel mal configurée bloque tous les administrateurs. Ces comptes sont uniquement cloud, protégés par une méthode résistante au phishing et exclus des politiques bloquantes. Chaque connexion déclenche une alerte, et leur bon fonctionnement est testé au moins tous les 90 jours. L'audit vérifie leur existence, leur protection et leur supervision.
Oui, en procédant par étapes. On identifie d'abord, dans les journaux de connexion, les comptes et appareils qui utilisent encore des protocoles hérités : anciens clients de messagerie, scanners, scripts. On déploie ensuite la politique de blocage en mode rapport seul pour en mesurer l'effet, on migre ou on isole les rares usages restants, puis on active le blocage. Sans accès conditionnel, les paramètres de sécurité par défaut bloquent aussi ces protocoles. L'audit vous remet la liste des usages à traiter avant la bascule.
Par défaut, oui : un utilisateur peut autoriser une application à accéder à certaines de ses données, comme sa messagerie, sans validation d'un administrateur. C'est une porte d'entrée connue pour les applications malveillantes. Microsoft recommande de limiter ce consentement aux applications d'éditeurs vérifiés et aux permissions à faible impact, et d'activer un workflow de consentement administrateur pour le reste. Durcir ce réglage ne retire pas les autorisations déjà accordées : l'audit les passe donc en revue.
Le Microsoft Secure Score est un indicateur utile des réglages recommandés dans le tenant. Il ne remplace pas un audit : un audit passe aussi en revue la couverture réelle des accès conditionnels et leurs exclusions, les consentements invités et applicatifs dans votre contexte, les rôles à privilèges et le PIM, et livre un plan de durcissement séquencé avec preuves — ce qu'un score seul ne fournit pas.
Exemples de méthode
Ces scénarios fictifs illustrent des besoins possibles et des objectifs de travail. Ils ne décrivent pas des missions réalisées ni des résultats obtenus chez des clients.
Scénario fictif · Cadre commercial
PME avec peu de ressources internes qui doit arbitrer entre audit ponctuel, accompagnement RSSI et besoin de détection.
Objectif : Comparer les options d’accompagnement selon la maturité, les contraintes et les preuves attendues.
Scénario fictif · Financement
Diagnostic financé obtenu, mais besoin d’aller au-delà du livrable initial pour organiser l’exécution et le suivi.
Objectif : Définir une feuille de route avec des responsables, des échéances et un suivi des corrections.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.
