Messagerie, documents, réunions, identités : Microsoft 365 concentre l'essentiel de votre activité. Notre audit passe en revue la configuration réelle de votre tenant — MFA, accès conditionnels, partages, journaux — et vous rend un plan de durcissement priorisé, exécutable par vos équipes ou votre infogéreur.
Votre annuaire est aussi ou plutôt sur site ? Voir notre audit Active Directory, notre audit Entra ID ciblé sur l'annuaire, ou notre approche gestion des identités et des accès.
Ce que couvre l'audit
Dans la plupart des audits, les constats critiques se concentrent sur les mêmes zones — nos retours d'expérience sont détaillés dans l'article sécurité Microsoft 365 : les erreurs qui reviennent le plus souvent.
Couverture réelle de l'authentification multifacteur, comptes exemptés, politiques d'accès conditionnel, comptes à privilèges et authentifications héritées encore actives — le premier vecteur de compromission d'un tenant.
Règles de redirection de boîtes aux lettres, partages anonymes, accès invités, délégations de boîtes, paramètres anti-hameçonnage : nous vérifions ce qui expose vos données et votre messagerie, pas seulement ce qui est activé.
Journal d'audit unifié, rétention des traces, alertes de sécurité, fonctions incluses dans vos licences mais jamais configurées : beaucoup d'organisations paient déjà pour des protections qu'elles n'ont jamais activées.
Déroulé de la mission
La mission se déroule avec un accès en lecture seule sur votre tenant : aucune coupure, aucune modification sans votre accord. Les durées sont indicatives et confirmées au cadrage.
semaine 1
Définition du périmètre (tenants, licences, usages), mise en place d'un accès en lecture seule et inventaire des usages réels : messagerie, partages, applications connectées.
semaines 2 à 3
Analyse des identités, du MFA, des accès conditionnels, d'Exchange, SharePoint, Teams, de la journalisation et des intégrations tierces, confrontée aux risques concrets de votre contexte.
semaine 4
Remise du rapport et de la matrice des configurations, restitution technique et synthèse direction, avec un plan de durcissement séquencé que vos équipes ou votre infogéreur peuvent exécuter.
Budget
Fourchette indicative pour un tenant unique de PME ou d'ETI : le montant dépend du nombre de comptes, de tenants, de licences et de la profondeur de la revue. Comparez avec les autres lignes de notre grille des prix d'un audit cybersécurité.
Financement
Les PME éligibles peuvent faire financer une partie de leur diagnostic cybersécurité par BPI France — un premier état des lieux utile avant un audit Microsoft 365 plus approfondi. Vérifier les conditions du financement BPI.
Questions fréquentes
Il couvre les identités et le MFA, les politiques d'accès conditionnel, la configuration d'Exchange, SharePoint et Teams, les comptes à privilèges, la journalisation et les fonctions de sécurité incluses dans vos licences mais non activées. Le résultat est un plan de durcissement priorisé, pas un export de console.
À titre indicatif, à partir de 4 000 € HT pour un tenant unique de PME, le montant variant selon le nombre de tenants, de comptes, de licences et la profondeur de la revue. Le cadrage initial fixe un devis ferme, sans surprise.
En général deux à quatre semaines, du cadrage à la restitution. La mission se déroule en lecture seule sur votre tenant : aucune interruption de service, aucune modification de configuration sans votre accord.
Microsoft sécurise l'infrastructure de la plateforme, mais la configuration de votre tenant reste de votre responsabilité : c'est le modèle de responsabilité partagée. MFA incomplet, partages anonymes, journaux non activés — ces choix vous appartiennent et c'est précisément ce que l'audit examine.
Non, dans la plupart des cas. Une part importante des constats se corrige avec les fonctions déjà incluses dans les licences courantes. Quand une recommandation suppose une licence supérieure, nous le signalons explicitement pour que l'arbitrage budgétaire soit le vôtre.
Témoignages et résultats
Un audit Microsoft 365 utile ne se contente pas de lister des cases à cocher : il classe les risques, exploite les fonctions déjà payées et donne un plan que les équipes peuvent réellement exécuter.
Bibliotheque interne: 9 temoignages anonymises et 9 cas resultats disponibles.
Nous avions besoin d'un vrai pilotage, pas d'un audit de plus. Le RSSI externalisé a remis de l'ordre, arbitré les priorités et rendu les sujets cyber enfin exploitables en comité de direction.
DSI
ETI industrielle · 250 à 500 collaborateurs
RSSI externalisé
Feuille de route 12 mois, comités structurés, remédiation suivie
Le chantier cloud a été pris par le bon bout: identités, exposition, traces, sauvegardes. Nous avions besoin d ordre et de décisions, pas d une accumulation d outils.
Responsable sécurité des opérations
Entreprise de services en Île-de-France · 100 à 250 collaborateurs
Sécurité cloud
Durcissement priorisé et gouvernance d accès clarifiée
Nous avions besoin d une trajectoire crédible entre direction, DSI et équipes métier. Le cadrage a surtout apporté de la lisibilité et une vraie logique de preuve.
DSI adjoint
Collectivité territoriale · 500 à 1 200 agents
Cadrage gouvernance et sécurité
Responsabilités clarifiées, feuille de route priorisée et arbitrages documentés
Cadre commercial
PME avec peu de ressources internes qui devait arbitrer entre audit ponctuel, accompagnement RSSI et besoin de détection.
Choix d un niveau d engagement cohérent avec la maturité, les contraintes et les objectifs de preuve.
Financement
Diagnostic financé obtenu, mais besoin d aller au-delà du livrable initial pour sécuriser l exécution et le suivi.
Passage d un état des lieux à une feuille de route exploitable avec responsabilités et séquencement.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.