Pour les PME et ETI de 50 à 500 comptes Microsoft 365 qui ne savent pas si leur tenant résisterait à un vol de compte ou à une fraude au virement. En lecture seule, nous auditons Entra ID (MFA, accès conditionnels, comptes à privilèges), la messagerie et ses règles de transfert, les partages externes SharePoint, OneDrive et Teams, Defender et Purview selon vos licences, et nous lisons votre Secure Score dans votre contexte. Vous recevez une matrice des configurations, un rapport technique, une synthèse direction et un plan à 30 et 90 jours, avec une journée de transfert de compétences incluse pour vos équipes IT. Mission en général de deux à quatre semaines, à partir de 4 000 € HT. Basés à Montévrain (77), nous intervenons en Île-de-France et à distance.
Votre annuaire est aussi ou plutôt sur site ? Voir notre audit Active Directory, notre audit Entra ID ciblé sur l'annuaire, ou notre approche gestion des identités et des accès.
Ce que couvre l'audit
Dans la plupart des audits, les constats critiques se concentrent sur les mêmes zones — nos retours d'expérience sont détaillés dans l'article sécurité Microsoft 365 : les erreurs qui reviennent le plus souvent.
Couverture réelle de l'authentification multifacteur, comptes exemptés, politiques d'accès conditionnel, comptes à privilèges et authentifications héritées encore actives — le premier vecteur de compromission d'un tenant. Pour une revue approfondie de l'annuaire (PIM, applications, hybride), voir l'audit Entra ID.
Règles de transfert automatiques, délégations de boîtes, paramètres anti-hameçonnage et authentification du domaine de messagerie (SPF, DKIM, DMARC) : les réglages qu'exploite une fraude au virement après un vol de compte.
Liens anonymes, accès invités, partage externe par défaut : ce qui sort réellement de votre tenant.
Stratégies Defender pour Office 365 et étiquettes ou règles Purview quand vos licences les incluent : activé, configuré, ou seulement payé.
Nous partons de votre Secure Score, puis nous expliquons quelles recommandations comptent vraiment pour vos usages, et lesquelles peuvent attendre.
Journal d'audit unifié, rétention des traces, alertes de sécurité, fonctions incluses dans vos licences mais jamais configurées : beaucoup d'organisations paient déjà pour des protections qu'elles n'ont jamais activées.
Notre grille de contrôle est tenue à jour et alignée sur la dernière version du CIS Microsoft 365 Foundations Benchmark, complétée par les recommandations de l'ANSSI et les bonnes pratiques publiées par Microsoft. Chaque constat est rapporté à votre contexte : vos licences, vos usages et vos contraintes métier.
Déroulé
Quatre temps, en lecture seule, sans interruption de service. Comptez en général deux à quatre semaines du cadrage à la restitution ; le calendrier se fixe au cadrage, sans durée catalogue inventée.
Périmètre (tenants, licences, usages), accès Global Reader / lecture seule, inventaire des services réellement utilisés : messagerie, partages, applications connectées.
Identités et MFA, accès conditionnels, Exchange / SharePoint / Teams, journalisation et alertes, confrontés aux risques concrets de votre contexte — pas un export de console.
Rapport, matrice des configurations, restitution technique et synthèse direction, avec un plan séquencé que vos équipes ou votre infogéreur peuvent exécuter.
Quick wins sous 15 jours puis chantiers 30 à 90 jours. Quand une recommandation suppose une licence supérieure, nous le signalons pour que l'arbitrage budgétaire reste le vôtre.
Un rapport d'audit n'est utile que s'il dit quoi corriger en premier. Chaque constat de la matrice est évalué selon trois critères, puis rattaché à une étape du plan à 30 et 90 jours.
Ce qu'un attaquant pourrait faire si l'écart reste ouvert.
Ce que la correction change pour vos collaborateurs.
L'effort et les éventuelles licences à prévoir.
Chaque constat porte aussi une étiquette Protéger, Détecter ou Répondre, pour vérifier que le plan équilibre prévention, surveillance et capacité de réaction. Un constat critique, peu coûteux et invisible pour les utilisateurs devient un quick win sous 15 jours ; un constat à fort impact utilisateur ou à coût élevé devient un chantier planifié à 30 ou 90 jours, avec ses tests et sa communication.
Exemple fictif
Exemple construit pour illustrer la méthode : il ne provient d'aucun audit client.
La méthode complète est détaillée dans notre checklist SPF, DKIM et DMARC pour Microsoft 365.
Budget
Fourchette indicative pour un tenant unique de PME ou d'ETI : le montant dépend du nombre de comptes, de tenants, de licences et de la profondeur de la revue. Comparez avec les autres lignes de notre grille des prix d'un audit cybersécurité.
Financement
Les PME éligibles peuvent faire financer une partie de leur diagnostic cybersécurité par BPI France — un premier état des lieux utile avant un audit Microsoft 365 plus approfondi. Vérifier les conditions du financement BPI.
Questions fréquentes
Il couvre les identités et le MFA, les politiques d'accès conditionnel, la configuration d'Exchange, SharePoint et Teams, les comptes à privilèges, la journalisation et les fonctions de sécurité incluses dans vos licences mais non activées. Le résultat est un plan de durcissement priorisé, pas un export de console.
À titre indicatif, à partir de 4 000 € HT pour un tenant unique de PME, le montant variant selon le nombre de tenants, de comptes, de licences et la profondeur de la revue. Le cadrage initial fixe un devis ferme, sans surprise. Une journée de transfert de compétences avec vos équipes IT est incluse.
Oui. Chaque audit Microsoft 365 comprend, sans supplément, une journée de transfert de compétences avec vos équipes IT. Nous y reprenons les constats du rapport, nous montrons concrètement comment appliquer les corrections prioritaires dans les consoles Microsoft 365, et nous répondons aux questions de vos administrateurs. L'objectif : que vos équipes puissent mener le plan de durcissement en autonomie, ou piloter efficacement votre infogéreur.
En général deux à quatre semaines, du cadrage à la restitution. La mission se déroule en lecture seule sur votre tenant : aucune interruption de service, aucune modification de configuration sans votre accord.
L'audit Microsoft 365 vérifie la configuration de votre tenant en lecture seule : identités, MFA, accès conditionnels, messagerie, partages, journaux. Le test d'intrusion simule une attaque autorisée pour prouver qu'une faille est exploitable. L'audit dit ce qui est mal réglé et dans quel ordre le corriger ; le pentest montre jusqu'où un attaquant pourrait aller. Pour une PME sur Microsoft 365, l'audit vient en général d'abord : il traite les réglages les plus courants avant d'engager un test plus coûteux.
Un compte dédié avec un rôle en lecture seule de type Lecteur général (Global Reader), complété si besoin d'un rôle de lecture sécurité, créé pour l'audit puis supprimé. Il nous faut aussi la liste de vos licences, un interlocuteur qui connaît l'historique du tenant (DSI ou infogéreur) et une validation écrite du périmètre. Nous ne modifions aucune configuration : les corrections sont appliquées ensuite par vos équipes ou votre infogéreur.
Il n'est pas adapté si vous traitez un incident en cours : il faut d'abord une réponse à incident. Il ne l'est pas non plus si vous cherchez la preuve qu'une attaque réussit (c'est le rôle d'un test d'intrusion), si votre environnement collaboratif est Google Workspace, ou si vous attendez que l'auditeur applique lui-même les corrections pendant la mission. Pour une très petite structure sans administrateur dédié, un premier diagnostic peut suffire avant un audit complet.
Oui, sur une partie précise. Parmi les mesures que NIS2 attend des entités concernées figurent les politiques de contrôle d'accès et l'authentification multifacteur. L'audit documente l'état réel de ces mesures sur Microsoft 365 et donne un plan pour combler les écarts. Il ne constitue pas à lui seul une mise en conformité NIS2, qui couvre aussi la gouvernance, la gestion des risques et la notification des incidents.
Microsoft sécurise l'infrastructure de la plateforme, mais la configuration de votre tenant reste de votre responsabilité : c'est le modèle de responsabilité partagée. MFA incomplet, partages anonymes, journaux non activés — ces choix vous appartiennent et c'est précisément ce que l'audit examine.
Secure Score est un indicateur utile des recommandations Microsoft, mais il ne remplace pas un audit : il ne couvre pas tous les écarts (cohérence des accès conditionnels, partages granulaires, applications OAuth, preuves exploitables). L'audit objectivé complète le score avec un plan de durcissement priorisé pour votre tenant.
Exemples de méthode
Ces scénarios fictifs illustrent des besoins possibles et des objectifs de travail. Ils ne décrivent pas des missions réalisées ni des résultats obtenus chez des clients.
Scénario fictif · Cadre commercial
PME avec peu de ressources internes qui doit arbitrer entre audit ponctuel, accompagnement RSSI et besoin de détection.
Objectif : Comparer les options d’accompagnement selon la maturité, les contraintes et les preuves attendues.
Scénario fictif · Financement
Diagnostic financé obtenu, mais besoin d’aller au-delà du livrable initial pour organiser l’exécution et le suivi.
Objectif : Définir une feuille de route avec des responsables, des échéances et un suivi des corrections.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.
