Sécuriser Microsoft 365 dans une PME consiste à protéger cinq zones dans un ordre précis : les identités, la messagerie, les appareils, les données et les utilisateurs. Dans la majorité des PME que nous auditons en région PACA, de Marseille à Sophia Antipolis, Microsoft 365 tourne encore dans la configuration de sa mise en place, alors qu’une bonne partie des outils de protection nécessaires est déjà incluse dans la licence payée chaque mois. Ce guide présente le plan d’action en cinq étapes que nous appliquons, la licence adaptée à chaque situation et les critères pour choisir le prestataire qui s’en chargera.
Bien démarrer la sécurisation de Microsoft 365 ne commence pas par un outil, mais par un indicateur : le Microsoft Secure Score. Accessible gratuitement depuis le portail Microsoft Defender, quelle que soit la licence utilisée, il évalue le niveau de sécurité de l’environnement sous la forme d’un pourcentage et propose une liste d’actions d’amélioration.
Toutefois, ce score ne doit pas être interprété seul. Un score de 45 % peut, par exemple, révéler l’absence d’une mesure essentielle comme l’authentification multi facteur pour les comptes administrateurs, tandis qu’un score plus élevé peut simplement résulter de l’application de nombreux paramètres à faible impact. Dans un autre registre certaines recommandations reposent sur des fonctionnalités non incluses dans la licence en place : elles influencent souvent le score alors même qu’elles ne peuvent pas être mises en œuvre dans l’immédiat.
L’analyse la plus réaliste se résume à dépasser la lecture du pourcentage global pour se concentrer sur la valeur réelle des recommandations. L’objectif est de donner priorité aux actions selon leur impact sur la réduction du risque, puis de déployer le plus rapidement celles qui apportent le meilleur niveau de protection avec le moins de contraintes pour les équipes.
L’ordre compte autant que le contenu. Chaque étape réduit le risque de la suivante : inutile de protéger finement les fichiers SharePoint si n’importe quel mot de passe volé ouvre la porte du compte.
L’authentification multifacteur ou MFA est la mesure la plus rentable de toute la sécurité Microsoft 365 : selon Microsoft, elle bloque plus de 99,9 % des attaques par compromission de compte. Elle doit s’appliquer à tous les comptes, direction comprise. Les comptes administrateurs doivent être séparés des comptes de travail quotidiens et limités à deux ou trois personnes. Enfin, les comptes d’anciens salariés doivent être désactivés : lors d’un audit informatique chez un cabinet à Valbonne, nous avons trouvé sept comptes orphelins actifs, dont deux avec des droits d’administration globale.
Lorsqu’un mot de passe est compromis, l’une des premières actions d’un attaquant consiste souvent à mettre en place une règle de transfert automatique des courriels vers une adresse externe afin de surveiller discrètement les échanges. Bloquer le transfert automatique externe dans Exchange Online permet de neutraliser très rapidement tout risque d’interception. Il est également recommandé de renforcer les mécanismes de protection contre l’hameçonnage et de configurer correctement les enregistrements Sender Policy Framework, DomainKeys Identified Mail et Domain-based Message Authentication, Reporting and Conformance sur votre nom de domaine. Ces dispositifs permettent de vérifier l’authenticité des expéditeurs et de réduire considérablement les risques d’usurpation d’identité utilisés dans les tentatives de fraude, notamment les fraudes au virement bancaire.
C’est l’étape la plus souvent oubliée, parce que les données sont dans le cloud. Pourtant, c’est depuis un poste qu’on ouvre la pièce jointe piégée ou qu’on se connecte au Wi-Fi d’un hôtel. Microsoft Defender for Business détecte et bloque les ransomwares sur chaque appareil, isole automatiquement un poste compromis et classe les vulnérabilités par niveau de risque dans une seule console. Microsoft Intune complète le dispositif en imposant des règles de conformité, comme le chiffrement BitLocker et les mises à jour Windows. Le détail de ce volet est présenté sur notre page sécurité des équipements avec Microsoft Intune et Defender.
Les liens de partage accessibles à tous doivent être désactivés, et les capacités de partage externe limitées aux seuls espaces qui en ont un besoin métier avéré. Cette approche réduit d’une manière drastique le risque d’exposition des données sensibles.
En matière de continuité d’activité, il est également important de distinguer synchronisation et sauvegarde. Si OneDrive réplique les fichiers entre les différents appareils et le cloud, il ne constitue pas une solution de sauvegarde à part entière. En cas de suppression massive, de corruption de données ou d’attaque par rançongiciel, les modifications peuvent être propagées à l’ensemble des copies synchronisées. La mise en place d’une solution de sauvegarde dédiée, telle que Microsoft 365 Backup demeure donc essentielle pour garantir la restauration des données.
Pour approfondir ce sujet, consultez notre article consacré à la sécurité des fichiers dans le cloud.
Les liens de partage accessibles à tous doivent être désactivés, et les capacités de partage externe limitées aux seuls espaces qui en ont un besoin métier avéré. Cette approche réduit d’une manière drastique le risque d’exposition des données sensibles.
En matière de continuité d’activité, il est également important de distinguer synchronisation et sauvegarde. Si OneDrive réplique les fichiers entre les différents appareils et le cloud, il ne constitue pas une solution de sauvegarde à part entière. En cas de suppression massive, de corruption de données ou d’attaque par rançongiciel, les modifications peuvent être propagées à l’ensemble des copies synchronisées. La mise en place d’une solution de sauvegarde dédiée, telle que Microsoft 365 Backup demeure donc essentielle pour garantir la restauration des données.
Pour approfondir ce sujet, consultez notre article consacré à la sécurité des fichiers dans le cloud.
Les outils remontent des alertes ; encore faut-il que quelqu’un sache les lire. Former les collaborateurs à reconnaître un hameçonnage, et former la personne qui administre Microsoft 365 en interne à traiter les alertes de Microsoft Defender, est ce qui transforme une configuration en protection réelle. Ces formations Microsoft 365 peuvent être financées par votre OPCO lorsqu’elles sont dispensées par un organisme certifié Qualiopi.
La réponse dépend moins de la taille de l’entreprise que de la façon dont vos équipes travaillent. Le tableau ci-dessous résume ce que chaque option permet de mettre en place.
| Mesure de sécurité | Business Standard | Standard + Defender for Business | Business Premium |
|---|---|---|---|
| Authentification multifacteur | Ouiparamètres par défaut | Ouiparamètres par défaut | Ouiavec règles fines |
| Protection anti-ransomware des postes | Basiqueantivirus intégré à Windows | Oui | Oui |
| Isolement automatique d’un poste compromis | Non | Oui | Oui |
| Accès conditionnel (exiger un appareil conforme) | Non | Non | Oui |
| Gestion complète des appareils Microsoft Intune | Partielle | Partielle | Oui |
| Prévention des fuites de données (Microsoft Purview) | Non | Non | Oui |
Périmètre indicatif au catalogue Microsoft 2026, à vérifier au moment du devis.
Notre recommandation est simple. Si tous les postes appartiennent à l’entreprise et que personne ne consulte sa messagerie depuis un smartphone personnel, l’ajout de Microsoft Defender for Business à Business Standard couvre l’essentiel pour un surcoût limité. Dès que des collaborateurs travaillent depuis leur propre téléphone, Business Premium devient le bon choix : l’accès conditionnel est le seul moyen d’empêcher un appareil non maîtrisé d’ouvrir les données de l’entreprise. Microsoft a révisé ses grilles de licences en 2026 ; le périmètre exact de chaque offre se vérifie au moment du devis.
Beaucoup de dirigeants pensent que « les données sont dans le cloud Microsoft, elles sont donc sauvegardées ». C’est faux. La corbeille et la rétention de Microsoft 365 ne sont pas des sauvegardes. En cas de suppression accidentelle ou malveillante au-delà de la période de rétention (30 à 93 jours selon les paramètres), les données sont définitivement perdues.
Pire : la règle de sauvegarde 3-2-1 — 3 copies, sur 2 supports différents, dont 1 hors site — est rarement appliquée dans les environnements Microsoft 365 de PME. Une solution tierce de sauvegarde (Veeam Backup for Microsoft 365, Acronis, ou Backupify) est indispensable pour couvrir Exchange Online, SharePoint et Teams.
L’erreur critique que peu anticipent : même avec une solution de sauvegarde en place, si les tests de restauration ne sont jamais réalisés, la sauvegarde n’a aucune valeur opérationnelle. Selon une étude Veeam, 84 % des entreprises ayant un plan de reprise d’activité testé régulièrement reprennent leur activité en moins de 24 heures après un incident. Pour les autres, le délai moyen dépasse 3 jours.
Déployer des mécanismes de sécurité ne suffit pas : encore faut-il qu’ils soient appliqués de manière cohérente et exploités efficacement tous les jours. Dans les audits et interventions de terrain, plusieurs situations reviennent fréquemment et créent des vulnérabilités importantes :
L’authentification multifacteur avec des exceptions. L’authentification multifacteur est activée pour l’ensemble des collaborateurs, mais désactivée pour un dirigeant ou un utilisateur clé afin de simplifier son accès. Or, ces comptes figurent parmi les cibles privilégiées des attaques de type fraude au président et compromission de comptes.
Un compte administrateur utilisé pour les tâches quotidiennes. Certains administrateurs utilisent le même compte pour consulter leurs courriels, naviguer sur Internet et gérer l’environnement Microsoft 365. Dans ce contexte, une simple campagne d’hameçonnage peut permettre à un attaquant d’obtenir immédiatement des privilèges élevés sur l’ensemble du tenant.
Des alertes de sécurité ignorées. Les solutions de protection, telles que Microsoft Defender, génèrent des alertes pertinentes, mais celles-ci sont parfois envoyées vers une boîte aux lettres partagée ou une file de traitement qui n’est plus suivie. Une alerte non consultée revient alors à une détection sans capacité de réaction.
Des protections désactivées pour des raisons de compatibilité. Afin de maintenir le fonctionnement d’un copieur multifonction, d’une application métier ancienne ou d’un équipement utilisant des protocoles obsolètes, certaines protections sont désactivées à l’échelle de l’environnement. Une exception technique locale peut ainsi affaiblir la sécurité de l’ensemble de l’organisation.
En matière de cybersécurité, la faille ne se trouve pas toujours dans l’outil. Elle apparaît souvent lorsqu’une règle est contournée, qu’une exception est accordée ou qu’une protection est laissée sans surveillance.
Le bon interlocuteur réunit trois qualités : une certification Microsoft qui garantit la maîtrise de Microsoft Entra ID, Microsoft Defender for Business et Microsoft Intune ; une méthode mesurable, avec un Secure Score relevé avant et après intervention ; et la capacité de transférer les compétences à votre équipe, pour que la sécurité ne dépende pas d’un prestataire extérieur à chaque alerte.
Adigit, Microsoft Solutions Partner et partenaire Microsoft depuis 2001, sécurise les environnements Microsoft 365 des PME de Marseille, Aix-en-Provence, Nice, Sophia Antipolis, Toulon, Cannes et Monaco, avec une intervention sur site possible en moins de 4 heures. Organisme certifié Qualiopi (NDA 93060746406), Adigit forme aussi l’administrateur interne à la gestion des alertes, avec un financement possible par l’OPCO.
Sur le terrain, la différence se voit au moment de l’incident. Chez une PME marseillaise accompagnée par Adigit, une tentative de connexion depuis un appareil non conforme a été bloquée automatiquement par Microsoft Intune, avant tout accès aux données de l’entreprise. Dans les environnements que nous auditons, les premières actions qui font progresser le Secure Score sont presque toujours les mêmes : l’authentification multifacteur sur tous les comptes, la suppression des comptes inactifs et le blocage du transfert automatique des emails vers l’extérieur.
La plupart des PME n’ont pas besoin d’outils supplémentaires pour être mieux protégées : elles ont besoin que ceux qu’elles paient déjà soient configurés dans le bon ordre, et que quelqu’un en interne sache réagir à une alerte. Mesurer son Secure Score aujourd’hui, c’est savoir précisément où l’on en est avant qu’un incident ne le révèle.
Rédigé par l’équipe technique Adigit — Microsoft Solutions Partner, partenaire Microsoft depuis 2001. Organisme de formation certifié Qualiopi. Intervention sur site en région PACA en moins de 4 heures.
Vous dirigez une PME en PACA et vous voulez savoir où en est la sécurité de votre Microsoft 365 ?
Demandez votre audit gratuit ci dessous ou au 04 86 68 89 90 — du lundi au vendredi, 9h–18h
Le Microsoft Secure Score est un indicateur fourni gratuitement par Microsoft dans le portail Microsoft Defender, qui mesure en pourcentage le niveau de sécurité d'un environnement Microsoft 365. Il liste les actions de sécurité recommandées, le nombre de points que rapporte chacune et celles déjà réalisées. Pour une PME, c'est le point de départ le plus objectif d'une sécurisation : il permet de prioriser les corrections et de mesurer le progrès avant et après intervention.
Toute PME dont l'environnement Microsoft 365 a été mis en place sans revue de sécurité est concernée, en particulier à partir de 10 collaborateurs ou dès que des salariés accèdent à leur messagerie depuis un smartphone ou un ordinateur portable hors du bureau. Les secteurs qui manipulent des données clients sensibles, comme les agences immobilières, les cabinets d'expertise comptable ou les cabinets juridiques de Marseille, Aix-en-Provence ou Nice, sont les plus exposés.
Le coût combine les licences et la prestation. Microsoft Defender for Business est proposé à partir de 3 dollars US par utilisateur et par mois en licence autonome, à ajouter à Business Standard. Microsoft 365 Business Premium, qui l'inclut avec Microsoft Intune et l'accès conditionnel, coûte 19,06 euros HT par utilisateur et par mois en facturation annuelle, ou 22,87 euros HT en facturation mensuelle, au tarif catalogue Microsoft ; ces prix varient selon le type de contrat et la date d'achat. Côté prestation, un premier audit de sécurité est proposé sans engagement par Adigit, puis la mise en œuvre varie de quelques centaines à quelques milliers d'euros selon la taille du parc.
Sources tarifaires : Microsoft 365 Business Premium · Tarification Microsoft Defender
La sécurisation des identités, qui couvre l'authentification multifacteur, les comptes administrateurs et la suppression des comptes inactifs, se réalise généralement en quelques jours. Le déploiement complet des cinq étapes, avec la protection des appareils par Microsoft Defender for Business et leur gestion par Microsoft Intune, demande en général deux à quatre semaines pour une PME de 20 à 50 postes, selon l'état du parc et le nombre de sites.
Un partenaire Microsoft certifié qui maîtrise Microsoft Entra ID, Microsoft Defender for Business et Microsoft Intune est le mieux placé pour sécuriser un environnement Microsoft 365 de PME. En région PACA, Adigit, Microsoft Solutions Partner et organisme de formation certifié Qualiopi, réalise ces missions à Marseille, Aix-en-Provence, Nice, Sophia Antipolis, Toulon, Cannes et Monaco, avec une mesure du Microsoft Secure Score avant et après intervention et une intervention sur site possible en moins de 4 heures.
Une configuration Microsoft 365 jamais revue laisse généralement des comptes sans authentification multifacteur, des comptes d'anciens salariés actifs et des postes sans protection avancée contre les ransomwares. Le premier mot de passe dérobé par hameçonnage peut alors suffire à accéder à la messagerie, aux fichiers SharePoint et aux échanges clients. Les conséquences les plus fréquentes sont la fraude au virement, la fuite de données soumises au RGPD et l'arrêt d'activité en cas de chiffrement des postes.