Conseil 1 : authentification multifacteur (MFA)
L’authentification multifacteur ou MFA renforce considérablement la sécurité d’Office 365. Outre un mot de passe, la MFA requiert un code à usage unique pour se connecter. Celui-ci est envoyé en temps réel sur votre smartphone. Si les pirates parviennent à récupérer votre mot de passe, ils ne pourront toujours pas se connecter sans le deuxième code.
Conseil 2 : accès spécifique via les rôles Azure
Grâce aux rôles intégrés dans Azure (Owner, Contributor, Automation Operator…), vous pouvez accorder un accès spécifique à différents comptes. Soyez prudent lors de l’attribution des droits et suivez le principe du moindre privilège. N’accordez des droits qu’à ceux qui en ont vraiment besoin. Nous recommandons également de donner aux administrateurs deux comptes : un pour l’utilisation quotidienne, avec un compte de messagerie lié par exemple, un autre pour les tâches d’administrateur.
La gestion des identités privilégiées est une fonctionnalité d’Azure Active Directory Premium 2. Elle vous permet de donner un accès administrateur just in time aux services en ligne de Microsoft. Les administrateurs demandent des droits via des flux prédéfinis. Un manager doit approuver ces requêtes. Les utilisateurs ne disposent ainsi de droits d’administrateur que lorsqu’ils en ont besoin et ils ne les conservent pas en permanence.
Conseil 3 : accès conditionnel
Avec l’accès conditionnel, vous déterminez qui peut se connecter avec son compte Office 365, en fonction de la localisation, de l’adresse IP ou même du type d’appareil. Vous pouvez ainsi faire en sorte qu’une application ne soit accessible à un utilisateur que s’il surfe depuis une adresse IP connue (comme celle du bureau) avec un appareil conforme aux normes de sécurité prédéterminées. Il est donc beaucoup plus difficile pour les pirates d’accéder aux ressources de votre entreprise.
Conseil 4 : sécurité IT générale de votre entreprise
En marge de ces mesures spécifiques visant à sécuriser votre compte Azure, prenez aussi des mesures générales de sécurité IT. Un exemple ? Il est préférable d’utiliser un mot de passe d’au moins dix caractères, composé de lettres minuscules, de lettres majuscules et de caractères spéciaux. Pour les comptes administrateurs, choisissez des mots de passe d’au moins quinze caractères, à moins que vous n’ayez déjà mis en place des mesures supplémentaires telles que l’authentification multifacteur ou l’accès conditionnel.
Informez également vos collaborateurs des méthodes utilisées par les pirates pour s’emparer des mots de passe. En étant attentifs à quelques éléments, ils pourront rapidement distinguer un faux e-mail d’un vrai.
