Faire le tour d'un tenant Microsoft 365 peut vite devenir un gros chantier. Je préfère le découper : les identités, les appareils, la messagerie, puis la collaboration. L'objectif est d'obtenir une liste de choses à vérifier, avec un responsable pour chacune.
1. Les identités
Commencez par les utilisateurs et les droits : les comptes encore nécessaires, les attributions d'administration et la façon dont le MFA est demandé.
Une méthode MFA enregistrée ne prouve pas que le MFA est exigé à chaque accès concerné. Il faut rapprocher l'enregistrement, les stratégies applicables et les journaux de connexion. Regardez aussi les comptes d'urgence et les identités utilisées pour les scripts.
2. Les appareils
Si vous utilisez Intune, vérifiez les appareils connus, leur activité et le résultat des stratégies de conformité. Un statut « conforme » dépend de ce que votre stratégie contrôle réellement.
Examinez le chiffrement, les versions de système et les règles d'accès aux données. Un inventaire Intune ne représente pas forcément tous les appareils qui accèdent à Microsoft 365 : le périmètre de gestion compte.
3. La messagerie
Reprenez les services qui envoient pour vos domaines, la configuration SPF/DKIM/DMARC et les transferts vers l'extérieur. Je détaille ces vérifications dans l'article sur la messagerie Microsoft 365. Regardez aussi les applications autorisées à accéder à la messagerie.
Une règle ou une application signalée demande une explication. Il faut éviter de supprimer un accès utile simplement parce qu'il apparaît dans une colonne orange.
4. Teams et les accès externes
Vérifiez qui peut inviter des personnes externes, quels invités sont encore utiles et comment les applications sont autorisées. Comparez les réglages avec vos usages : une entreprise qui collabore avec des partenaires n'a pas les mêmes besoins qu'une autre.
Ce que je ferais ensuite
Pour chaque point, notez le résultat, les données manquantes, l'action envisagée et la personne qui la valide. Commencez par un changement que vous pouvez expliquer, tester et annuler si nécessaire.
J'ai créé AuditMS pour aider à faire ce premier tour. Le rapport rassemble les contrôles disponibles et signale leurs limites. Le travail de décision reste entre vos mains.