Conformité Microsoft 365
La page Sécurité → Microsoft 365 (/m365/) répond à une question de RSSI : « mon tenant Microsoft 365 est-il configuré correctement, et par rapport à quel référentiel ? »
Elle réunit dans un seul tableau les contrôles que lisent des outils habituellement lancés séparément, et elle garde le lien avec le reste de votre SI.
Lecture seule
InfraRiver observe : il ne modifie rien dans le tenant. Seules des lectures Microsoft Graph, d'une liste fixe, sont faites, avec les permissions déjà accordées au connecteur Entra ID (plus une permission de lecture pour le Secure Score, voir plus bas).
Fait partie du connecteur Entra ID
La page Microsoft 365 est portée par le connecteur Entra ID : il doit être activé pour la voir (désactivé, la page se ferme et son lien disparaît du menu). La page de configuration du connecteur explique en bas de page les droits, les permissions et les licences.
Les contrôles
Chaque ligne est un contrôle, avec ses identifiants dans chaque référentiel :
- EIDSCA — les 44 contrôles du projet Maester (licence MIT) : méthodes d'authentification, droits par défaut des utilisateurs, consentement des applications, invités, protection des mots de passe ;
- SCuBA (CISA, domaine public) — les exigences Microsoft Entra ID qui se lisent en Graph : authentification héritée, MFA, utilisateurs et connexions à risque, authentification résistante au hameçonnage, expiration des mots de passe, nombre de Global Administrators, accès des invités.
Le texte des contrôles reste en anglais, tel que publié par le référentiel ; seuls les libellés de l'interface sont en français.
Statuts
| Statut | Sens |
|---|---|
| Conforme | la donnée a été lue et correspond à la valeur recommandée |
| Non conforme | la donnée a été lue et s'en écarte |
| À vérifier | la valeur n'est pas définie explicitement (Microsoft applique son réglage par défaut), ou une règle a besoin d'un examen — par exemple une politique d'accès conditionnel qui exclut des comptes |
| Non évalué | la donnée n'a pas pu être lue (permission ou licence manquante) : la raison est affichée — ce n'est jamais « conforme » |
| Accepté | non conforme, mais accepté avec une justification et une échéance |
Accepter le risque
Sur la fiche d'un contrôle non conforme ou à vérifier, Accepter le risque demande une justification (5 caractères au moins) et une durée (30 jours, 90 jours, 6 mois ou 1 an : une date de fin est obligatoire) et un motif (« Risque accepté » ou « Objet de test »). L'acceptation est inscrite au journal d'audit ; à l'échéance, le contrôle revient dans la liste des écarts à traiter. Il faut le droit Microsoft 365 — accepter un risque.
Dossier d'audit — le bouton du même nom télécharge une archive ZIP pour un auditeur (rapport PDF, contrôles avec leurs dates, exceptions, historique de la note, empreintes SHA-256) : voir Tableaux de bord.
Le tableau
Filtres par colonne, filtre avancé ET/OU, tri, sélecteur et ordre des colonnes, filtres enregistrables — comme les autres inventaires. Les cartes du haut comptent les contrôles non conformes (dont ceux de sévérité élevée ou critique), à vérifier, non évalués et acceptés.
Exporter (PDF, Excel, CSV) reprend la vue filtrée, avec la même mise en page que les autres rapports.
L'onglet Secure Score
Le Secure Score est le classement de Microsoft, avec son vocabulaire et ses propres recommandations : score courant et maximum, courbe d'évolution, puis la liste des recommandations (catégorie, points obtenus, coût de mise en œuvre, impact utilisateur, dernier état posé par un administrateur). Il n'est pas rapproché des contrôles ci-dessus.
Il demande la permission SecurityEvents.Read.All (lecture) sur l'application du connecteur. Tant qu'elle manque, l'onglet l'explique et le reste de la page fonctionne : un angle mort est signalé, jamais une erreur de synchronisation. Pour l'ajouter, relancez le script de provisionnement du connecteur avec le profil m365.
Ce que cette page ne regarde pas
Un bandeau le rappelle toujours :
- les réglages d'Exchange Online, Defender, Teams, SharePoint, Power Platform et Power BI ne se lisent pas en Graph : ils ne sont pas couverts pour l'instant ;
- les politiques d'accès conditionnel illisibles, le Secure Score illisible, et toute lecture qui a échoué sont listés avec leur raison ;
- sans aucune politique d'accès conditionnel, les contrôles correspondants sont non conformes ; si vous protégez votre tenant par les « paramètres de sécurité par défaut » de Microsoft, cette protection n'est pas évaluée.
Qui voit quoi
La page demande le droit Microsoft 365 — voir la conformité (accordé par défaut aux rôles Administrateur et Auditeur). Accepter un risque est réservé aux administrateurs. Les contrôles portent sur le tenant, pas sur des serveurs : le filtre « mes serveurs » ne s'applique pas.