Méthode d'audit et calcul du score
Comment nous nous connectons à votre tenant, à quoi nous comparons chaque réglage, et comment le score de protection est calculé. Sans boîte noire.
Le déroulé d'un audit
- Cadrage. Un échange sur votre environnement, vos licences et vos enjeux. Les audits sont paramétrés pour votre tenant.
- Connexion. Vous accordez un accès délégué le temps de la configuration : SF2i enregistre l'application d'audit dans votre tenant. L'audit s'y connecte ensuite en lecture seule, par certificat.
- Analyse. Plus de 180 contrôles sont exécutés automatiquement, sur la plateforme hébergée et supervisée par SF2i.
- Livraison. Rapport interactif, synthèse PDF, export Excel et résumé par e-mail, déposés sur votre SharePoint. Le premier rapport arrive sous 48 h.
- Suivi. L'audit repasse automatiquement une fois par mois et mesure l'évolution.
Un accès en lecture seule
L'audit observe sans jamais modifier. Il lit la configuration de votre tenant via les API Microsoft 365, avec une authentification par certificat plutôt que par mot de passe. Rien n'est installé sur vos postes ni sur vos serveurs, et vos utilisateurs ne voient aucune différence. Les corrections restent entre vos mains, ou celles de votre prestataire.
Les trois référentiels
- CIS Microsoft 365 Foundations Benchmark. Le référentiel du Center for Internet Security, reconnu internationalement, qui décrit la configuration sécurisée de chaque service Microsoft 365. Chaque contrôle porte son numéro, par exemple CIS 5.2.2.1 pour le MFA des comptes à privilèges.
- Guide d'hygiène informatique de l'ANSSI. Les mesures essentielles publiées par l'Agence nationale de la sécurité des systèmes d'information, référence en France. Exemple : mesure n°13 pour l'authentification multifacteur.
- Microsoft Security Baseline. Les recommandations de sécurité publiées par Microsoft pour ses propres services.
Les statuts d'un contrôle
- Conforme le réglage est aligné sur les recommandations (conformité 1).
- Avertissement le réglage protège partiellement (conformité 0,5).
- Non conforme le réglage est absent ou contraire aux recommandations (conformité 0).
- Optimisation une amélioration de coûts ou d'hygiène, hors score.
- Information un indicateur de contexte, hors score.
Quand un contrôle ne s'applique qu'à une partie du parc, par exemple une politique Exchange qui ne couvre qu'une fraction des boîtes, la conformité devient proportionnelle à la couverture. Une règle mal configurée mais minoritaire ne pèse qu'à hauteur de sa part.
Le calcul du score
Chaque contrôle porte une criticité de 1 (mineur) à 5 (critique), qui reflète son impact sur la sécurité. Le score d'un domaine est la moyenne des conformités, pondérée par la criticité :
Score du domaine = Σ (criticité × conformité) ÷ Σ (criticité)
Le score global, appelé protection face au risque, pondère ensuite chaque domaine selon la part du risque réel qu'il porte, indépendamment de son nombre de contrôles :
Protection = Σ (poids du domaine × score du domaine) ÷ Σ (poids des domaines audités)
| Domaine | Rôle | Poids |
|---|---|---|
| Exchange Online | Messagerie, principale surface d'attaque | 45 |
| Entra ID | Identité, clé de voûte | 37 |
| SharePoint Online | Documents et intranet | 7 |
| Microsoft Teams | Collaboration | 6 |
| OneDrive | Fichiers personnels | 5 |
Un domaine non audité est écarté, et les poids des autres sont recalculés.
Un exemple chiffré
Prenons un tenant avec Entra ID à 95 %, Exchange Online à 70 %, et SharePoint, Teams et OneDrive à 100 %.
| Domaine | Poids × score |
|---|---|
| Exchange Online | 45 × 70 = 3 150 |
| Entra ID | 37 × 95 = 3 515 |
| SharePoint, Teams, OneDrive | (7 + 6 + 5) × 100 = 1 800 |
| Protection face au risque | 8 465 ÷ 100 = 84,7 % |
Une moyenne simple des cinq domaines donnerait 93 %, et masquerait la faiblesse de la messagerie. Avec la pondération, les 30 points manquants sur Exchange coûtent 13,5 points au score global : le résultat reflète le risque réel.
Les niveaux de protection
| Score | Exposition | Maturité |
|---|---|---|
| 95 % et plus | Exposition faible | Optimisé, bon niveau de sécurité |
| 80 à 94 % | Exposition modérée | Avancé, niveau à optimiser |
| 65 à 79 % | Exposition sensible | Intermédiaire, niveau à renforcer |
| 50 à 64 % | Exposition élevée | Initial, lacunes significatives |
| Moins de 50 % | Exposition critique | Niveau insuffisant |
Entra ID et Exchange Online sont des domaines fondamentaux : si l'un d'eux passe sous 70 %, il est signalé en priorité, quel que soit le score global.
Ce que l'audit ne remplace pas
Sentinel Audit365 évalue la configuration de Microsoft 365. Il ne remplace ni un test d'intrusion, ni l'audit de vos postes, serveurs et réseau, ni une supervision de sécurité en temps réel. C'est un socle : il garantit que les réglages de base sont en place, et qu'ils le restent.
Prêt à voir ce que cache votre tenant ? Premier rapport sous 48 h.
Un abonnement, un audit automatique chaque mois, sans rien à lancer. Un premier échange suffit pour démarrer. Nous intervenons en Nouvelle-Calédonie, en Polynésie française et en France.
- Nouvelle-Calédonie+687 24 23 22
- Polynésie française+689 40 42 90 79
- France+33 2 96 47 48 05