Sécurité des identités · Contrôle des accès
Famille de services: CybersécuritéProtégez les comptes que les attaquants convoitent le plus
La plupart des attaques modernes commencent par un identifiant volé ou détourné. Nous concevons et entretenons les contrôles d’identité qui entourent Microsoft 365 et vos applications d’affaires, afin que les bonnes personnes aient les bons accès et que les connexions suspectes soient repérées et traitées.
En bref
- Service
- Conception et gestion continue des contrôles d’identité et d’accès, principalement dans Microsoft Entra ID
- Idéal pour
- Organisations d’environ 5 à 200 employés qui utilisent Microsoft 365 et des applications infonuagiques à partir de nombreux endroits
- Principaux éléments inclus
- Politiques d’accès conditionnel, séparation des rôles d’administrateur, blocage de l’authentification héritée, revues des accès et des invités, examen des connexions à risque pendant les heures convenues et authentification unique pour les applications prises en charge
- Non inclus par défaut
- Licences Entra ID P1 ou P2, intégrations d’identité personnalisées, refonte de l’annuaire local et intervention en dehors des heures convenues
- Note sur les licences
- L’accès conditionnel exige Entra ID P1 (compris dans Microsoft 365 Business Premium) ; les politiques fondées sur le risque exigent Entra ID P2
- Base de tarification
- Par utilisateur, par mois, pour la gestion continue, avec les travaux de conception initiale soumissionnés séparément par écrit
- Pour commencer
- Commencez par une Évaluation de sécurité Microsoft 365 ou réservez une consultation
Ce que signifie concrètement la sécurité des identités
La sécurité des identités est l’ensemble des contrôles qui déterminent qui peut se connecter, d’où, sur quels appareils et avec quel niveau de privilège. Dans une organisation Microsoft 365, l’essentiel se trouve dans Microsoft Entra ID : comptes d’utilisateurs et d’administrateurs, groupes, politiques d’accès conditionnel, méthodes d’authentification, inscriptions d’applications et accès des invités.
L’authentification multifacteur est un élément important de la sécurité des identités, et nous lui consacrons une page distincte. Ce service-ci est plus large : il détermine quand l’authentification multifacteur est exigée et quel niveau de robustesse elle doit avoir, sépare les comptes de tous les jours des comptes administrateurs, retire les accès qui ne sont plus nécessaires et intervient lorsque Entra ID signale une connexion comme risquée.
L’identité est désormais le principal périmètre de la plupart des petites organisations. Le personnel travaille de la maison, chez des clients et sur son téléphone, et les données se trouvent dans le nuage. Bien gérer les identités réduit davantage les risques courants que presque n’importe quel autre investissement pris isolément.
Les faiblesses d’identité que nous trouvons souvent
Des comptes quotidiens dotés de droits d’administrateur
Des propriétaires et des responsables TI lisent leurs courriels et naviguent sur le Web avec des privilèges d’administrateur général, si bien qu’un seul clic sur un hameçon peut compromettre tout le locataire.
Des connexions héritées encore permises
D’anciens protocoles incapables d’imposer l’authentification multifacteur restent activés, ce qui donne aux attaquants un moyen de contourner des contrôles plus robustes.
Des accès jamais retirés
D’anciens employés, des sous-traitants et des invités gardent l’accès à des boîtes aux lettres, à des sites SharePoint et à des applications longtemps après leur départ.
Aucune réaction aux connexions à risque
Les connexions depuis des pays inhabituels ou impliquant un déplacement impossible sont consignées, mais personne ne les examine avant qu’une boîte aux lettres commence à envoyer des messages frauduleux.
Les contrôles d’identité que nous gérons
Accès conditionnel
Des politiques qui exigent l’authentification multifacteur, bloquent l’authentification héritée, exigent des appareils conformes pour les applications sensibles et restreignent les connexions selon l’emplacement au besoin.
Séparation des comptes privilégiés
Comptes administrateurs dédiés, rôles au moindre privilège au lieu d’administrateur général et Privileged Identity Management pour l’élévation juste-à-temps, selon les licences.
Comptes d’accès d’urgence
Comptes de secours créés, correctement exclus des politiques, protégés par des identifiants robustes et surveillés pour détecter toute utilisation.
Cycle de vie et revues des accès
Processus d’arrivée, de mutation et de départ liés aux avis des ressources humaines, avec des revues périodiques des membres des groupes, des utilisateurs invités et des autorisations d’applications.
Examen des connexions et des utilisateurs à risque
Journaux de connexion et détections de risque d’Entra ID examinés pendant les heures convenues, avec réinitialisation des mots de passe, révocation des sessions et blocage des comptes lorsque la situation le justifie.
Authentification unique et consentement aux applications
Authentification unique pour les applications SaaS prises en charge et paramètres de consentement qui empêchent le personnel d’accorder des autorisations risquées à des applications inconnues.
Portée du service
Généralement inclus
- Conception, déploiement par étapes et entretien des politiques d’accès conditionnel
- Revue des rôles d’administrateur et séparation des comptes privilégiés
- Mise en place et surveillance des comptes d’accès d’urgence
- Blocage des protocoles d’authentification hérités
- Revues trimestrielles des accès aux groupes, des invités et des autorisations d’applications
- Examen des connexions et des utilisateurs à risque pendant les heures convenues
- Configuration de l’authentification unique pour les applications prises en charge énumérées dans votre portée
Nécessite une portée ou une soumission distincte
- Entra ID P1 ou P2 et autres achats de licences
- Développement SAML ou OIDC personnalisé pour des applications internes
- Projets de refonte d’Active Directory ou de regroupement de forêts
- Intervention sur les alertes d’identité en dehors des heures convenues, sauf si elle est inscrite dans votre plan
- Plateformes d’identité destinées à la clientèle (connexion des consommateurs)
Technologies en jeu
- Microsoft Entra ID, accès conditionnel et politique des méthodes d’authentification
- Entra ID Protection et Privileged Identity Management, selon les licences
- Microsoft Entra Connect ou Cloud Sync pour Active Directory en mode hybride
- Conformité des appareils Microsoft Intune comme condition de connexion
- Microsoft Defender for Identity, selon les licences
- Authentification unique SAML et OpenID Connect pour les applications SaaS
Qui en a besoin
Équipes hybrides et à distance
Organisations dont le personnel se connecte chaque jour de la maison, de chez des clients et depuis des appareils mobiles.
Entreprises où le personnel change souvent
Entreprises de construction, de services professionnels et saisonnières où les sous-traitants et les employés vont et viennent fréquemment.
Organisations victimes d’une compromission de boîte aux lettres
Équipes qui ont subi une prise de contrôle de compte ou une fraude par fausse facture et qui veulent combler les lacunes de façon méthodique.
Ce qui s’améliore
- Les mots de passe volés deviennent beaucoup moins utiles aux attaquants
- Les privilèges d’administrateur sont limités au moment et à l’endroit où ils sont nécessaires
- Le personnel qui part perd ses accès rapidement et de façon uniforme
- Les connexions suspectes sont examinées au lieu d’être enfouies dans les journaux
- Une documentation claire de qui a accès à quoi, pour vos clients et vos assureurs
Comment nous mettons en œuvre la sécurité des identités
Revue des identités
Nous exportons les comptes, les rôles, les méthodes de connexion, les utilisateurs invités et les autorisations d’applications pour dresser le portrait de la situation actuelle.
Conception des politiques
Nous proposons un accès conditionnel et une séparation des comptes administrateurs adaptés à vos licences, à vos appareils et à vos façons de travailler.
Essais en mode rapport seulement
Les nouvelles politiques sont d’abord exécutées en mode rapport seulement afin de voir qui serait touché avant de les appliquer.
Application par étapes
Les politiques sont appliquées groupe par groupe, avec des communications au personnel et un centre d’assistance prêt à intervenir.
Gestion continue
Les revues des accès, le traitement des connexions à risque et la mise à jour des politiques se poursuivent selon votre portée.
Façons d’acheter
Les prix sont proposés, puis confirmés dans une soumission écrite.
Projet de sécurité des identités
Conception et déploiement ponctuels de l’accès conditionnel, de la séparation des comptes administrateurs et du blocage de l’authentification héritée.
Gestion continue des identités
Gestion mensuelle par utilisateur des politiques, des revues et des risques de connexion, une fois la base en place.
Dans l’administration de Microsoft 365
Regroupez la sécurité des identités et l’administration quotidienne du locataire sous un seul responsable.
Questions fréquentes
L’authentification multifacteur suffit-elle à elle seule ?
L’authentification multifacteur bloque une grande part des attaques fondées sur les mots de passe, mais les attaquants utilisent aussi des mandataires d’hameçonnage, la fatigue des notifications et le vol de jetons. L’accès conditionnel, des méthodes résistantes à l’hameçonnage pour les administrateurs, la conformité des appareils et l’examen des connexions ajoutent les couches que l’authentification multifacteur seule n’offre pas.
Avons-nous besoin d’Entra ID P2 ?
Pas nécessairement. Microsoft 365 Business Premium comprend Entra ID P1, qui couvre l’accès conditionnel. P2 ajoute les politiques fondées sur le risque et Privileged Identity Management, que nous recommandons lorsque l’exposition des administrateurs ou la sensibilité des données justifie le coût.
L’accès conditionnel va-t-il bloquer des gens hors de leur compte ?
Des politiques mal conçues le peuvent. C’est pourquoi nous faisons des essais en mode rapport seulement, conservons des comptes d’accès d’urgence et déployons par étapes avec du soutien disponible.
Pouvez-vous gérer les identités pour des applications hors de Microsoft 365 ?
Oui, lorsque l’application prend en charge l’authentification unique avec Entra ID. Nous énumérons les applications prises en charge dans votre portée ; les intégrations personnalisées sont soumissionnées séparément.
Services connexes
Produits et forfaits
Secteurs que nous soutenons
Régions desservies
Pour aller plus loin
Découvrez qui peut se connecter à quoi, et avec quel niveau de sécurité
Nous examinerons la configuration de vos identités et vous proposerons un plan écrit pour les contrôles les plus importants.