En 2026, plus de 80 % des PME et ETI françaises font tourner leur messagerie, leurs fichiers et leur collaboration sur Microsoft 365. Or, par défaut, un tenant Microsoft 365 n'est pas configuré pour résister à une attaque ciblée : les jetons d'authentification volés, les règles de boîte malveillantes et les partages publics restent les principaux vecteurs de compromission. Une étude récente estime qu'un compte sans authentification multifacteur a plus de 99 % de risques en moins d'être piraté une fois le MFA activé. La bonne nouvelle pour les PME : la plupart des réglages essentiels sont déjà inclus dans les licences que vous payez. Encore faut-il les activer correctement. Voici les paramètres prioritaires à mettre en place sur Microsoft 365 et le cloud.
Activer le MFA et l'accès conditionnel pour bloquer le vol d'identité
L'authentification multifacteur (MFA) est la première barrière, mais elle ne suffit plus seule en 2026. Les attaquants contournent désormais le MFA classique par phishing de jeton (adversary-in-the-middle). La réponse est l'accès conditionnel (Conditional Access) inclus dans Microsoft Entra ID : vous définissez des règles qui exigent un MFA résistant au phishing (clé FIDO2, Windows Hello, ou l'app Authenticator avec correspondance de numéro) et qui bloquent les connexions depuis des pays où vous n'opérez pas, les protocoles d'authentification hérités (POP, IMAP, SMTP basic) et les appareils non conformes.
Pour une PME, trois politiques couvrent l'essentiel : MFA obligatoire pour tous les comptes administrateurs sans exception, MFA pour l'ensemble des utilisateurs, et blocage de l'authentification héritée, responsable de la majorité des attaques par force brute. Ces réglages sont activables en moins d'une journée et constituent le meilleur rapport effort/risque évité de tout le projet.
Verrouiller les comptes à privilèges et appliquer le moindre privilège
Un seul compte administrateur global compromis donne les clés du tenant entier. La règle en 2026 : limiter le nombre d'administrateurs globaux à deux ou trois maximum, créer des comptes admin dédiés distincts des boîtes mail quotidiennes, et activer la gestion des accès privilégiés à la demande (Privileged Identity Management) pour que les droits sensibles ne soient octroyés que temporairement, avec justification et journalisation.
Le principe du moindre privilège s'applique aussi aux rôles métier : un utilisateur des ventes n'a pas besoin d'accéder aux ressources RH ou financières. Pour les PME et ETI qui n'ont pas d'équipe sécurité dédiée, ce cloisonnement réduit drastiquement la surface d'attaque et limite les dégâts si un poste est infecté par un rançongiciel.
Protéger la messagerie et les données : anti-phishing, DLP et chiffrement
La messagerie reste le point d'entrée numéro un. Au-delà du filtre anti-spam par défaut, activez les politiques anti-phishing et anti-usurpation de Defender for Office 365, et publiez correctement vos enregistrements SPF, DKIM et DMARC en mode reject pour empêcher l'usurpation de votre nom de domaine. Surveillez aussi les règles de transfert automatique externes : leur création silencieuse est un signal classique d'exfiltration de données.
Côté données, la prévention des pertes de données (DLP) permet de détecter et bloquer l'envoi de documents sensibles (IBAN, numéros de sécurité sociale, données clients) hors de l'organisation. Couplée à la classification et au chiffrement des e-mails confidentiels, elle aide les PME françaises à tenir leurs obligations RGPD et à éviter les fuites coûteuses, dont le coût moyen dépasse désormais plusieurs centaines de milliers d'euros par incident.
Maîtriser le partage de fichiers SharePoint, OneDrive et Teams
Par défaut, SharePoint et OneDrive autorisent souvent le partage avec n'importe qui via des liens anonymes. C'est une porte ouverte. Le réglage essentiel consiste à restreindre le partage externe aux invités authentifiés uniquement, à fixer une date d'expiration automatique des liens (par exemple 30 jours) et à désactiver les liens anonymes pour les bibliothèques sensibles.
Dans Teams, encadrez la création d'équipes et l'accès des invités, et nettoyez régulièrement les comptes externes qui n'ont plus de raison d'être. Pour une ETI, l'ajout d'étiquettes de confidentialité (Sensitivity Labels) automatise l'application de ces règles selon le niveau de classification du document, sans dépendre de la vigilance de chaque collaborateur.
Sauvegarder, journaliser et surveiller : ne pas confondre Microsoft 365 et sauvegarde
Erreur fréquente en PME : croire que Microsoft sauvegarde vos données. Microsoft garantit la disponibilité de la plateforme, pas la récupération de vos fichiers après une suppression, un rançongiciel ou un départ de salarié. Une solution de sauvegarde tierce des boîtes mail, SharePoint, OneDrive et Teams, avec une rétention de plusieurs mois et un test de restauration régulier, est indispensable en 2026.
Activez ensuite la journalisation d'audit unifiée et conservez les logs au moins 180 jours pour pouvoir investiguer en cas d'incident. Pour les organisations soumises à NIS2 ou DORA, la supervision continue via un SOC managé 24/7 transforme ces journaux en détection active : tentatives de connexion anormales, création de règles malveillantes, élévation de privilèges sont repérées et traitées avant qu'elles ne deviennent une crise.
Passer à l'action avec My Trust Partner
Activer ces réglages demande du temps, une bonne connaissance d'Entra ID et de Defender, et un suivi dans la durée. Chez My Trust Partner, intégrateur de cybersécurité pour PME, ETI et grands comptes en France, nous réalisons un diagnostic complet de votre tenant Microsoft 365 et de votre environnement cloud, puis nous priorisons et déployons les correctifs : MFA et accès conditionnel, durcissement des comptes à privilèges, DLP, gouvernance du partage et sauvegarde.
Au-delà de la mise en conformité ponctuelle, nous vous accompagnons dans la durée avec un SOC managé 24/7, un RSSI externalisé (CISO as a Service) et un alignement sur vos obligations NIS2, DORA et RGPD. Pour évaluer la posture de sécurité de votre cloud et obtenir une feuille de route claire, demandez un diagnostic sur mytrustpartner.fr : vous saurez en quelques jours où se situent vos risques et par quoi commencer.