Messagerie et Microsoft 365

La messagerie est l'outil le plus attaqué d'une PME, parce qu'elle concentre les échanges avec les clients, les factures et les réinitialisations de mots de passe. L'entretenir, c'est quatre choses : activer les protections de base de Microsoft 365, authentifier le domaine de l'entreprise pour qu'on ne puisse pas l'usurper facilement, décider combien de temps les courriels et les fichiers sont conservés, et surveiller ce qui est partagé à l'extérieur. La mesure 24 du guide d'hygiène informatique de l'ANSSI tient en quatre mots : protéger sa messagerie professionnelle.

Les protections de base de Microsoft 365

Microsoft 365 propose des paramètres de sécurité par défaut : ils exigent l'inscription de tous les utilisateurs à l'authentification multifacteur, l'imposent aux administrateurs et bloquent les anciens protocoles d'authentification. Pour une PME sans licence qui permette des règles plus fines, c'est le socle à vérifier en premier. La même logique vaut pour le mot de passe de la messagerie, que Cybermalveillance.gouv.fr demande de choisir particulièrement robuste.

SPF, DKIM et DMARC : authentifier le domaine de l'entreprise

Trois enregistrements DNS permettent aux serveurs de messagerie de vérifier qu'un courriel qui se réclame du domaine de l'entreprise vient bien d'elle : SPF déclare les serveurs autorisés à envoyer, DKIM signe chaque message, et DMARC dit au destinataire quoi faire d'un message qui échoue aux deux premiers contrôles. Microsoft conseille d'examiner les rapports agrégés DMARC chaque semaine pendant le déploiement initial, puis tous les mois une fois le système stabilisé.

Conserver, partager, signaler

Combien de temps garder un courriel ou un fichier est une décision de l'entreprise, pas un réglage technique : les stratégies de rétention de Microsoft 365 appliquent cette décision, et les durées de conservation de la CNIL l'encadrent pour les données personnelles. La rétention ne remplace pas une sauvegarde : le poste sauvegardes traite de la copie des données de Microsoft 365.

Les partages externes de OneDrive et de SharePoint se règlent par niveau, comme le décrit la documentation des paramètres de partage, et une revue des liens ouverts à l'extérieur évite qu'un dossier client reste accessible des mois après la fin d'un projet. Enfin, un courriel frauduleux se signale, par exemple sur Signal Spam, et se retire des autres boîtes avant qu'un collègue ne clique.

Messagerie : ce que fait le prestataire, ce que garde l'entreprise

Les gestes du poste messagerie

Les procédures du poste : activer les paramètres de sécurité par défaut de Microsoft 365, configurer SPF, DKIM et DMARC, signaler un courriel frauduleux et prévenir l'équipe, régler la rétention des courriels et des fichiers et contrôler les partages externes OneDrive et SharePoint.