Zero Trust pour Microsoft 365 : une architecture de référence pragmatique et l'ordre pour la construire
Zero Trust est devenu un argument commercial appliqué à presque tout. Derrière le slogan, il existe pourtant une démarche d'architecture précise : ne jamais accorder un accès sur la seule base de l'emplacement réseau, vérifier chaque demande et limiter les conséquences d'une compromission. Voici comment la traduire dans Microsoft 365, pilier par pilier.
Trois principes, six piliers
Zero Trust repose sur trois principes : vérifier explicitement chaque accès à partir de tous les signaux disponibles, appliquer le moindre privilège en durée comme en périmètre, et présumer la compromission en concevant l'environnement pour contenir et détecter un attaquant déjà présent. Ces principes s'appliquent à six domaines : identités, appareils, applications, données, réseau et infrastructure, et enfin télémétrie.
Dans Microsoft 365, le point de décision central est l'accès conditionnel d'Entra ID. C'est lui qui combine les signaux (identité, appareil, risque, emplacement, application) pour autoriser, exiger une vérification supplémentaire ou bloquer.
Identités : la fondation
Sans identités maîtrisées, le reste ne tient pas. Le socle comprend :
- la MFA pour tous, avec des méthodes résistantes au hameçonnage pour les administrateurs ;
- le blocage de l'authentification héritée ;
- des stratégies d'accès conditionnel organisées par populations, avec des exclusions limitées et revues ;
- des rôles privilégiés en juste-à-temps, des comptes d'administration cloud natifs et des comptes d'urgence surveillés ;
- une gouvernance des applications et des consentements.
Appareils et applications
Le deuxième pilier consiste à faire de l'état de l'appareil un critère d'accès. Avec Intune, on définit des règles de conformité (chiffrement, version du système, protection active) et l'accès conditionnel exige un appareil conforme ou joint pour les ressources sensibles. Pour les appareils personnels, les stratégies de protection des applications permettent de protéger les données dans les applications mobiles sans gérer l'appareil entier.
Côté applications, l'objectif est de faire passer toutes les applications de l'entreprise par Entra ID pour l'authentification, afin qu'elles bénéficient des mêmes contrôles. Les applications qui échappent à l'accès conditionnel sont autant de portes latérales.
Erreur fréquente. Exiger un appareil conforme sans avoir fiabilisé l'inventaire et les règles de conformité produit soit des blocages massifs, soit des exclusions si larges qu'elles annulent la mesure. Le mode rapport seul de l'accès conditionnel permet de mesurer l'impact avant d'appliquer.
Données et réseau
Le pilier données s'appuie sur la classification : étiquettes de confidentialité, prévention des pertes de données, maîtrise du partage externe. Il ne s'agit pas d'étiqueter tout le patrimoine d'un coup, mais d'identifier les données les plus sensibles et de leur appliquer des protections qui les suivent hors du locataire.
Le pilier réseau ne disparaît pas avec Zero Trust : il change de rôle. Le réseau interne cesse d'être une zone de confiance ; l'accès aux applications internes se fait application par application, avec les mêmes contrôles d'identité que pour le cloud. Les briques de Global Secure Access ou le proxy d'application d'Entra s'inscrivent dans cette logique.
Télémétrie : voir pour réagir
Présumer la compromission impose de détecter. Les journaux de connexion et d'audit d'Entra ID, le journal d'audit unifié de Microsoft 365, les alertes de Defender XDR et, le cas échéant, un SIEM doivent être exploités, pas seulement collectés. La protection d'identité fondée sur le risque, lorsqu'elle est disponible, réinjecte ces signaux dans les décisions d'accès.
L'ordre de construction
Dans nos missions, l'ordre qui produit le plus de résultats pour l'effort consenti est le suivant :
- protéger les comptes privilégiés et les comptes d'urgence ;
- déployer la MFA pour tous et bloquer l'authentification héritée ;
- structurer l'accès conditionnel par populations ;
- rendre les journaux exploitables et traiter les alertes ;
- intégrer la conformité des appareils dans les décisions d'accès ;
- étendre aux applications internes et au partage des données ;
- classifier et protéger les données sensibles.
Les fonctionnalités disponibles dépendent des licences ; vérifiez ce que couvre votre contrat avant de bâtir la feuille de route, plutôt que de découvrir un manque en cours de projet.
Ce qu'un audit vérifie
- La couverture réelle de la MFA et le blocage effectif de l'authentification héritée.
- La cohérence du jeu de stratégies d'accès conditionnel et l'ampleur des exclusions.
- L'usage de l'état de l'appareil dans les décisions d'accès aux ressources sensibles.
- Les applications qui contournent Entra ID pour l'authentification.
- La maîtrise du partage externe et la protection des données sensibles.
- L'exploitation effective des journaux et des alertes.