Audit dédié ou Microsoft Secure Score : ce qui change
Le Secure Score de Microsoft est un point de départ utile, mais il n'a jamais été conçu comme un audit de sécurité complet — et il s'arrête au cloud. S'y fier seul, c'est se priver de profondeur, de priorisation, de constats nominatifs, et de tout ce qui se passe dans votre annuaire. Voici où un audit dédié prend le relais.
Ce que le Secure Score fait bien
Le Secure Score est intégré à Microsoft 365 et donne une indication rapide et gratuite de votre posture cloud. C'est un bon premier signal — il repère les écarts évidents et suit quelques actions d'amélioration. Pour une petite structure qui démarre, c'est mieux que rien, et le surveiller ne coûte rien.
Là où il s'arrête
1. Il s'arrête au cloud
C'est l'écart le plus sous-estimé. Le Secure Score ne dit rien de votre Active Directory — ni Kerberoasting, ni DCSync, ni délégation ACL oubliée, ni modèle AD CS. Or dans la plupart des compromissions par rançongiciel, l'attaquant a pris le contrôle de l'annuaire avant de chiffrer quoi que ce soit.
2. La profondeur
Le Secure Score couvre environ quatre-vingts vérifications. Les deux outils GUARD exécutent ensemble 494 contrôles — dont 318 sur Entra ID et Microsoft 365 seuls, soit déjà quatre fois la couverture, sur des domaines que le Secure Score n'évalue tout simplement pas.
3. Un chiffre, pas un plan d'action
Le Secure Score donne un pourcentage et quelques suggestions, mais pas un plan de remédiation priorisé avec gravité, références normatives, objets nommés et étapes concrètes. Il dit approximativement où vous en êtes, pas clairement quoi faire ensuite — et il ne dit pas quels comptes ou quelles ressources sont en cause.
4. Aucune pondération que vous maîtrisez
Vous ne pouvez pas l'ajuster à votre contexte — écarter les contrôles hors périmètre, ou relever le poids de ceux qui sont critiques chez vous. Un audit dédié permet de définir une baseline pour que le score reflète vos exigences, et consigne cette baseline dans le rapport.
5. Aucune preuve à remettre
Le Secure Score est un tableau de bord, pas un livrable. Il ne produit pas de rapport daté, à votre marque, que vous pourriez joindre à un dossier NIS2, à un questionnaire d'assureur ou à une revue de sécurité client.
Côte à côte
| Secure Score | Audit dédié | |
|---|---|---|
| Périmètre | Microsoft 365 et Entra ID | Entra ID & M365, Active Directory |
| Vérifications | ~80 | 494 sur deux référentiels |
| Constats nominatifs | Non | Oui — les comptes et ressources en cause |
| Plan d'action priorisé | Limité | Oui, avec références normatives |
| Baseline personnalisée | Non | Oui, et consignée dans le rapport |
| Restitution direction | Basique | Quatre à six types de rapport, cinq formats |
Il leur arrive aussi de diverger
Une recommandation du Secure Score est un jugement de Microsoft, évalué au rythme de Microsoft. Certains contrôles d'audit relaient délibérément ce verdict plutôt que de le réimplémenter — ils en héritent donc à la fois la fraîcheur et le décalage. D'autres lisent directement la propriété de configuration et peuvent donc contredire une recommandation périmée. Savoir lequel des deux on lit fait partie de la lecture correcte d'un rapport.
Utilisez les deux
Ce n'est pas l'un ou l'autre. Gardez un œil sur le Secure Score comme signal cloud continu, et lancez un audit dédié quand vous avez besoin de profondeur, de couverture on-premises, d'un score pondéré défendable et d'un vrai plan de remédiation. L'un est un cadran de tableau de bord ; l'autre est le contrôle technique complet.