DORA et Microsoft 365 : quelles preuves apporter sur votre environnement cloud ?
Le règlement européen sur la résilience opérationnelle numérique, dit DORA, s'applique depuis le 17 janvier 2025 aux banques, assureurs, sociétés de gestion et à de nombreux autres acteurs financiers. Pour la plupart d'entre eux, Microsoft 365 et Entra ID hébergent les identités, la messagerie et une large part des documents. Reste à transformer cette configuration en preuves exploitables.
DORA en quelques mots
DORA est un règlement européen directement applicable, complété par des normes techniques de réglementation qui détaillent les attentes. Il s'articule autour de plusieurs piliers : la gestion du risque lié aux TIC, la gestion et la notification des incidents, les tests de résilience opérationnelle, la gestion du risque lié aux prestataires tiers de services TIC et le partage d'informations. Nous ne citerons pas d'articles précis ici : le périmètre exact et l'interprétation relèvent de votre fonction conformité et de vos conseils juridiques.
Là où Microsoft 365 entre en jeu
Plusieurs exigences de DORA se traduisent très concrètement dans un tenant Microsoft 365 :
- Contrôle des accès : authentification forte, principe du moindre privilège, revue des comptes à privilèges, gestion des comptes externes ;
- Protection des actifs : chiffrement, étiquettes de confidentialité, prévention de la perte de données ;
- Journalisation : journal d'audit unifié actif, rétention adaptée, export vers un SIEM ;
- Détection : alertes de sécurité, détection des connexions à risque, surveillance des modifications de configuration ;
- Continuité : comptes d'accès d'urgence, sauvegarde des données selon le modèle de responsabilité partagée.
Les preuves attendues
Un superviseur ou un auditeur interne ne se contentera pas d'une politique rédigée. Il voudra voir que les mesures sont effectivement en place. Pour Microsoft 365, cela signifie par exemple : l'export des stratégies d'accès conditionnel et de leurs exclusions, la liste des titulaires de rôles privilégiés et leur mode d'activation (permanent ou via PIM), la durée de rétention des journaux d'audit et de connexion, la configuration de l'accès invité, ou encore l'état des applications disposant de permissions étendues.
La rétention par défaut des journaux dans Entra ID et Purview dépend de vos licences et reste souvent plus courte que ce qu'exige une investigation post-incident. L'export vers un espace de stockage ou un SIEM est généralement indispensable.
Ce qu'un audit de configuration apporte, et ses limites
Un audit de configuration fournit une photographie datée, reproductible et documentée de l'état du tenant, contrôle par contrôle. Il alimente directement le registre des risques et le plan de remédiation, et il permet de mesurer les progrès d'un audit à l'autre. En revanche, il ne remplace ni la surveillance continue, ni les tests de résilience, ni la procédure de notification des incidents. Il constitue une pièce du dossier, pas le dossier entier.
Répétez la mesure. Une preuve de conformité a plus de poids lorsqu'elle montre une tendance. Un audit trimestriel ou semestriel, avec les écarts corrigés entre deux campagnes, démontre une gestion active du risque plutôt qu'un état ponctuel.
Microsoft, prestataire tiers de services TIC
Pour une entité financière, Microsoft est un prestataire tiers qui soutient potentiellement des fonctions critiques ou importantes. DORA impose de recenser ces accords dans un registre d'informations, d'évaluer la concentration du risque et de prévoir des stratégies de sortie. Microsoft met à disposition de la documentation et des engagements contractuels destinés au secteur financier ; il vous appartient de les analyser avec vos équipes juridiques. N'oubliez pas le modèle de responsabilité partagée : Microsoft sécurise la plateforme, mais la configuration du tenant, les identités et les accès restent de votre ressort.
Par où commencer
- Cartographier les fonctions critiques qui reposent sur Microsoft 365.
- Réaliser un audit de configuration Entra ID et Microsoft 365 pour établir une base.
- Prioriser les écarts touchant aux accès privilégiés, à l'authentification et à la journalisation.
- Documenter chaque correction et planifier la prochaine mesure.