ISO 27001:2022 : les mesures de l'annexe A qui reposent sur Microsoft 365, et les preuves attendues
Lorsqu'une organisation certifiée ISO/IEC 27001 travaille sur Microsoft 365, une bonne partie de ses mesures de sécurité se joue dans le locataire. L'auditeur de certification ne se contente pas d'une politique écrite : il veut voir que la mesure est appliquée, et qu'elle l'est dans la durée. Voici les mesures les plus concernées et les preuves que nous recommandons de préparer.
Rappel : l'annexe A version 2022
La version 2022 de la norme a réorganisé l'annexe A en 93 mesures réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. Plusieurs mesures sont nouvelles, dont la sécurité de l'utilisation des services cloud, la gestion de la configuration et la prévention de la fuite de données. La déclaration d'applicabilité indique lesquelles s'appliquent et comment elles sont mises en œuvre ; pour Microsoft 365, elle doit faire le lien entre chaque mesure et les réglages concrets du locataire.
Identités et contrôle d'accès
C'est le domaine où Microsoft 365 et Entra ID portent l'essentiel de la mise en œuvre. Mesures concernées : contrôle d'accès (5.15), gestion des identités (5.16), informations d'authentification (5.17), droits d'accès (5.18), droits d'accès privilégiés (8.2) et authentification sécurisée (8.5). Preuves utiles :
- l'export des stratégies d'accès conditionnel, avec leur état (activée, rapport seul) et leurs exclusions ;
- la liste des rôles privilégiés et de leurs titulaires, et les paramètres PIM ;
- les résultats des revues d'accès, avec les décisions prises et appliquées ;
- le rapport d'inscription des méthodes d'authentification ;
- des exemples tracés d'arrivées et de départs, montrant la désactivation effective des comptes.
L'auditeur procède souvent par échantillonnage : il choisit quelques départs récents dans la liste des ressources humaines et demande de prouver, pour chacun, la date de désactivation du compte, la révocation des sessions et le retrait des licences. Il peut aussi choisir un administrateur et demander l'historique de ses activations de rôle. Préparez-vous à ces requêtes : savoir interroger rapidement les journaux d'audit d'Entra ID et produire un extrait lisible évite bien des constats de non-conformité mineure. Les exclusions des stratégies d'accès conditionnel méritent une attention particulière : chacune doit être justifiée, documentée et revue, faute de quoi elle apparaît comme une faiblesse du contrôle d'accès.
Journalisation, surveillance et incidents
Les mesures de journalisation (8.15) et de surveillance des activités (8.16), ainsi que celles relatives à la gestion des incidents (5.24 à 5.28), demandent de prouver que les journaux existent, qu'ils sont conservés assez longtemps et que quelqu'un les exploite. L'auditeur appréciera : la configuration du journal d'audit unifié et sa durée de conservation, la destination des journaux d'Entra ID, les règles d'alerte en place, et surtout un ou deux incidents réels traités de bout en bout, avec leur chronologie.
Protection de l'information
La classification (5.12), le marquage (5.13), le transfert d'informations (5.14), la suppression (8.10) et la prévention de la fuite de données (8.12) trouvent leurs équivalents dans Microsoft Purview : étiquettes de confidentialité, stratégies DLP, stratégies de conservation et de suppression, paramètres de partage externe de SharePoint et OneDrive. La preuve attendue n'est pas seulement la configuration : ce sont aussi les rapports d'activité qui montrent que les étiquettes sont utilisées et que les stratégies DLP se déclenchent.
Le piège de la capture d'écran unique. Une capture prise la veille de l'audit montre un état, pas une maîtrise. Les auditeurs attendent de plus en plus des preuves datées et répétées : exports trimestriels, historique du Secure Score, comptes rendus de revues. Un dossier de preuves alimenté tout au long de l'année vaut mieux qu'une collecte de dernière minute.
Configuration, vulnérabilités et services cloud
La gestion de la configuration (8.9) suppose une configuration de référence documentée et un moyen de détecter les écarts. Pour Microsoft 365, un export régulier des paramètres clés, comparé dans le temps, ou un outil de suivi de configuration répond à ce besoin. La mesure sur les services cloud (5.23) demande de définir comment l'organisation choisit, utilise et sort de ses services cloud : la répartition des responsabilités avec Microsoft, les rapports d'audit du fournisseur disponibles sur le Service Trust Portal, et les engagements contractuels en font partie. Les mesures sur les terminaux (8.1), les logiciels malveillants (8.7) et les vulnérabilités techniques (8.8) s'appuient sur Intune et Defender lorsqu'ils sont déployés.
Ce qu'un audit vérifie
- La correspondance entre la déclaration d'applicabilité et les réglages réels du locataire.
- Des preuves datées et répétées pour les mesures d'accès, de journalisation et de protection de l'information.
- Les comptes rendus de revues d'accès et la trace des corrections décidées.
- La conservation des journaux et l'existence d'alertes réellement suivies.
- La configuration de référence et le mécanisme de détection des écarts.