NIS2 et identités : traduire les exigences de la directive en contrôles Entra ID et Microsoft 365
La directive NIS2 élargit considérablement le nombre d'organisations soumises à des obligations de cybersécurité. Son texte reste volontairement général : il fixe des objectifs, pas des paramètres. Pour une organisation qui s'appuie sur Entra ID et Microsoft 365, l'enjeu est de traduire ces objectifs en contrôles concrets et vérifiables.
Ce que dit la directive, et où en est la France
La directive (UE) 2022/2555 impose aux entités essentielles et importantes de prendre des mesures de gestion des risques de cybersécurité appropriées et proportionnées. Parmi les mesures listées figurent notamment les politiques de contrôle d'accès, la gestion des actifs, la sécurité des ressources humaines, l'hygiène informatique et la formation, la gestion des incidents, la continuité d'activité, et le recours à l'authentification multifacteur ou à l'authentification continue lorsque c'est approprié. La directive engage aussi la responsabilité des organes de direction, qui doivent approuver et superviser ces mesures.
En France, la transposition est portée par un projet de loi dont le parcours parlementaire s'est étendu dans le temps, et les textes d'application précisent ensuite les exigences. Le calendrier et le détail des obligations évoluent : vérifiez l'état actuel auprès de l'ANSSI, qui publie les informations de référence et accompagne les entités concernées. Les mesures décrites ici sont utiles quel que soit ce calendrier.
Authentification multifacteur : viser la résistance au hameçonnage
L'exigence d'authentification forte se traduit dans Entra ID par l'accès conditionnel, pas par la MFA par utilisateur. Le socle attendu :
- MFA exigée pour tous les utilisateurs et toutes les applications, avec des exclusions documentées et limitées aux comptes d'urgence ;
- blocage de l'authentification héritée, qui ne supporte pas la MFA ;
- méthodes résistantes au hameçonnage (FIDO2, Windows Hello Entreprise, certificats) imposées par une force d'authentification pour les administrateurs, puis progressivement pour les autres populations ;
- retrait progressif du SMS et de l'appel vocal.
Accès privilégiés et contrôle d'accès
Les politiques de contrôle d'accès et de gestion des actifs prennent une forme très concrète : savoir qui détient quels droits, et pourquoi. Dans Entra ID, cela passe par des comptes d'administration dédiés et séparés des comptes de bureautique, par Privileged Identity Management pour supprimer les attributions permanentes, par des revues d'accès périodiques et par un processus d'arrivée, de mobilité et de départ relié aux ressources humaines. Côté Active Directory, le cloisonnement des comptes privilégiés (modèle en niveaux) reste incontournable, car une compromission locale se propage souvent vers le cloud via la synchronisation.
La directive mentionne aussi la sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs. Dans Microsoft 365, ce sujet a une traduction directe : les accès des prestataires. Les relations d'administration déléguée des partenaires doivent passer par des privilèges granulaires et limités dans le temps (GDAP) plutôt que par d'anciens droits globaux ; les comptes invités des intervenants externes doivent être revus et expirer ; les applications tierces auxquelles des permissions étendues ont été accordées doivent être inventoriées, avec leur éditeur et leur justification. Dans nos audits, ces accès tiers sont souvent les moins documentés, alors qu'ils offrent un chemin direct vers le locataire.
Responsabilité de la direction. NIS2 demande que les organes de direction approuvent les mesures et en supervisent la mise en œuvre. Un tableau de bord simple (nombre d'administrateurs permanents, couverture MFA, part de méthodes résistantes au hameçonnage) facilite ce suivi et constitue une preuve d'implication.
Journalisation et détection
Gérer un incident suppose d'en disposer des traces. Points à vérifier : activation du journal d'audit unifié de Microsoft 365, durée de conservation des journaux de connexion et d'audit d'Entra ID (souvent trop courte par défaut, d'où l'export vers un espace de travail Log Analytics ou un SIEM), audit des boîtes aux lettres, et alertes sur les événements sensibles : attribution d'un rôle privilégié, consentement à une application, création de règles de transfert, connexions à risque. Les durées de conservation dépendent des licences et changent régulièrement ; vérifiez la situation de votre locataire.
Gestion et notification des incidents
La directive prévoit une notification par étapes des incidents importants auprès de l'autorité ou du CSIRT compétent, avec une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final. Ces délais ne sont tenables que si les procédures sont prêtes : qui révoque les sessions d'un compte compromis, qui réinitialise ses méthodes d'authentification, qui décide de couper une application, où sont les journaux. Un exercice sur un scénario de compromission de compte Microsoft 365 révèle vite les trous.
Ce qu'un audit vérifie
- La couverture MFA réelle par l'accès conditionnel et le blocage de l'authentification héritée.
- L'usage de méthodes résistantes au hameçonnage pour les comptes privilégiés.
- Les attributions de rôles privilégiés, PIM, les revues d'accès et le cycle de vie des comptes.
- La conservation et l'export des journaux, et les alertes configurées.
- Les procédures de réponse aux incidents d'identité et leur compatibilité avec les délais de notification.