Microsoft Secure Score : une feuille de route utile, un objectif trompeur
Le Secure Score est souvent le premier chiffre présenté en comité de direction pour parler de la sécurité Microsoft 365. Il a le mérite d'exister et d'être suivi dans le temps. Mais nous rencontrons régulièrement des locataires au score flatteur qui présentent des faiblesses majeures, et l'inverse. Il faut savoir ce qu'il mesure, et ce qu'il ne mesure pas.
Comment le score est calculé
Le Secure Score, accessible dans le portail Defender, additionne des points attribués pour des actions recommandées : activer une protection, désactiver un paramètre risqué, appliquer une stratégie. Chaque action a une valeur maximale, et le score est exprimé en pourcentage du total possible.
Certaines actions sont binaires, d'autres rapportent des points partiels en fonction de la proportion d'utilisateurs ou d'appareils couverts. Les actions sont regroupées par catégorie : identité, données, appareils, applications. La liste dépend des produits et licences présents dans le locataire, et elle évolue : lorsque Microsoft ajoute des recommandations, le score maximal change, et le pourcentage peut baisser sans que rien n'ait été modifié. La mise à jour des données n'est pas instantanée ; un changement peut mettre jusqu'à un ou deux jours à apparaître.
Pourquoi un score élevé peut tromper
Le score mesure la présence de configurations, pas leur efficacité réelle. Plusieurs situations faussent la lecture :
- une stratégie d'accès conditionnel exigeant la MFA existe, mais exclut un large groupe d'utilisateurs ou d'applications ;
- une protection est activée avec des exceptions qui la vident de sa substance ;
- des actions ont été marquées comme traitées par une solution tierce sans que personne ne l'ait vérifié ;
- des risques majeurs ne sont pas couverts du tout par les recommandations : délégations Active Directory dangereuses, applications disposant d'autorisations excessives, comptes de service privilégiés, processus de départ défaillants.
Le Secure Score décrit l'écart par rapport aux recommandations de Microsoft pour ses propres produits. Il ne remplace ni une analyse des chemins d'attaque, ni une revue des privilèges, ni un test de la réponse à incident.
Mesures tierces et atténuations alternatives
Pour chaque action, il est possible de modifier son statut :
- Résolu par un tiers ou résolu par une atténuation alternative : les points sont accordés, car un autre moyen couvre le risque ;
- Risque accepté : aucun point n'est accordé, la décision est simplement tracée ;
- Planifié : l'action est inscrite dans la feuille de route.
Ces statuts sont légitimes : un filtrage de messagerie tiers ou un autre outil de gestion des appareils peut réellement couvrir le besoin. Mais ils sont déclaratifs. Rien ne vérifie que la solution tierce existe, est correctement configurée et couvre tout le périmètre.
Un point de contrôle simple. Exportez la liste des actions marquées comme résolues par un tiers ou par une atténuation alternative. Pour chacune, demandez la preuve de la mesure compensatoire et le nom de son responsable. Dans nos audits, cette seule vérification fait souvent apparaître des écarts importants.
Un objectif chiffré produit des effets pervers
Fixer un objectif de score, par exemple « atteindre 80 % », incite à traiter en priorité les actions faciles qui rapportent beaucoup de points, et à marquer comme traitées celles qui dérangent. Le score monte, le risque réel bouge peu. C'est un effet classique de tout indicateur transformé en objectif.
Les comparaisons avec des organisations similaires, proposées dans le portail, sont à lire avec la même prudence : elles ne disent rien des menaces propres à votre secteur ni de votre exposition réelle.
L'utiliser comme feuille de route
Bien utilisé, le Secure Score est un excellent outil de pilotage :
- partez de la liste des actions et classez-les selon votre propre analyse de risque, pas seulement selon les points ;
- tenez compte de l'impact sur les utilisateurs et de l'effort de mise en œuvre, indiqués pour chaque action ;
- attribuez chaque action à un responsable, avec une échéance, en utilisant le statut « planifié » ;
- documentez chaque risque accepté, avec une date de révision ;
- suivez l'historique pour démontrer la progression, en expliquant les variations dues aux changements du référentiel.
Présentez au comité de direction l'avancement de la feuille de route et les risques acceptés, plutôt qu'un pourcentage isolé.
Ce qu'un audit vérifie
- Le score actuel, son historique et les variations liées aux évolutions du référentiel.
- Les actions marquées comme résolues par un tiers ou par une atténuation alternative, et leurs preuves.
- Les risques acceptés, leur justification et leur date de révision.
- L'écart entre les actions validées et la configuration réelle, notamment les exclusions.
- L'existence d'une feuille de route avec responsables et échéances.
- Les risques importants non couverts par le Secure Score.