Aller au contenu
Sondeon

Pour le DSI, le RSSI et le DAFSur demande

Audit Microsoft 365 et Azure : health check des comptes, des droits et des licences Chaque arrivée, invité et application ajoute des droits à votre tenant. Qui les retire ?

Nous revoyons l'état de votre tenant (l'organisation de votre entreprise dans le cloud de Microsoft) et vous remettons les comptes et les droits à risque et les licences payées sans usage.

Vous recevez les comptes et les droits à risque par priorité et les licences que vous pouvez ajuster. Le périmètre et le délai sont fixés par écrit avant de commencer.

Atrium intérieur blanc d'un immeuble de bureaux, avec une verrière en treillis triangulaire et des parois de verre

Mis à jour le

Pour qui

  • Vous ignorez combien il y a d'administrateurs et s'ils utilisent la MFA (second facteur)
  • Des invités externes et des applications connectées ne sont revus par personne
  • Vous payez des licences Microsoft 365 sur des comptes qui ne servent plus

Inutile si votre entreprise a peu de comptes, sans invités ni applications connectées, et que quelqu'un les revoit déjà.

Un compte oublié est une porte ouverte

Le tenant est la clé de votre messagerie, de vos documents et de votre cloud. Un compte sans MFA ou un droit en trop ne préviennent pas jusqu'au jour où quelqu'un s'en sert, et les licences sont facturées chaque mois quand même. Dans les entreprises que mesure Zylo (SaaS Management Index 2026), 36 % des licences SaaS restent en moyenne sous l'usage recommandé. Ce chiffre porte sur tous les logiciels par abonnement, et Zylo vend de la gestion de licences.

36 %

des licences SaaS restent sous l'usage recommandé, en moyenne dans les entreprises que mesure Zylo

Zylo, SaaS Management Index 2026

Ce que nous revoyons dans l'audit Microsoft 365 : le health check de votre tenant

  • Entra ID : MFA, accès conditionnel et comptes d'administrateur
  • Utilisateurs inactifs et invités externes
  • Applications aux droits excessifs
  • Partage externe dans SharePoint, OneDrive et Teams
  • Règles de transfert d'e-mails dans Exchange Online
  • Licences Microsoft 365 inutilisées et ressources inactives dans Azure
  • Secure Score : quelles actions en attente valent la peine

Les points de contrôle de ces cinq revues ne sont pas encore comptés, nous ne publions donc aucun chiffre : le périmètre est fixé par écrit dans chaque cas.

Technologies couvertes

  • Microsoft 365
  • Azure

Marques et logos de leurs propriétaires respectifs. Leur usage ici est purement descriptif et n'implique ni relation commerciale ni parrainage.

Ce que nous examinons, domaine par domaine

  • Personnes et comptes (Entra ID)

    • Utilisateurs : service, poste, pays et société, date de création, compte activé ou non, membre ou invité
    • Dernière connexion de chaque compte, interactive et en arrière-plan, et depuis combien de jours il n'est plus utilisé
    • Licences de chaque personne et services inclus
    • Licences de l'entreprise : achetées, attribuées et disponibles, par type
    • Invités externes : de quel domaine ils viennent, qui les a invités et s'ils se sont déjà connectés
    • Inscription à la MFA : qui l'a, avec quelle méthode (application, SMS ou clé de sécurité) et qui ne l'a pas configurée
    • Administrateurs : qui détient chaque rôle, de Global Admin à Exchange Admin, et s'il l'utilise
    • Accès conditionnel : stratégies actives, à qui elles s'appliquent, leurs exclusions et les emplacements approuvés
    • Groupes : membres, propriétaires, groupes dynamiques et groupes de sécurité
  • Appareils et activité

    • Appareils dans Entra ID : système et version, professionnels ou personnels, gérés et conformes ou non, dernier contact et propriétaire
    • Connexions : qui, quand, à quelle application, depuis quel système, navigateur, IP et pays, si la MFA a été validée et, en cas d'échec, pourquoi
    • Usage réel d'Outlook, Teams, OneDrive et Copilot, y compris en arrière-plan sans ouverture de session
    • Activité des comptes administrateurs
    • Intune : numéro de série, modèle, chiffrement, disque et utilisateur principal de chaque appareil, et les logiciels installés avec leur version
    • Usage de Microsoft 365 par personne : e-mails envoyés et lus, réunions Teams, fichiers et stockage OneDrive
    • Journaux Purview : quels fichiers chaque personne ouvre, télécharge ou partage
  • Applications et autorisations

    • Applications d'entreprise du tenant, leur éditeur et si n'importe qui dans l'organisation peut y accéder
    • Qui a accès à chaque application, directement ou via quel groupe, et avec quel rôle
    • Applications disposant d'autorisations Microsoft Graph capables de lire tous les e-mails, tous les fichiers ou de modifier l'annuaire
    • Consentements qu'un employé a donnés de lui-même pour qu'une application accède à ses données
    • Secrets et certificats d'applications expirés ou sur le point d'expirer
  • Power Platform

    • Environnements : type (production, bac à sable ou développement), région, présence de Dataverse et créateur
    • Inventaire des agents, flux et applications du tenant, avec propriétaire, environnement et dates
    • Flux : actifs, suspendus ou désactivés, ce qui les déclenche, les connecteurs utilisés et leur propriétaire
    • Exécutions de flux : échecs, l'erreur précise et sa fréquence
    • Connexions de chaque personne (SharePoint, SQL, Gmail, Dropbox…) et celles qui ont expiré
    • Stratégies de protection contre la perte de données (DLP) : connecteurs autorisés ou bloqués et environnements non couverts
    • Usage des agents : conversations par agent et agents que personne n'utilise
    • Configuration des agents : authentification, canaux, avec qui ils sont partagés, recherche web et identifiants utilisés
    • Tables et enregistrements Dataverse de chaque environnement
  • Azure

    • Tout ce qui est déployé, par abonnement et groupe de ressources : machines virtuelles, bases de données, stockage et applications
    • Autorisations (RBAC) : qui est Owner ou Contributor de chaque abonnement et ressource
    • Exposition à Internet : IP publiques et stockage ouvert
    • Coût par ressource, groupe et étiquette, et son évolution
    • Conformité à Azure Policy et aux bonnes pratiques
    • Recommandations d'Azure Advisor sur les économies, la sécurité et les performances
    • Journal d'activité (qui a créé ou supprimé quoi) et Log Analytics
  • IA et données

    • Azure AI Foundry : comptes, projets, agents, modèles, versions en échec et exposition réseau
    • Fabric et Power BI : espaces de travail, y compris personnels et sans propriétaire, rapports, modèles sémantiques, lakehouses, pipelines et capacités
    • Microsoft Forms : les formulaires de l'organisation et leurs réponses

Comment cela fonctionne

  1. Rendez-vous et périmètre par écrit

    En 30 minutes, nous voyons la taille de votre tenant et quels abonnements Azure sont inclus. Vous recevez ensuite le périmètre et le délai par écrit.

  2. Health check en lecture seule

    Nous regardons et mesurons comptes, droits, applications et licences. Nous ne changeons rien dans votre tenant tant que vous ne le demandez pas.

  3. Rapport et réunion de restitution

    Vous recevez les comptes et les droits à risque par priorité et les licences que vous pouvez ajuster. Nous le parcourons avec votre équipe informatique.

Ce dont nous avons besoin de vous

  • Des droits en lecture seule sur votre tenant Microsoft 365 et Azure
  • Les abonnements Azure que vous voulez inclure
  • Une personne de votre équipe informatique pour les questions

Notre méthode

Ce que vous recevez

  1. Comptes et droits à risque, par priorité
  2. Licences et ressources Azure que vous pouvez ajuster
  3. Liste des accès externes en trop
  4. Synthèse exécutive d'une page pour la direction

Voici comment arrive un constat

Priorité: Haute

Compte d'administrateur général sans MFA

Où
Entra ID, rôle d'administrateur général
Preuve
Le rapport des méthodes d'authentification montre le compte sans second facteur et avec des connexions récentes
Impact
Un mot de passe divulgué donne le contrôle de tout le tenant

Exemple du format du rapport, pas d'un client.

Parlons de votre situation ?

Un rendez-vous de 30 minutes pour voir ce que vous avez et ce qu’il vaut mieux revoir en premier.

Prendre rendez-vous gratuitement

Revue experte, outil automatique ou l'IA elle-même

Les trois sont utiles, chacun pour une chose. L'IA apporte le volume et les personnes le jugement : c'est pourquoi notre revue utilise un outil automatique à base d'IA, supervisé par des développeurs seniors.

Voir la comparaison complète

Des mains dessinent au feutre un schéma d'écrans reliés par des flèches sur un petit tableau blanc, près d'un casque blanc

Qui fait la revue

La revue est faite par une équipe de développeurs seniors, avec de nombreuses heures de développement et de recherche des erreurs que commettent les IA quand elles programment. Nous connaissons plus de 1 200 points de revue. L'outil automatique à base d'IA les parcourt, et les personnes valident, dirigent et revoient.

Équipe de développeurs seniors

José María Salido, fondateur de Sondeon, en répond

  • L'IA apporte le volume : elle parcourt les points de revue connus
  • Les personnes apportent le jugement : elles valident chaque constat avant qu'il n'entre dans le rapport
  • Le résultat est expliqué en réunion avec votre équipe
Qui en répond : José María Salido, sur LinkedIn

Questions fréquentes

Qu'est-ce qu'un tenant Microsoft ?

C'est l'organisation de votre entreprise dans le cloud de Microsoft : en dépendent les utilisateurs d'Entra ID, les licences Microsoft 365, la messagerie, SharePoint, Teams et les abonnements Azure. Qui contrôle un compte d'administrateur contrôle tout cela.

Qu'est-ce que Microsoft Secure Score, et quel est un bon score ?

C'est le score par lequel Microsoft résume la sécurité de votre tenant. Il n'existe pas de bon chiffre unique : il dépend des licences que vous avez et des contrôles que vous pouvez activer. Nous regardons quelles actions en attente valent la peine dans votre tenant et dans quel ordre.

De quoi avez-vous besoin, et modifiez-vous quelque chose dans notre tenant ?

Il nous faut des droits en lecture seule et une personne de votre équipe informatique pour les questions. Nous ne changeons rien tant que vous ne le demandez pas : le health check regarde et mesure.

Pouvons-nous appliquer nous-mêmes les changements, ou vous en chargez-vous ?

Les deux sont possibles. Le diagnostic vient d'abord : chaque compte et chaque droit à risque avec sa preuve et sa priorité. La correction est à part, et seulement si vous la demandez : votre équipe l'applique avec la liste en main, ou nous si vous nous la confiez.

Combien coûte un audit Microsoft 365 ?

Le rendez-vous de 30 minutes est gratuit. Le reste dépend de la taille de votre tenant : nombre de comptes, d'applications et d'abonnements Azure inclus. Nous le voyons lors de ce rendez-vous, et vous recevez par écrit le périmètre et le délai de notre health check avant de commencer.

À quoi sert un audit Microsoft 365 et que vérifie-t-il ?

Il sert à connaître l'état de votre tenant aujourd'hui, ce qui est différent d'activer le journal d'audit de Microsoft 365. Notre health check revoit les comptes sans MFA, les invités et les applications aux droits excessifs et les licences inutilisées, et remet chaque constat avec sa preuve.

Revoyez-vous aussi Power BI et Microsoft Fabric ?

Oui. Nous revoyons Power BI, Microsoft Fabric, Databricks, Microsoft 365 et les agents Microsoft. Power BI et Microsoft Fabric ont chacun leur health check et leur page : des données qui arrivent périmées ou cassées, et des licences ou de la capacité payées sans usage.

Autres services

  • Health check Salesforce

    Automatisations qui échouent en silence, utilisateurs partis et licences inutilisées toujours payées dans votre org Salesforce.

  • Health check Microsoft Fabric

    Pipelines qui alimentent les rapports avec des données périmées ou cassées, et capacité payée mais non utilisée.

  • Health check Databricks

    Jobs qui échouent sans prévenir, clusters qui coûtent plus qu'ils n'apportent et utilisateurs qui n'ont plus besoin d'accès.

  • Health check Power BI

    Rapports bâtis sur des données périmées ou cassées, actualisations en échec et licences attribuées à des personnes qui ne s'en servent plus.

Plateformes de donnéesTous les services

Demandez votre rendez-vous gratuit

Remplissez le formulaire et nous vous écrivons par e-mail pour fixer le jour et l'heure. Ce sont 30 minutes pour voir ce que vous avez et ce qu'il vaut mieux revoir en premier.

Que devons-nous contrôler ?

Nous utilisons vos coordonnées pour répondre à votre demande, pour pouvoir prouver que nous l'avons reçue et pour protéger le formulaire. La politique de confidentialité le détaille.