Exigences de sécurité de l’Espace partenaires

Rôles appropriés : Agent d’administration

Le tableau de bord exigences de sécurité vous aide à évaluer et à améliorer votre posture de sécurité actuelle dans l’Espace partenaires. Cette fonctionnalité accorde aux partenaires de facturation directe et aux fournisseurs indirects l’accès à leur score de sécurité.

Dans le tableau de bord Exigences de sécurité, vous pouvez surveiller et ajuster vos paramètres de sécurité, stratégies et procédures. Le tableau de bord vous permet de gérer et d’améliorer de manière proactive votre posture de sécurité et de vous diriger vers les principes de Confiance Zéro.

Le tableau de bord fournit des recommandations actionnables basées sur des vulnérabilités système et des modèles d’attaque courants. En implémentant ces recommandations et en vérifiant régulièrement les mises à jour, vous pouvez renforcer vos défenses de sécurité.

Le tableau de bord consolide l’état de toutes les exigences de sécurité en un score complet unique, afin que vous puissiez rapidement évaluer votre disponibilité actuelle en matière de sécurité. Plus le score est élevé, plus le niveau de risque identifié est faible.

Fonctionnalités clés

Voici un exemple du tableau de bord exigences de sécurité.

Vue d’ensemble

Le haut du tableau de bord affiche deux zones de vue d’ensemble :

• Le score de sécurité affiche un instantané de votre état de sécurité dans l’Espace partenaires.
• Les exigences de sécurité indiquent le nombre total d’exigences de sécurité, y compris les totaux des exigences qui sont terminées et non terminées.

Section Exigences de sécurité

La section Exigences de sécurité présente un tableau organisé des exigences et recommandations de sécurité. Ces exigences et recommandations peuvent vous aider à identifier les domaines d’amélioration de l’intégrité de la sécurité, à résoudre les problèmes, à atténuer les risques et à améliorer votre posture de sécurité globale.

La table comporte les colonnes suivantes :

• Exigences de sécurité : brève description de l’exigence de sécurité.

• Description : explication détaillée de l’exigence de sécurité.

• État : indication indiquant si l’exigence est terminée ou non.

• Insights : données exploitables adaptées aux exigences individuelles, offrant d’autres insights sur les domaines qui nécessitent une attention particulière.

• Score : score pour chaque exigence, qui contribue à votre score de sécurité global.

• Instructions : liens directs vers des guides pas à pas qui vous aident à comprendre et à implémenter chaque recommandation afin de pouvoir élever votre sécurité. Ces liens apparaissent également dans la section Ressources supplémentaires .

• Action : liens vers une page dans laquelle vous pouvez résoudre l’exigence.

  Remarque

  Si vous n’avez pas le bon rôle ou accès, contactez la personne appropriée dans votre organisation.

Section Exigences futures

La section Exigences futures présente un aperçu des exigences qui seront bientôt implémentées. Les exigences qui ne sont pas complètes déduitront les points du score global à une date ultérieure.

Calcul du score de sécurité

Le score de sécurité est une valeur décimale (entier à virgule flottante) comprise entre 0 et 100. Le score reflète la posture de sécurité de votre locataire.

L’Espace partenaires calcule le score de sécurité en utilisant les scores de sécurité des exigences de sécurité individuelles. Chaque exigence de sécurité obtient un score maximal de 0 à 20. Le score maximal pour une exigence de sécurité est basé sur le poids relatif de cette exigence par rapport aux autres exigences. Le score maximal est susceptible de changer en fonction du changement des priorités de l’entreprise.

L’algorithme de calcul actuel accorde un score maximal pour une exigence conforme. Sinon, le score est de 0.

Le calcul du score de sécurité global utilise la formule suivante : (Somme des scores d’exigences de sécurité individuelles) / (somme des scores max des exigences de sécurité individuelles) * 100.

Exigences de sécurité et instructions d’implémentation

Condition requise : activer l’authentification multifacteur

Points de score de sécurité : 20

L’exigence de l’authentification multifacteur pour les rôles d’administration rend plus difficile pour les attaquants d’accéder aux comptes. Les rôles d’administration disposent d’autorisations plus élevées que les utilisateurs classiques. Si l’un de ces comptes est compromis, toute votre organisation est exposée.

Au minimum, protégez les rôles suivants :

• Administrateur global
• Administrateur d’authentification
• Administrateur de facturation
• Administrateur de l’accès conditionnel
• Administrateur Exchange
• Administrateur du support technique
• Administrateur de sécurité
• Administrateur SharePoint
• Administrateur d’utilisateurs

Étapes d'implémentation

• Microsoft fournit des instructions pas à pas pour sélectionner et activer la méthode MFA appropriée pour votre organisation dans le Centre d’administration Microsoft 365. Accédez à l’Assistant Microsoft 365 MFA.
• Si vous souhaitez effectuer l’implémentation vous-même et que vous utilisez Microsoft Entra ID Free, activez les paramètres de sécurité par défaut. N’oubliez pas que les valeurs par défaut de sécurité et l’accès conditionnel ne peuvent pas être utilisées côte à côte. Pour plus d’informations, consultez Paramètres de sécurité par défaut dans Microsoft Entra ID.
• Si vous avez investi dans des licences Microsoft Entra ID P1 ou P2, vous pouvez créer une stratégie d’accès conditionnel à partir de zéro ou à l’aide d’un modèle. Suivez les étapes pour créer une stratégie d’accès conditionnel.
• Suivez la progression de l’inscription des méthodes d’authentification par votre administrateur en accédant aux informations d’inscription des utilisateurs des méthodes>d’authentification Microsoft Entra ID>>(nécessite des licences Microsoft Entra ID P1 ou P2). Accédez aux détails de l’inscription de l’utilisateur.

Ressources

• Fonctionnement de l’authentification multifacteur (MFA)
• Planifier un déploiement d'authentification multifacteur Microsoft Entra
• Paramètres de sécurité par défaut dans Microsoft Entra ID
• Gérer les comptes d'accès d'urgence dans Microsoft Entra ID

Condition requise : la réponse aux alertes est de 24 heures ou moins en moyenne

Points de score de sécurité : 20

Vous devez trier et répondre aux alertes dans les 24 heures de leur affichage dans l’Espace partenaires, avec un objectif de réponse dans un délai de 1 heure. Cette exigence permet de fournir une protection immédiate pour les locataires clients et de réduire la perte financière. Le temps de réponse est mesuré à partir du moment où une alerte apparaît dans l’Espace partenaires jusqu’à l’heure à laquelle un utilisateur partenaire apporte une modification à l’alerte, par exemple la mise à jour de son état ou de son code de raison. Le temps de réponse moyen est calculé en fonction des 30 derniers jours d’activité.

Étapes d'implémentation

• Vérifiez que vous disposez d’un contact de sécurité espace partenaires configuré. Par défaut, cette adresse e-mail reçoit des notifications d’alerte. Vous pouvez utiliser une boîte aux lettres partagée ou une boîte aux lettres qui alimente un système de tickets.
• Gérez un playbook de réponse aux incidents qui définit les rôles, responsabilités, plans de réponse et informations de contact.
• Spécifiez un code de raison pour chaque alerte. Microsoft utilise vos commentaires pour mesurer l’efficacité des alertes générées.

Ressources

• Alertes de l’Espace partenaires
• Détection et notification de fraude Azure
• fournisseur de solutions Cloud contact de sécurité

Exigence : Fournir un contact de sécurité

Points de score de sécurité : 10

Lorsqu’un problème lié à la sécurité se produit sur un locataire partenaire fournisseur de solutions Cloud (CSP), Microsoft doit être en mesure de communiquer le problème et de recommander les étapes appropriées à un contact de sécurité désigné dans une organisation partenaire. Ce contact doit agir pour atténuer et corriger les préoccupations de sécurité dès que possible.

Certains rôles dans l’Espace partenaires n’ont peut-être pas l’expertise nécessaire ni la portée nécessaire pour agir sur les incidents importants liés à la sécurité. Tous les partenaires doivent mettre à jour le contact de sécurité pour leur locataire partenaire.

Le contact de sécurité est un individu ou un groupe de personnes qui sont responsables des problèmes liés à la sécurité au sein de l’organisation partenaire.

Étapes d'implémentation

Renseignez l’e-mail, le numéro de téléphone et le nom de la personne ou du groupe responsable de la réponse aux incidents de sécurité dans votre entreprise.

Ressources

• fournisseur de solutions Cloud contact de sécurité

Condition requise : tous les abonnements Azure ont un budget de dépense

Points de score de sécurité : 10

Le suivi de l’utilisation des abonnements Azure de vos clients vous aide à aider vos clients à gérer leur utilisation d’Azure et à éviter les frais plus élevés que prévu. Vous devez discuter avec vos clients de leurs attentes de dépenses mensuelles et définir un budget de dépense sur leurs abonnements.

Vous pouvez configurer les notifications à envoyer à vous lorsqu’un client utilise 80 % ou plus du budget de dépense configuré. Le budget des dépenses n’impose pas de plafond aux dépenses. Il est important de notifier vos clients lorsqu’ils atteignent une utilisation de 80 % afin qu’ils puissent planifier l’arrêt des ressources ou s’attendre à une facture plus élevée.

Étapes d'implémentation

Consultez Définir un budget de dépense Azure pour vos clients.

Condition requise : les utilisateurs disposant de rôles d’administrateur dans les locataires clients doivent utiliser l’authentification multifacteur

Points de score de sécurité : 20

L’exigence de l’authentification multifacteur pour les rôles d’administration dans le client rend plus difficile pour les attaquants d’accéder aux comptes. Les rôles d’administration disposent d’autorisations plus élevées que les utilisateurs classiques. Si l’un de ces comptes est compromis, l’ensemble de l’organisation est exposé.

Au minimum, protégez les rôles suivants :

• Administrateur global
• Administrateur d’authentification
• Administrateur de facturation
• Administrateur de l’accès conditionnel
• Administrateur Exchange
• Administrateur du support technique
• Administrateur de sécurité
• Administrateur SharePoint
• Administrateur d’utilisateurs

Étapes d'implémentation

Accédez aux statistiques de l’authentification multifacteur client. Cette page met en évidence les informations clés sur la posture de sécurité MFA de chaque client :

• Client : nom du client.
• Administrateurs avec authentification multifacteur activé : nombre d’administrateurs dans le locataire du client qui ont activé l’authentification multifacteur.
• Non-administrateurs avec MFA activé : nombre d’utilisateurs non administrateurs dans le locataire du client qui ont activé l’authentification multifacteur.
• Nombre total d’utilisateurs : nombre total d’utilisateurs dans le locataire du client.

Vous pouvez rechercher des statistiques d’un client spécifique sur la même page à l’aide de la zone de recherche .

Pour obtenir des instructions détaillées, consultez Gérer la posture de sécurité MFA d’un client.