Identité et accès Identity & access administration
L’inscription MFA, la politique d’accès conditionnel et la revue du risque de connexion finissent habituellement noyées dans « administration Microsoft 365 » sans jamais être nommées à part. C’est de plus en plus un problème : les questionnaires de renouvellement d’assurance cyber demandent maintenant régulièrement si le MFA est appliqué et comment le risque de connexion est revu, et « on pense que oui » n’est pas une réponse que votre client peut soumettre. Cette page nomme l’administration de l’identité comme son propre volet gouverné — avec la même limite « on vérifie avant d’agir » que tout le reste ici.
Vous fixez la politique d’accès conditionnel que vous voulez appliquer (ou décidez qu’il n’y en a pas encore), nommez qui est exempté et pourquoi, et confirmez qui approuve avant un changement de politique qui pourrait verrouiller quelqu’un.
On inscrit et réinscrit les usagers selon la méthode MFA convenue, on applique la politique d’accès conditionnel que vous avez approuvée, et on signale les connexions à risque par rapport au seuil que vous avez fixé — sans changer une politique qui pourrait verrouiller l’entreprise sans votre accord préalable.
Pour un client dont le locataire Microsoft 365 (ou un autre fournisseur d’identité) a une certaine inscription MFA et peut-être une politique d’accès conditionnel par défaut, mais dont personne n’a revu le risque de connexion ni documenté une liste d’exceptions.
Un accès au locataire avec le bon rôle administratif, la méthode MFA et la base d’accès conditionnel que vous voulez appliquer, et un responsable désigné pour un changement de politique ou une exception (un compte de service ou une application héritée incapable de MFA moderne).
Ce que vous recevez: Une politique d’identité documentée et appliquée plutôt qu’un défaut que personne n’a vérifié depuis l’installation — et une réponse prête la prochaine fois qu’un renouvellement d’assurance cyber ou l’auditeur de votre client la demande.
Ce qu’on vous remet: Une note de changement d’identité nommant ce qui a été inscrit ou modifié, et un résumé du risque de connexion avec ce qui a besoin de votre décision.
Notification push, application d’authentification ou clé matérielle ont chacune un chemin différent de perte et de récupération. Choisissez la méthode principale et le repli pour quelqu’un qui perd son appareil, avant le premier appel de verrouillage.
Une application métier héritée, un compte de service partagé, ou une seule personne dirigeante avec une raison d’affaires — tout environnement réel a au moins une exception. Nommez-la et son réviseur, sinon elle devient un trou de politique non documenté.
Les outils de risque de connexion notent presque tout comme quelque chose. Convenez du seuil qui atteint réellement votre cabinet comme une décision, par opposition à ce qui reste dans le journal pour la revue périodique.
Une personne dirigeante verrouillée à 8 h du matin, c’est exactement le moment où une mauvaise exception de politique se crée. Nommez le responsable et la norme maintenant, pour qu’une demande urgente ne devienne pas discrètement la nouvelle base.
Non — on peut vous dire ce qui est appliqué et documenté, mais si ça satisfait le questionnaire d’un assureur précis se décide entre votre client et son courtier. On ne présentera jamais ceci comme une garantie de conformité.
C’est exactement pourquoi un changement de politique a besoin de l’accord du responsable désigné avant d’entrer en vigueur, pas après la première plainte. Un verrouillage est escaladé et résolu de la même façon que tout autre problème d’accès urgent.