Imposer la MFA sur Microsoft 365 et Google Workspace

Pour imposer l'authentification multifacteur (MFA : se connecter avec un mot de passe et un second élément, comme une validation sur le téléphone), activez les paramètres de sécurité par défaut de Microsoft Entra ID pour un client Microsoft 365 sans licence avancée, ou rendez obligatoire la validation en deux étapes dans la console Google Workspace. Puis faites de même sur chaque outil qui touche aux données du client, à commencer par la console d'administration de son assistant IA.

Pourquoi c'est la première mesure

L'ANSSI, l'autorité nationale chargée de la sécurité des systèmes d'information, place « renforcer l'authentification sur les systèmes d'information » en tête de ses cinq mesures cyber préventives prioritaires (17/05/2023). Son guide sur l'authentification (08/10/2021) recommande de privilégier l'authentification multifacteur, et de préférer un facteur de possession (un objet que l'on détient, comme un téléphone ou une clé).

Microsoft 365 : les paramètres de sécurité par défaut

D'après la documentation de Microsoft Entra relevée le 15/11/2026 :

Microsoft indique que, selon ses données, la MFA et le blocage de l'authentification héritée stoppent plus de 99,9 % des attaques liées à l'identité. C'est le chiffre de l'éditeur.

Trois précautions issues de la même page :

• L'authentification héritée sera bloquée : vieux clients Office, protocoles IMAP, POP3, SMTP. Vérifiez avant les copieurs et applications qui envoient des mails.
• Révoquez les jetons existants après activation, pour forcer l'inscription de tous.
• Prévoyez deux comptes d'accès d'urgence, réservés au cloud, avec le rôle d'administrateur général, non attribués à une personne.

Google Workspace : la validation en deux étapes

D'après le centre d'aide de Google Workspace relevé le 15/11/2026 :

• elle est déjà requise pour les comptes administrateurs ;
• pour les autres, l'administrateur la rend facultative ou obligatoire ; Google recommande l'obligation pour les administrateurs et les utilisateurs qui manipulent les données les plus sensibles ;
• Google présente les clés de sécurité comme l'option la plus forte, résistante à l'hameçonnage ; puis Google Prompt (validation sur le téléphone) ; puis les applications d'authentification ; les codes de secours servent en dépannage ;
• les SMS et appels vocaux sont déconseillés, car ils dépendent des réseaux des opérateurs et peuvent être interceptés ;
• Google indique que la validation en deux étapes peut réduire d'environ la moitié le risque de piratage de compte. C'est le chiffre de l'éditeur.

Ce que l'assistant IA du client change

Un assistant IA ajoute au moins un compte sensible : celui qui l'administre. Il voit les documents chargés, les réglages, parfois les conversations. Traitez-le comme un compte d'administration :

1. MFA obligatoire sur la console de l'assistant. Demandez à l'éditeur si elle existe et si elle peut être imposée (voir le questionnaire de sécurité).
2. Si l'assistant se connecte avec les comptes Microsoft ou Google du client, la MFA de ces comptes le protège aussi ; vérifiez-le avec l'éditeur plutôt que de le supposer.
3. Comptes nominatifs : pas de compte partagé « admin » pour l'équipe.
4. Liste des administrateurs tenue à jour, et revue à chaque départ d'un salarié.
5. Comptes des salariés sur l'assistant : cybermalveillance.gouv.fr conseille, pour un compte IA professionnel, un mot de passe unique d'au moins 12 caractères et l'activation de la double authentification quand elle existe.

Points à vérifier après la mise en place

• Tous les utilisateurs ont inscrit une méthode.
• Aucun administrateur n'utilise de protocole hérité.
• Les comptes d'urgence existent et sont testés.
• La console de l'assistant IA exige un second facteur.
• La procédure de perte de téléphone est écrite et connue.