Microsoft 365 Business Premium : les fonctions de sécurité incluses et ce qu’il reste à activer

La réponse courte : Microsoft 365 Business Premium inclut cinq briques de sécurité, pour les entreprises jusqu’à 300 utilisateurs. Entra ID P1 protège les comptes, Intune Plan 1 gère les appareils, Defender for Business protège les postes, Defender for Office 365 Plan 1 protège la messagerie et les fichiers, Purview protège les données. Mais une licence n’est pas une protection : l’essentiel doit encore être configuré, et plusieurs besoins restent hors du plan, dont les serveurs, la simulation de phishing et la sauvegarde.

Nous comparons déjà les trois plans dans Business Basic, Standard ou Premium. Ce guide va plus loin sur un seul point : ce que vous achetez réellement côté sécurité, ce qui fonctionne sans rien faire, et ce qu’il reste à activer. Chez ALLSAFE SOLUTIONS, partenaire Microsoft à Casablanca, nous fournissons ces licences avec ou sans mise en place. Les faits ci-dessous viennent de la documentation Microsoft Learn et des pages Microsoft consultées le 5 novembre 2026 ; Microsoft fait évoluer ses plans, donc vérifiez la référence au moment de la commande.

Ce qui est inclus, brique par brique

Domaine	Composant	Ce qu’il apporte	Au départ
Comptes	Entra ID P1	Accès conditionnel, MFA	Paramètres de sécurité par défaut actifs ; accès conditionnel à configurer
Appareils	Intune Plan 1	Gestion des appareils (MDM) et des applications (MAM) sur Windows, macOS, iOS et Android	À configurer, appareils à inscrire
Postes	Defender for Business	Antivirus nouvelle génération, réduction de la surface d’attaque, EDR, investigation automatique	Stratégies par défaut prêtes, postes à intégrer
Messagerie et fichiers	Defender for Office 365 Plan 1	Safe Links, Safe Attachments, protection contre l’usurpation d’identité	Built-in protection active ; Standard et Strict à activer
Données	Purview	Étiquettes de confidentialité, prévention des pertes de données (DLP), chiffrement des messages	À configurer

Source : Microsoft Learn, « Add Microsoft Defender Suite for Business Premium », « Best practices for securing Microsoft 365 for business », « Microsoft Defender for Business FAQ » et « Preset security policies ».

Entra ID P1 : décider qui se connecte, et d’où

Le MFA existe déjà dans tous les plans Business grâce aux paramètres de sécurité par défaut, que Microsoft présente comme actifs par défaut. Ce que Business Premium ajoute, c’est l’accès conditionnel : des règles du type « exiger un appareil conforme pour ouvrir la messagerie » ou « bloquer les connexions depuis tel pays ».

Attention à la transition. Microsoft indique que les entreprises qui adoptent des stratégies d’accès conditionnel en remplacement doivent désactiver les paramètres de sécurité par défaut, puis activer aussitôt leurs propres stratégies. Couper le premier sans préparer le second laisse les comptes sans protection. Le déroulé figure dans déployer le MFA dans une PME.

Intune Plan 1 : gérer les appareils, même personnels

Intune impose la conformité des postes, déploie les réglages et les mises à jour, et peut effacer à distance les données professionnelles d’un téléphone perdu. Il couvre aussi les appareils personnels, grâce à la gestion des applications. Sa vraie valeur apparaît avec l’accès conditionnel : un appareil non conforme n’accède plus aux données. Nous détaillons la mise en place dans Microsoft Intune pour PME, et le chiffrement dans BitLocker en entreprise.

Defender for Business : protéger et isoler les postes

Microsoft annonce jusqu’à cinq appareils clients par licence utilisateur, sur Windows, Mac, iOS/iPadOS et Android, sans minimum d’appareils. La protection en temps réel est active par défaut, et des stratégies par défaut couvrent la protection nouvelle génération et le pare-feu. Encore faut-il que le poste soit intégré : l’intégration n’est automatique que pour les postes Windows inscrits dans Intune, et seulement si l’option a été choisie. Deux limites à connaître : une seule stratégie de filtrage web pour toute l’organisation, et Intune nécessaire pour créer des règles personnalisées de réduction de la surface d’attaque. Voir notre guide de déploiement de Defender for Business et, pour le principe, EDR ou antivirus.

Defender for Office 365 Plan 1 : le filtrage au-delà du socle

Tous les plans ont un filtrage intégré contre le spam, les logiciels malveillants et le hameçonnage. Le Plan 1 ajoute :

• Safe Attachments pour les pièces jointes, et pour les fichiers dans SharePoint, OneDrive et Teams ;
• Safe Links dans les e-mails, les clients Office et Teams ;
• la protection contre l’usurpation d’utilisateur et de domaine, et l’intelligence de boîte aux lettres, qui repère les expéditeurs inhabituels ;
• des outils d’investigation, comme les détections en temps réel et les rapports dédiés.

C’est ici que l’écart entre licence et protection est le plus net. La stratégie Built-in protection, active par défaut, ne donne qu’une protection de base de type Safe Links et Safe Attachments. Selon Microsoft, les stratégies prédéfinies Standard et Strict sont probablement désactivées à votre première visite : il faut les activer et les attribuer. Microsoft recommande aussi de configurer SPF, DKIM et DMARC, ce que nous expliquons dans SPF, DKIM et DMARC au Maroc.

Purview : protéger le document lui-même

Business Premium inclut les étiquettes de confidentialité pour les e-mails, les fichiers et les réunions Teams, la DLP et le chiffrement des messages (Microsoft Purview Message Encryption). Microsoft cite en exemple les étiquettes Normal, Personnel, Privé et Confidentiel, que vous pouvez personnaliser. Rien de tout cela ne protège un document tant que les étiquettes ne sont pas publiées et les stratégies DLP créées. C’est souvent la dernière brique déployée, et pourtant la plus utile quand on manipule des données personnelles soumises à la loi 09-08.

Ce qui n’est pas inclus

Besoin	Élément requis	Comment l’obtenir
Protection des serveurs Windows et Linux	Defender for Business servers, ou Defender for Servers au-delà de 60 serveurs	Licence en plus
Simulation de phishing	Attack simulation training (Defender for Office 365 Plan 2)	Defender Suite, ou autre outil
Élévation temporaire des droits d’administration	Privileged Identity Management (Entra ID P2)	Defender Suite
Détection des connexions à risque	Entra ID Protection (Entra ID P2)	Defender Suite
Chasse aux menaces, conservation de six mois	Defender for Endpoint Plan 2	Defender Suite
Visibilité sur les applications non approuvées	Defender for Cloud Apps	Defender Suite
Détection des menaces sur les identités	Defender for Identity	Defender Suite
Classement à grande échelle et risque interne	Fonctions avancées de Purview	Purview Suite
Sauvegarde des données Microsoft 365	Aucun service décrit dans les pages de sécurité consultées	Solution de sauvegarde à part

Source : Microsoft Learn (FAQ Defender for Business, licences Entra, vue d’ensemble de Defender for Office 365) et page Microsoft des options de sécurité pour Business Premium.

Trois remarques pratiques :

• Les options exigent Business Premium. Microsoft présente Defender Suite et Purview Suite comme des compléments à ce plan.
• On ne mélange pas les expériences. Microsoft le dit clairement : si une partie des utilisateurs a Defender for Business et une autre Defender for Endpoint Plan 2, l’expérience de tous reste celle de Defender for Business. Pour basculer, il faut licencier tous les utilisateurs en Plan 2 et en faire la demande au support Microsoft.
• Une protection n’est pas une sauvegarde. Une suppression par erreur ou un compte compromis restent possibles. Lisez Microsoft ne sauvegarde pas vos mails et notre offre de sauvegarde et continuité d’activité.

Pour la simulation, un programme de sensibilisation au phishing reste indispensable, quel que soit l’outil. Et sans PIM, les bonnes pratiques de gestion des comptes administrateurs comptent d’autant plus.

Vérifier avant d’acheter

• Le nombre d’utilisateurs. Le plan est prévu pour 300 utilisateurs au plus. Si vous approchez ce seuil, la FAQ Defender for Business oriente vers un plan entreprise au renouvellement.
• L’édition de Windows. Les prérequis de Defender for Business citent Windows 10 ou 11 Business, Pro et Enterprise. Windows Famille n’y figure pas : faites l’inventaire de vos postes. Nous n’avons pas trouvé de droit à Windows Enterprise inclus dans le plan dans les pages consultées.
• L’emplacement des données. Microsoft liste parmi les prérequis de Defender for Business un centre de données situé dans l’Union européenne, au Royaume-Uni, aux États-Unis ou en Australie. Si le sujet vous concerne, lisez notre guide sur le transfert de données hors du Maroc.
• Les serveurs. Comptez vos serveurs Windows et Linux avant de comparer les offres.
• Le mélange des licences. Toute l’entreprise n’a pas forcément besoin de Premium. Répartissez les licences selon les profils, comme expliqué dans notre comparatif, en vérifiant qui doit bénéficier de chaque protection.

Dans quel ordre activer la sécurité

Voici l’ordre que nous suivons, parce que chaque étape s’appuie sur la précédente.

1. Sécuriser les administrateurs : comptes dédiés, comptes d’urgence et MFA résistant au hameçonnage. Commencez par les 10 réglages pour sécuriser Microsoft 365.
2. Passer à l’accès conditionnel : préparez vos stratégies et testez-les sur un groupe pilote, avant de désactiver les paramètres de sécurité par défaut.
3. Renforcer la messagerie : activez la stratégie Standard pour tous, Strict pour les profils les plus exposés (direction, comptabilité), puis SPF, DKIM et DMARC.
4. Inscrire les appareils dans Intune : d’abord le parc Windows, puis les mobiles. Choisissez l’intégration automatique à Defender for Business pour tous les appareils inscrits, comme le recommande Microsoft.
5. Vérifier les postes dans Defender : tous les appareils remontent-ils ? Ajoutez les règles de réduction de la surface d’attaque et le filtrage web.
6. Exiger la conformité : reliez alors l’état de l’appareil à l’accès conditionnel, une fois le parc conforme, pour ne bloquer personne par surprise.
7. Classer les données : publiez des étiquettes simples, puis une première stratégie DLP sur un périmètre restreint.
8. Compléter le dispositif : sauvegarde, sensibilisation, serveurs et supervision des alertes.

Les erreurs que nous rencontrons

1. Payer Premium sans rien configurer : les licences existent, mais l’accès conditionnel est vide et aucun poste n’est intégré.
2. Croire que Premium couvre les serveurs : c’est souvent là que se joue une attaque par rançongiciel.
3. Désactiver les paramètres de sécurité par défaut avant d’avoir préparé les stratégies d’accès conditionnel.
4. Exiger un appareil conforme trop tôt : des utilisateurs sont bloqués le matin même de la mise en service.
5. Oublier les comptes d’urgence exclus des stratégies, avec le risque de bloquer tous les administrateurs.
6. Ne regarder aucune alerte : un EDR sans personne pour traiter ses alertes perd l’essentiel de son intérêt.
7. Confondre sécurité et sauvegarde : aucun filtre ne remplace une copie restaurable.

Business Premium suffit-il pour votre entreprise ?

Votre situation	Notre lecture
Parc Windows, peu ou pas de serveurs, équipe sur Microsoft 365	Business Premium couvre le socle ; reste à le configurer et à le superviser
Serveurs sur site à protéger	Ajouter la licence serveurs, ou une autre solution pour les serveurs
Antivirus ou EDR tiers déjà en place, satisfaisant	Comparer avant de changer ; voir comment choisir un antivirus d’entreprise
Besoin de PIM, de détection des connexions à risque ou de chasse aux menaces	Étudier Defender Suite
Plus de 300 utilisateurs, ou croissance proche de ce seuil	Étudier un plan entreprise

Business Premium couvre les comptes, les postes, la messagerie et les données. Il ne remplace ni le pare-feu, ni la segmentation du réseau, ni le plan de reprise : il s’intègre à une démarche de cybersécurité des entreprises au Maroc plus large.

Comment nous procédons

Nous commençons par un audit initial offert de vos licences, de vos comptes et de vos postes, pour savoir ce que vous payez déjà sans l’utiliser. Nous attribuons ensuite la bonne édition à chaque profil, voir acheter Microsoft 365 au Maroc, puis nous activons les protections dans l’ordre ci-dessus avec un groupe pilote. Vous pouvez nous confier l’exploitation dans notre offre Azure et Microsoft 365 au Maroc : supervision 24/7 et prise en charge des incidents critiques en moins de 15 minutes. Vous pouvez aussi garder la main et nous confier seulement la fourniture des licences.

Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.