Comment implémenter les bases de sécurité dans Microsoft Intune pour la gestion des appareils

Déployez des configurations de sécurité standardisées dans votre organisation à l'aide des lignes de base de sécurité intégrées de Microsoft Intune. Configurez, personnalisez et contrôlez la conformité pour une sécurité cohérente des appareils.

26 mars 2026 12 min —

easyintune 8 étapes 12 min

Pourquoi déployer des lignes de base de sécurité dans Microsoft Intune ?

Les lignes de base de sécurité dans Microsoft Intune offrent une approche standardisée de la sécurité des appareils qui élimine les incertitudes et garantit une protection cohérente dans l'ensemble de votre parc d'appareils Windows. Ces lignes de base représentent les configurations de sécurité recommandées par Microsoft, développées par la même équipe de sécurité Windows qui crée les lignes de base de stratégie de groupe, vous donnant des paramètres de sécurité de qualité entreprise sans la complexité d'une configuration manuelle.

Le système de ligne de base géré dans le cloud se met à jour automatiquement avec les dernières recommandations de sécurité, garantissant que vos appareils restent protégés contre les menaces émergentes sans intervention manuelle. Contrairement aux approches traditionnelles de stratégie de groupe, les lignes de base Intune offrent des rapports de conformité en temps réel, vous permettant d'identifier et de corriger immédiatement les lacunes en matière de sécurité.

Qu'est-ce qui rend les lignes de base de sécurité Intune différentes de la configuration manuelle ?

La gestion traditionnelle de la sécurité des appareils exige que les équipes informatiques recherchent, testent et déploient des centaines de paramètres de sécurité individuels dans plusieurs domaines de politique. Cette approche consomme beaucoup de temps, est sujette aux erreurs et aboutit souvent à des postures de sécurité incohérentes entre les différents groupes d'appareils. Les lignes de base de sécurité Intune résolvent ces défis en regroupant les configurations de sécurité éprouvées dans des profils prêts à déployer.

Les lignes de base couvrent les domaines de sécurité critiques, notamment le chiffrement BitLocker, les exigences d'authentification, les paramètres Windows Defender, les configurations de pare-feu et les protocoles de sécurité réseau. Chaque paramètre inclut des explications détaillées et la justification de Microsoft, vous aidant à comprendre l'impact en matière de sécurité de chaque choix de configuration. Cette transparence vous permet d'apporter des personnalisations éclairées tout en maintenant une base de sécurité solide.

Comment les lignes de base de sécurité s'intègrent-elles aux stratégies Intune existantes ?

Les lignes de base de sécurité fonctionnent aux côtés de vos profils de configuration Intune existants et de vos stratégies de conformité, mais elles ont priorité pour les paramètres qu'elles gèrent. Cette approche hiérarchique garantit que les exigences de sécurité des lignes de base sont appliquées tout en permettant des personnalisations supplémentaires par le biais de stratégies séparées. Le système fournit une détection des conflits et des conseils de résolution lorsque des paramètres qui se chevauchent existent entre différents types de stratégies.

Guide de mise en oeuvre

Procédure complète

Accéder aux Lignes de base de sécurité dans le Centre d'administration Intune

Commencez par accéder au centre d'administration Microsoft Intune où s'effectue la gestion centrale des bases de sécurité. C'est votre hub central pour déployer et surveiller les configurations de sécurité.

Ouvrez votre navigateur web et accédez au centre d'administration Microsoft Intune. Connectez-vous avec vos identifiants administrateur disposant des autorisations nécessaires pour gérer les stratégies de sécurité des points de terminaison.

Une fois connecté, accédez à Sécurité des points de terminaison dans le volet de navigation de gauche, puis sélectionnez Bases de sécurité. Cette section affiche tous les types de bases disponibles que Microsoft maintient et met à jour automatiquement.

Vous verrez plusieurs options de base incluant :

Base de sécurité pour Windows 10 et versions ultérieures
Base de sécurité MDM pour Windows
Base de sécurité Microsoft Defender
Base de sécurité Microsoft 365 Apps

Vérification : Confirmez que vous pouvez voir la liste des bases disponibles. Chaque base affiche sa version actuelle et son statut de dernière mise à jour. Les bases sont gérées dans le cloud, vous verrez donc toujours les versions les plus actuelles sans mises à jour manuelles.

Conseil pratique : Marquez l'URL directe des bases de sécurité en signet : Sécurité des points de terminaison > Bases de sécurité. Vous accèderez fréquemment à cette section pour la surveillance et les mises à jour.

Sélectionner et Examiner la Base de Sécurité Windows

Choisissez la ligne de base de sécurité principale qui formera la fondation de votre stratégie de sécurité des appareils. La « Ligne de base de sécurité pour Windows 10 et versions ultérieures » est l'option la plus complète pour la gestion générale des appareils Windows.

Cliquez sur Ligne de base de sécurité pour Windows 10 et versions ultérieures dans la liste des lignes de base disponibles. Cette ligne de base contient les paramètres de sécurité recommandés par Microsoft pour les appareils Windows et est régulièrement mise à jour par l'équipe de sécurité Windows qui crée les lignes de base de stratégie de groupe.

Consultez la page d'aperçu de la ligne de base qui affiche :

Informations sur la version actuelle
Nombre de paramètres inclus
Horodatage de la dernière mise à jour
Statistiques de déploiement si vous disposez de profils existants

Cliquez sur Créer un profil pour commencer à configurer votre déploiement de ligne de base. Cela ouvre l'assistant de création de profil où vous personnaliserez les paramètres de votre organisation.

Vérification : L'assistant de création de profil doit s'ouvrir avec plusieurs onglets de configuration : Bases, Paramètres de configuration, Balises d'étendue et Attributions.

Avertissement : Différents types de lignes de base peuvent avoir des valeurs par défaut conflictuelles pour les mêmes paramètres. Si vous prévoyez de déployer plusieurs lignes de base, examinez tous les paramètres attentivement pour éviter les conflits.

Configurer les paramètres de profil de base

Configurez les informations de profil fondamentales qui vous aideront à identifier et gérer ce déploiement de base dans votre organisation.

Dans l'onglet Bases, configurez les champs obligatoires suivants :

Nom : Entrez un nom descriptif comme « Ligne de base de sécurité Windows d'entreprise - 2026 »
Description : Ajoutez des détails sur l'objectif et la portée, par exemple « Configuration de sécurité standard pour tous les appareils Windows d'entreprise avec exigences BitLocker et authentification »

Le nom doit être suffisamment spécifique pour distinguer ce profil des autres que vous pourriez créer. Incluez la date ou les informations de version pour suivre les mises à jour au fil du temps.

Cliquez sur Suivant pour passer à l'onglet Paramètres de configuration où vous examinerez et personnaliserez les paramètres de sécurité réels.

Vérification : Assurez-vous que le nom de votre profil est unique et descriptif. Le système empêchera les noms en double au sein du même type de ligne de base.

Conseil : Utilisez une convention de nommage cohérente dans toutes vos politiques de sécurité. Incluez le type de ligne de base, l'unité organisationnelle et la date de déploiement pour faciliter l'identification.

Examiner et personnaliser les paramètres de sécurité

Examinez les configurations de sécurité par défaut et modifiez-les pour correspondre aux exigences spécifiques de votre organisation. La base de référence est préconfigurée avec les paramètres recommandés par Microsoft, mais vous pouvez les ajuster selon vos besoins.

Sur l'onglet Paramètres de configuration, vous verrez des catégories de paramètres de sécurité. Les configurations par défaut clés incluent :

BitLocker : Activé automatiquement pour les lecteurs amovibles
Authentification : Demande des mots de passe pour déverrouiller les appareils
Sécurité réseau : Désactive les protocoles d'authentification de base
Windows Defender : Paramètres de protection renforcée contre les menaces

Pour modifier un paramètre :

Développez la catégorie pertinente (par exemple, « BitLocker »)
Cliquez sur le paramètre que vous souhaitez modifier
Sélectionnez votre configuration préférée dans la liste déroulante
Consultez la description du paramètre pour comprendre son impact

Les personnalisations courantes incluent :

Ajustement des exigences de complexité des mots de passe
Modification des méthodes de chiffrement BitLocker
Configuration des exclusions Windows Defender
Définition des règles de pare-feu pour des applications spécifiques

Vérification : Chaque paramètre modifié affiche le statut « Configuré » avec votre valeur personnalisée. Les paramètres laissés par défaut affichent « Non configuré » mais appliqueront toujours les valeurs recommandées par Microsoft.

Avertissement : Évitez de modifier les paramètres à moins de comprendre leurs implications en matière de sécurité. Les recommandations par défaut de Microsoft offrent une sécurité renforcée pour la plupart des organisations.

Configurer les balises d'étendue pour le contrôle administratif

Configurez les balises d'étendue pour contrôler quels administrateurs peuvent gérer ce profil de base et sur quels appareils il peut être appliqué. Ceci est crucial pour les organisations disposant de plusieurs équipes IT ou régions géographiques.

Sous l'onglet Balises d'étendue, vous pouvez assigner des balises d'étendue qui limitent l'accès administratif à ce profil. Si votre organisation utilise le contrôle d'accès basé sur les rôles, cette étape garantit que seuls les administrateurs autorisés peuvent modifier la base de référence.

Pour ajouter des balises d'étendue :

Cliquez sur Sélectionner les balises d'étendue
Choisissez parmi les balises d'étendue existantes comme « IT-Corporate », « Regional-EMEA » ou « Security-Team »
Sélectionnez les balises qui correspondent à votre structure administrative
Cliquez sur Sélectionner pour appliquer les balises

Si vous n'utilisez pas de balises d'étendue ou si vous souhaitez que tous les administrateurs accèdent à ce profil, vous pouvez laisser cette section vide. Le profil héritera de l'étendue par défaut.

Vérification : Les balises d'étendue sélectionnées apparaissent dans la liste avec leurs noms et descriptions. Vous pouvez supprimer les balises en cliquant sur le X à côté de chaque balise.

Conseil pratique : Créez des balises d'étendue qui correspondent à votre structure organisationnelle avant de déployer les bases de référence. Cela facilite la délégation de la gestion des bases de référence aux équipes IT régionales tout en maintenant une surveillance de la sécurité.

Attribuer la Baseline aux Groupes Cibles

Configurez les utilisateurs ou appareils qui recevront cette base de référence de sécurité. Une attribution appropriée garantit que la base de référence s'applique aux bons appareils tout en évitant les conflits avec les stratégies existantes.

Dans l'onglet Attributions, vous configurerez les cibles de déploiement. Les bases de référence de sécurité peuvent être attribuées à des groupes d'utilisateurs ou à des groupes d'appareils, selon la portée des paramètres configurés.

Pour attribuer la base de référence :

Cliquez sur Sélectionner les groupes à inclure
Choisissez vos groupes cibles dans la liste (par exemple, « Tous les appareils d'entreprise » ou « Utilisateurs du département Finance »)
Cliquez sur Sélectionner pour ajouter les groupes

Pour les exclusions, si nécessaire :

Cliquez sur Sélectionner les groupes à exclure
Choisissez les groupes qui ne doivent pas recevoir cette base de référence (par exemple, « Appareils de test » ou « Ordinateurs portables des cadres »)
Cliquez sur Sélectionner pour ajouter les exclusions

Meilleures pratiques pour les attributions :

Commencez avec un groupe pilote de 10-20 appareils pour les tests
Utilisez les groupes d'appareils pour les paramètres qui affectent l'appareil entier
Utilisez les groupes d'utilisateurs pour les paramètres qui suivent l'utilisateur sur les appareils
Évitez les attributions qui se chevauchent et qui pourraient créer des conflits

Vérification : Vérifiez le résumé de l'attribution affichant les groupes inclus et exclus avec les nombres de membres. Assurez-vous que la portée correspond à votre déploiement prévu.

Avertissement : Le déploiement sur « Tous les appareils » immédiatement peut causer des problèmes généralisés si les paramètres entrent en conflit avec les stratégies existantes. Testez toujours avec un groupe pilote en premier.

Déployer et surveiller la ligne de base de sécurité

Complétez le déploiement de base et configurez la surveillance pour suivre la conformité dans votre parc d'appareils. Cette dernière étape active les paramètres de sécurité et fournit une visibilité continue sur leur efficacité.

Dans l'onglet Vérifier + créer, vérifiez tous vos choix de configuration :

Nom et description du profil
Nombre de paramètres configurés
Attributions d'étiquette d'étendue
Attributions de groupe cible

Cliquez sur Créer pour déployer la base. Intune commence immédiatement à appliquer les paramètres aux appareils assignés lors de leur prochain cycle d'actualisation de stratégie (généralement dans les 8 heures pour les nouvelles stratégies).

Pour surveiller la progression du déploiement :

Retournez à Sécurité des points de terminaison > Bases de sécurité
Sélectionnez votre type de base
Cliquez sur Profils pour voir votre profil déployé
Cliquez sur le nom de votre profil pour afficher le tableau de bord de vue d'ensemble

Le tableau de bord de surveillance affiche :

État de conformité de l'appareil : Nombre d'appareils conformes, non conformes et en erreur
Détails des paramètres : Paramètres spécifiques causant les problèmes de conformité
Liste des appareils : État des appareils individuels et heures de dernière synchronisation

Vérification : Dans les 24 heures, vous devriez voir les appareils apparaître dans les rapports de conformité. Les appareils conformes affichent un statut vert, tandis que les appareils non conformes affichent les défaillances de paramètres spécifiques.

Conseil : Configurez des alertes par e-mail pour les défaillances de conformité en accédant à Conformité des appareils > Notifications. Cela vous assure d'être immédiatement informé des violations de base de sécurité.

Gérer les mises à jour de base de référence et la migration des versions

Gérez la maintenance continue de la ligne de base au fur et à mesure que Microsoft publie de nouvelles versions et mises à jour de sécurité. Le système géré par le cloud fournit automatiquement de nouvelles versions de ligne de base, mais vous contrôlez le moment de la migration de vos déploiements.

Lorsque Microsoft publie une nouvelle version de ligne de base (utilisant le format basé sur CSP introduit en mai 2023), vous verrez une notification dans le centre d'administration Intune. Pour migrer vers une version plus récente :

Accédez à Sécurité des points de terminaison > Lignes de base de sécurité
Sélectionnez votre type de ligne de base
Cliquez sur Profils
Cochez la case à côté du profil que vous souhaitez migrer
Cliquez sur Changer de version dans la barre d'outils

L'assistant de migration :

Affiche les différences entre votre version actuelle et la nouvelle version
Met en évidence les nouveaux paramètres ajoutés à la ligne de base
Identifie les paramètres dont les valeurs par défaut ont changé
Vous permet d'examiner et d'approuver la migration

Pendant la migration, vous pouvez :

Accepter tous les nouveaux paramètres par défaut
Personnaliser les nouveaux paramètres avant application
Examiner l'impact sur les appareils actuellement assignés

Vérification : Après la migration, consultez l'aperçu du profil pour confirmer qu'il affiche le nouveau numéro de version. Surveillez la conformité des appareils pour toute problématique introduite par les paramètres mis à jour.

Avertissement : La migration de version de ligne de base est un processus unique. Vous ne pouvez pas revenir à des versions antérieures, testez donc les migrations avec des groupes pilotes avant de les appliquer aux appareils de production.

Questions Fréquentes

À quelle fréquence Microsoft met-il à jour les bases de sécurité Intune ?+

Microsoft met à jour les lignes de base de sécurité Intune automatiquement via son système géré par le cloud sans nécessiter d'intervention manuelle des administrateurs. Les lignes de base utilisent le nouveau format basé sur CSP introduit en mai 2023, qui permet des mises à jour plus fréquentes et granulaires. Bien que Microsoft ne publie pas un calendrier fixe, les mises à jour se produisent généralement lorsque de nouvelles menaces de sécurité émergent ou lorsque Windows reçoit des améliorations de sécurité importantes. Vous recevrez des notifications dans le centre d'administration Intune lorsque de nouvelles versions de lignes de base seront disponibles pour la migration.

Puis-je déployer plusieurs bases de sécurité sur les mêmes appareils ?+

Oui, vous pouvez déployer plusieurs lignes de base de sécurité sur les mêmes appareils, mais vous devez gérer attentivement les conflits potentiels entre les paramètres des différentes lignes de base. Par exemple, la ligne de base de sécurité MDM pour Windows et la ligne de base Microsoft Defender peuvent inclure des paramètres identiques avec des valeurs par défaut différentes. Lorsque des conflits se produisent, la politique appliquée en dernier prend généralement la priorité. Pour éviter les problèmes, examinez tous les paramètres de la ligne de base avant le déploiement et utilisez les fonctionnalités de détection de conflits d'Intune pour identifier les configurations qui se chevauchent. Envisagez de personnaliser les paramètres conflictuels pour assurer un comportement cohérent dans toutes les lignes de base déployées.

Que se passe-t-il pour les appareils qui ne sont pas conformes aux paramètres de base de sécurité ?+

Les appareils qui ne respectent pas les paramètres de base de sécurité apparaissent dans les rapports de conformité d'Intune avec des informations détaillées sur les paramètres spécifiques qui causent la non-conformité. Intune tente automatiquement de corriger les paramètres non conformes lors du prochain cycle d'actualisation de stratégie, généralement dans les 8 heures. Si la correction échoue en raison de conflits de stratégie locale ou de permissions utilisateur, l'appareil reste marqué comme non conforme. Vous pouvez configurer des stratégies d'accès conditionnel pour empêcher les appareils non conformes d'accéder aux ressources d'entreprise jusqu'à ce qu'ils respectent les exigences de base, ce qui applique une application au-delà du simple signalement.

Comment migrer des lignes de base de sécurité Stratégie de groupe vers les lignes de base Intune ?+

La migration de la stratégie de groupe vers les lignes de base de sécurité Intune nécessite une planification minutieuse pour éviter de perturber les configurations d'appareils existantes. Commencez par comparer vos paramètres de stratégie de groupe actuels avec les configurations de ligne de base Intune équivalentes à l'aide de l'outil d'analyse de stratégie de groupe de Microsoft. Déployez d'abord les lignes de base Intune sur un groupe pilote d'appareils, en surveillant les conflits ou les comportements inattendus. Élargissez progressivement le déploiement tout en maintenant la stratégie de groupe pour les appareils non migrés. La même équipe de sécurité Windows crée à la fois la stratégie de groupe et les lignes de base Intune, de sorte que l'intention en matière de sécurité reste cohérente, mais les détails de mise en œuvre peuvent différer entre les deux systèmes.

Puis-je exporter et importer des configurations de base de sécurité entre les locataires ?+

Microsoft Intune ne fournit pas de fonction d'export/import directe pour les profils de ligne de base de sécurité entre différents locataires. Cependant, vous pouvez documenter vos personnalisations et les recréer manuellement dans les nouveaux locataires. Les paramètres de ligne de base eux-mêmes sont standardisés dans tous les locataires Intune, seules vos modifications personnalisées doivent donc être répliquées. Pour les organisations gérant plusieurs locataires, envisagez d'utiliser l'API Microsoft Graph pour créer des scripts de déploiement de ligne de base avec des personnalisations cohérentes. Les outils tiers et les scripts PowerShell peuvent également aider à automatiser la recréation des configurations de ligne de base dans plusieurs environnements Intune.

Intelligence Complémentaire

Approfondissez vos connaissances

tutorial

Cybersecurity