Copilot ne crée pas les accès : il révèle la dette de permissions
Microsoft Copilot s'appuie sur Microsoft Graph et respecte les autorisations déjà accordées à l'utilisateur. Il ne donne pas spontanément accès à un fichier confidentiel. Le risque vient plutôt d'un site ouvert à toute l'organisation, d'un ancien lien de partage, d'un groupe trop large ou d'un document sensible placé dans un espace mal gouverné : Copilot peut rendre ce contenu autorisé beaucoup plus facile à retrouver et à résumer.
L'objectif avant le déploiement n'est donc pas de vérifier chaque document. Il faut repérer les chemins d'accès les plus larges, attribuer un propriétaire aux espaces importants et corriger d'abord ce qui combine sensibilité, forte exposition et absence de justification métier.
Microsoft précise que les invites, réponses et données récupérées restent dans la limite des services Microsoft 365 et ne servent pas à entraîner les modèles de fondation. Ces protections ne corrigent toutefois pas une autorisation SharePoint excessive.
Comprendre où résident réellement les données Teams
Auditer seulement les équipes visibles dans le centre d'administration Teams laisse des angles morts. Les sites de canaux privés et partagés sont des collections distinctes; une restriction appliquée au site principal de l'équipe ne s'étend pas automatiquement à ces sites.
Un participant externe d'un canal partagé peut utiliser B2B direct connect sans compte invité classique dans votre locataire. Il faut inclure les paramètres interlocataires Entra, les membres des canaux et les autorisations SharePoint dans la même revue.
| Usage | Emplacement principal | Point d'audit |
|---|---|---|
| Canal Teams standard | Site SharePoint de l'équipe | Membres du groupe, visiteurs, liens et partages directs |
| Canal privé | Site SharePoint distinct | Membres du canal et autorisations propres au site |
| Canal partagé | Site SharePoint distinct | Membres internes, B2B direct connect et partages additionnels |
| Fichier dans une conversation | OneDrive de l'expéditeur | Lien, destinataires, accès externe et cycle de vie du compte |
| Bibliothèque SharePoint | Site SharePoint | Groupes, héritage et permissions uniques |
1. Définir le périmètre et les critères de risque
Une matrice simple suffit pour prioriser : sensibilité, largeur d'accès, présence d'externes, qualité du propriétaire et activité. Évitez un seuil universel. Un site de nouvelles internes accessible à tous est normal; une bibliothèque de contrats avec la même exposition ne l'est probablement pas.
- Lister les sites, équipes, canaux privés ou partagés et OneDrive contenant des données RH, financières, juridiques, de direction ou de clients.
- Identifier le propriétaire métier, le propriétaire technique, la population attendue et la conservation requise.
- Classer l'exposition : toute l'organisation, groupe large, invités, lien anonyme, partage direct ou accès historique.
- Noter l'activité récente sans conclure qu'un site inactif est sans valeur ou sans obligation de conservation.
- Définir les exceptions acceptables, leur approbateur et leur date d'expiration.
2. Construire un inventaire de base en lecture seule
SharePoint Online Management Shell donne une première vue des sites. Exécutez la collecte avec un rôle SharePoint Administrator dédié, protégez l'export et traitez-le comme une donnée sensible. LastContentModifiedDate aide au triage, mais ne prouve ni l'utilisation réelle ni l'absence d'accès indirect.
Cette collecte ne calcule pas les autorisations effectives de chaque fichier. Elle sert à repérer les sites sans propriétaire, les capacités de partage permissives, les modèles de canaux et les espaces à examiner.
Install-Module Microsoft.Online.SharePoint.PowerShell -Scope CurrentUser
Connect-SPOService -Url https://<tenant>-admin.sharepoint.com
Get-SPOSite -Limit All -IncludePersonalSite $false |
Select-Object Url,Title,Owner,Template,SharingCapability,
LastContentModifiedDate,StorageUsageCurrent |
Export-Csv .\Sites-M365.csv -NoTypeInformation -Encoding UTF8
# TEAMCHANNEL#0 et TEAMCHANNEL#1 incluent notamment les sites
# distincts de canaux privés et partagés.$site = 'https://<tenant>.sharepoint.com/sites/Projet-Sensible'
Get-SPOExternalUser -SiteUrl $site -PageSize 50 |
Select-Object DisplayName,Email,AcceptedAs,WhenCreated |
Export-Csv .\Externes-Projet.csv -NoTypeInformation -Encoding UTF83. Chercher d'abord les chemins d'accès les plus larges
Les rapports Data Access Governance de SharePoint Advanced Management accélèrent l'analyse des permissions, liens de partage et groupes Everyone except external users. Les capacités varient selon les licences : Microsoft 365 E5 donne accès à certains rapports, tandis que certaines actions de remédiation et certains instantanés nécessitent SharePoint Advanced Management ou des droits liés à Microsoft Copilot.
Sans ces fonctions, utilisez le centre d'administration SharePoint, les détails des sites, les groupes Microsoft 365 et une revue ciblée avec les propriétaires. Le résultat est moins centralisé, mais le même ordre de priorité demeure valable.
| Signal | Risque | Validation |
|---|---|---|
| Everyone except external users | Presque tous les comptes internes | Confirmer le besoin avec le propriétaire |
| Lien Anyone | Accès sans authentification | Vérifier contenu, usage et expiration |
| Lien à l'organisation | Population interne trop large | Comparer à l'audience métier attendue |
| Invités ou externes | Accès survivant à la fin d'un projet | Valider sponsor et relation active |
| Partage direct | Contournement du modèle de groupe | Examiner fichiers sensibles et permissions uniques |
| Groupe sans propriétaire | Aucun responsable des membres | Assigner deux propriétaires responsables |
4. Faire participer les propriétaires et appliquer les étiquettes
L'équipe TI connaît les mécanismes d'accès; le propriétaire métier sait qui devrait voir le contenu. Fournissez-lui une liste compréhensible des groupes, invités, liens et populations estimées. Demandez une décision documentée : conserver, réduire, remplacer le partage ou retirer.
Site Access Review peut déléguer certaines revues aux propriétaires, mais ne couvre pas OneDrive. Une révocation sans test peut interrompre un processus métier; une approbation sans échéance transforme l'exception en dette permanente.
Les étiquettes de sensibilité de conteneur peuvent contrôler la confidentialité, l'accès externe, le partage et l'accès depuis un appareil non géré. Elles ne classent pas automatiquement les fichiers contenus dans le site : la protection du conteneur et celle des documents restent deux couches distinctes.
5. Contenir temporairement un site à risque
Restricted Content Discovery peut retirer temporairement le contenu d'un site SharePoint de la recherche à l'échelle de l'organisation et de la découverte par Copilot. La fonction ne change pas les permissions, ne supprime pas le contenu de l'index et ne prend pas en charge OneDrive. Un utilisateur autorisé peut encore ouvrir directement le site.
Réservez cette mesure aux sites à risque élevé pendant une correction. L'activer largement réduit la qualité de la recherche sans régler les accès. Restricted Access Control exige à la fois l'autorisation normale et l'appartenance à un groupe de contrôle. Les sites de canaux privés et partagés doivent être configurés séparément.
$site = 'https://<tenant>.sharepoint.com/sites/Projet-Sensible'
Set-SPOSite -Identity $site -RestrictContentOrgWideSearch $true
# Retour arrière après correction et validation.
Set-SPOSite -Identity $site -RestrictContentOrgWideSearch $false6. Corriger et déployer par anneaux
Le pilote devrait représenter plusieurs rôles : direction, RH, finance, gestionnaire de projet et utilisateur général. Utilisez des comptes non privilégiés et des requêtes réalistes sur des noms fictifs ou des données de test sensibles. Examinez les citations et ouvrez les sources avec le même compte.
Testez aussi le refus. Un utilisateur hors du groupe RH ne doit pas obtenir ni ouvrir un document RH, directement ou par Copilot. Après un changement d'autorisation, tenez compte du délai de propagation de la recherche et de Copilot.
| Anneau | Portée | Critère de sortie |
|---|---|---|
| 0 — gouvernance | Rôles, critères et exceptions | Responsabilités approuvées |
| 1 — sites sensibles | RH, finances, juridique, direction | Accès larges justifiés ou retirés |
| 2 — pilote Copilot | Petit groupe représentatif | Aucune citation inattendue; refus validés |
| 3 — vagues | Départements successifs | Revue terminée et soutien prêt |
| 4 — exploitation | Nouveaux sites, invités et liens | Revues récurrentes et exceptions expirables |
Checklist avant d'attribuer les licences Copilot
- Les sites sensibles ont un propriétaire métier et un propriétaire de relève.
- Les sites de canaux privés et partagés sont inclus dans l'inventaire.
- Everyone except external users et les liens à l'organisation sont justifiés.
- Les liens anonymes, invités et participants B2B direct connect ont été revus.
- Les groupes et équipes sans propriétaire sont corrigés.
- Les permissions uniques des bibliothèques sensibles ont été examinées.
- Les étiquettes de conteneur et de fichier sont testées séparément.
- Le confinement temporaire possède un propriétaire et une date de retrait.
- Le pilote vérifie réponses, citations, refus et propagation.
- Les exceptions sont documentées pour la prochaine revue.
Transformer l'audit en programme de gouvernance
Un nettoyage ponctuel réduit le risque initial, mais les liens, groupes et sites continuent d'évoluer. Intégrez la revue des propriétaires, invités et partages aux arrivées, départs, fins de projets et changements de classification. Surveillez aussi les agents et connecteurs qui ajoutent d'autres sources à Copilot.
Ce guide fournit une méthode ciblée; il ne remplace pas une analyse complète des autorisations effectives, de la conformité, de la rétention et des processus métiers. Une évaluation structurée distingue les accès légitimes des expositions accidentelles sans neutraliser la valeur de Copilot.
À propos de l’auteur
Marc-Antoine Lambert
Consultant TI senior et Team Lead basé à Montréal, spécialisé en architecture, cybersécurité, infrastructures Microsoft, réseaux et continuité des opérations.
Discuter de votre environnement →