Comment les administrateurs d'entreprise configurent les autorisations d'accès aux données et les étiquettes de confidentialité dans SharePoint avant de déployer Microsoft 365 Copilot

Le déploiement de Microsoft 365 Copilot exige des administrateurs d'entreprise qu'ils traitent l'hygiène du contenu et la gouvernance des accès avant d'attribuer des licences aux utilisateurs finaux. Bien que Copilot fonctionne strictement dans le cadre des périmètres de sécurité et des listes de contrôle d'accès (ACL) existants de Microsoft 365 — garantissant ainsi que les utilisateurs ne peuvent pas interroger d'informations qu'ils ne sont pas autorisés à consulter —, sa puissante recherche sémantique et sa synthèse en langage naturel amplifient la découvrabilité de fichiers jusque-là ignorés. Dans les organisations présentant une dette historique de permissions, des documents confidentiels tels que des plans de rémunération des dirigeants, des notes relatives aux acquisitions ou des informations d'identification personnelle (PII) de clients stockés sur des sites à accès étendu comme « Tout le monde sauf les utilisateurs externes » (EEEU) peuvent être involontairement mis en évidence dans des réponses conversationnelles. Afin de prévenir les fuites de données et de maintenir la conformité, les administrateurs doivent auditer les référentiels partagés de manière excessive, corriger les autorisations d'accès du locataire (tenant), déployer des étiquettes de confidentialité Microsoft Purview au niveau des conteneurs et des éléments, et instaurer des garde-fous temporaires tels que la Recherche SharePoint restreinte (Restricted SharePoint Search). Ce guide présente la configuration technique de bout en bout requise pour sécuriser les données SharePoint avant le déploiement de Microsoft 365 Copilot.

Comprendre le modèle d'ancrage (Grounding) et de sécurité de Copilot

Microsoft 365 Copilot interagit avec les données organisationnelles via un processus appelé Génération augmentée par récupération (RAG, Retrieval-Augmented Generation). Lorsqu'un utilisateur soumet une invite (prompt), Copilot n'interroge pas un corpus d'apprentissage isolé ; il utilise plutôt Microsoft Graph et l'Index sémantique pour Copilot (Semantic Index for Copilot) pour identifier les contenus pertinents de l'organisation, compile ces extraits dans un contexte d'ancrage (grounding context) et les transmet au grand modèle linguistique (LLM) afin de formuler une réponse.

Fonctionnement des limites d'accès

Copilot fonctionne strictement dans le contexte de sécurité de l'utilisateur exécutant l'invite :

• Droits utilisateur hérités : Copilot ne dispose d'aucun privilège élevé de compte de service. Si un utilisateur ne peut pas accéder à un document SharePoint via le navigateur web, une URL directe ou la recherche SharePoint standard, Copilot ne peut ni accéder à ce document ni le synthétiser pour cet utilisateur.
• L'écart de découvrabilité : Dans les environnements SharePoint classiques, les utilisateurs découvrent rarement des fichiers obscurs stockés dans des bibliothèques mal configurées, car la recherche par mots-clés nécessite des termes précis ou la connaissance préalable du nom du fichier. Copilot, au contraire, interprète l'intention et la sémantique. Si un collaborateur demande : « Quelles sont les dernières propositions de revalorisation salariale au sein de l'ingénierie ? », Copilot recherche les documents indexés pour lesquels l'utilisateur dispose techniquement de droits de lecture, extrait les données et en présente une synthèse directe.
• Application des limites de sécurité : Copilot respecte les contrôles de sécurité configurés dans Microsoft Entra ID, SharePoint Online et Microsoft Purview. Toutefois, il ne rectifie pas les autorisations inappropriées. Les équipes de sécurité doivent s'assurer que l'accès en « lecture » correspond bien à une véritable habilitation métier.

Rights Management Services (RMS) et le droit EXTRACT

Lorsqu'il interagit avec des fichiers chiffrés, Copilot applique les autorisations de Rights Management Services (RMS). Pour que Copilot puisse lire, analyser et extraire des informations d'un document protégé afin de répondre à une invite, l'utilisateur demandeur doit détenir le droit d'utilisation EXTRACT (Copier) :

Si une étiquette de confidentialité applique un chiffrement refusant le droit EXTRACT à un groupe d'utilisateurs, ces derniers ne pourront pas utiliser Copilot pour résumer ou interroger ces documents spécifiques, même s'ils peuvent afficher le document restitué dans Word ou Excel.

Étape 1 : Auditer les autorisations SharePoint et identifier le contenu partagé de façon excessive

Avant de modifier les autorisations ou d'appliquer des stratégies restrictives, les administrateurs doivent établir une visibilité claire sur les structures d'accès existantes. Les principaux risques proviennent des groupes élargis à l'ensemble du domaine, des sites d'équipe orphelins et des liens de partage non gérés.

Utilisation des rapports de gouvernance de l'accès aux données (DAG)

Les rapports de gouvernance de l'accès aux données (Data Access Governance, DAG) de SharePoint, disponibles dans le Centre d'administration SharePoint sous Rapports > Gouvernance de l'accès aux données, offrent des aperçus automatisés des modèles de partage à l'échelle du locataire. Les administrateurs doivent prioriser trois catégories de rapports spécifiques :

1. Rapports « Tout le monde sauf les utilisateurs externes » (EEEU) : Identifient tous les sites SharePoint où la revendication EEEU a été ajoutée aux autorisations du site (telles que Membres du site ou Visiteurs du site). Ces sites sont accessibles à tous les collaborateurs internes, ce qui en fait la principale source d'exposition involontaire de données dans Copilot.
2. Rapports sur les liens de partage : Identifient les sites présentant le volume le plus élevé de liens de partage de type « Toute personne disposant du lien » (anonyme) ou « Membres de votre organisation » (interne à tout le locataire) créés au cours des 30 derniers jours.
3. Rapports sur les étiquettes de confidentialité appliquées aux fichiers : Établissent un recoupement avec les sites stockant de fortes concentrations de fichiers non étiquetés ou sensibles pour repérer les zones d'ombre de la gouvernance.

DAG Administrative Audit Workflow:
1. Navigate to SharePoint Admin Center -> Reports -> Data access governance
2. Run "Sharing links" report -> Filter by "People in your organization"
3. Run "Everyone except external users" report -> Sort by total file count
4. Export high-risk site inventories to CSV for security review

Examen des attributs des référentiels à haut risque

Lors de l'évaluation des données exportées de la DAG, les administrateurs doivent classer les sites en fonction de la sensibilité du contenu et de la composition des membres :

• Référentiels de la direction et des RH : Les sites Juridique, RH, Finance et Fusions & Acquisitions doivent être examinés pour détecter d'éventuelles autorisations parentes héritées et des appartenances à des groupes de sécurité trop larges.
• Groupes Microsoft 365 publics ou privés : Lorsque les utilisateurs créent des équipes Microsoft Teams ou des groupes Microsoft 365, le paramètre par défaut est souvent « Public », ce qui accorde à tout utilisateur du locataire des droits de lecture et d'écriture sur le site d'équipe SharePoint associé. Ceux-ci doivent être identifiés et convertis en « Privé ».
• Héritage d'autorisations rompu : Les sous-dossiers et bibliothèques de documents individuelles disposant d'autorisations uniques et rompues dissimulent souvent des fichiers sensibles au sein de sites départementaux par ailleurs sans risque.

Étape 2 : Corriger les autorisations et mettre en place des garde-fous d'accès

Une fois les référentiels partagés de façon excessive identifiés, les administrateurs doivent corriger les accès ouverts et appliquer des contrôles structurels afin d'empêcher toute dérive future des autorisations.

Élimination des groupes trop larges et révocation des liens de partage ouverts

La correction doit respecter un ordre de priorité :

1. Supprimer les revendications EEEU : Retirer « Tout le monde sauf les utilisateurs externes » des Membres du site, des Visiteurs du site et des ensembles d'autorisations au niveau des documents de tout site contenant du contenu exclusif, strictement interne ou sensible.
2. Normaliser les types de liens de partage par défaut : Dans le Centre d'administration SharePoint, sous Stratégies > Partage, modifier le type de lien de partage par défaut de « Membres de votre organisation » à « Personnes spécifiques (uniquement les personnes spécifiées par l'utilisateur) ». Cela empêche les utilisateurs de créer par inadvertance des liens d'accès à l'échelle du locataire lorsqu'ils partagent des fichiers avec des collègues.
3. Définir des fenêtres d'expiration des liens : Appliquer des stratégies d'expiration automatique pour les liens de partage anonymes et invités (par exemple, exiger une réauthentification après 30 à 90 jours).

Déploiement des contrôles SharePoint Advanced Management (SAM)

Pour les organisations disposant de licences SharePoint Advanced Management (SAM), les administrateurs peuvent appliquer des limites d'accès centralisées sans dépendre uniquement des propriétaires de sites individuels :

• Contrôle d'accès restreint (RAC) pour les sites SharePoint : Le RAC permet aux administrateurs de restreindre l'accès à un site SharePoint aux seuls membres de groupes de sécurité Microsoft Entra ID ou de groupes Microsoft 365 spécifiés. Même si un utilisateur dispose d'autorisations directes sur un fichier ou appartient à un groupe imbriqué, l'accès lui est refusé s'il ne fait pas partie du groupe RAC désigné.
• Détection de contenu restreint (RCD) : La RCD permet aux administrateurs de placer des sites à haut risque ou non vérifiés dans une zone de quarantaine de découverte. Lorsque la RCD est active sur un site, son contenu est masqué de la recherche à l'échelle du locataire et des réponses de Copilot, tandis que les membres autorisés existants conservent un accès direct. Cela permet aux équipes de sécurité d'isoler les sites non audités sans interrompre le travail quotidien en cours.
• Révisions de l'accès aux sites : Les administrateurs peuvent initier des campagnes automatisées de révision de l'accès obligeant les propriétaires de sites à attester périodiquement de leurs listes de membres, ce qui révoque automatiquement l'accès des utilisateurs inactifs ou non autorisés.

Mise en œuvre de la Recherche SharePoint restreinte (RSS) comme disjoncteur temporaire

Dans les grandes entreprises comptant des milliers de sites SharePoint, la réalisation d'un nettoyage exhaustif des autorisations peut prendre des mois. Pour éviter de retarder le déploiement des licences Copilot, Microsoft propose la Recherche SharePoint restreinte (Restricted SharePoint Search, RSS) comme mesure administrative transitoire.

Fonctionnement de la Recherche SharePoint restreinte

Lorsque la RSS est activée :

• La recherche d'entreprise et Microsoft 365 Copilot sont limités à une Liste autorisée (Allowed List) comprenant jusqu'à 100 sites SharePoint sélectionnés.
• Copilot continue d'accéder au OneDrive personnel de l'utilisateur, aux messages électroniques, aux conversations Teams, aux événements de calendrier ainsi qu'aux sites que l'utilisateur visite fréquemment ou dont il est explicitement propriétaire.
• Le contenu stocké dans les milliers de sites SharePoint non sélectionnés est exclu de l'ancrage de Copilot et de la recherche à l'échelle de l'organisation, ce qui élimine le risque que Copilot n'extraie des données de référentiels non vérifiés.

Configuration de la RSS via SharePoint Online PowerShell

La Recherche SharePoint restreinte se configure à l'aide du module SharePoint Online PowerShell :

# Connect to your SharePoint Online tenant admin endpoint
Connect-SPOService -Url "https://contoso-admin.sharepoint.com"

# Check the current status of Restricted SharePoint Search
Get-SPOTenantRestrictedSearchMode

# Enable Restricted SharePoint Search mode
Set-SPOTenantRestrictedSearchMode -Mode Enabled

# Add approved enterprise sites to the Allowed List (up to 100 sites)
Add-SPOTenantRestrictedSearchAllowedList -SitesList @(
    "https://contoso.sharepoint.com/sites/CorporateComms",
    "https://contoso.sharepoint.com/sites/CompanyPolicies",
    "https://contoso.sharepoint.com/sites/ITHelpdesk",
    "https://contoso.sharepoint.com/sites/EmployeeHandbook"
)

# View all currently allowed sites
Get-SPOTenantRestrictedSearchAllowedList

Transition pour désactiver la RSS

La Recherche SharePoint restreinte a été conçue comme une passerelle temporaire et non comme une architecture permanente. Bien que la RSS protège contre les fuites de données provenant de sites non vérifiés, elle limite également la capacité de Copilot à fournir des insights transversaux à travers des référentiels de projets légitimes. Dès que les rapports de gouvernance de l'accès aux données confirment que les autorisations des sites ont été assainies et que les étiquettes de confidentialité sont appliquées, les administrateurs doivent désactiver la RSS pour libérer toute la valeur organisationnelle de Copilot :

# Disable Restricted SharePoint Search once governance remediation is complete
Set-SPOTenantRestrictedSearchMode -Mode Disabled

Étape 3 : Concevoir et déployer les étiquettes de confidentialité Microsoft Purview

Tandis que les autorisations SharePoint définissent qui a accès à un site ou à un dossier, les étiquettes de confidentialité Microsoft Purview définissent ce qu'est le contenu et appliquent une protection permanente qui accompagne les données où qu'elles soient stockées, partagées ou traitées par l'IA.

Étiquettes de confidentialité au niveau du conteneur

Les étiquettes au niveau du conteneur appliquent des paramètres de gouvernance directement aux sites SharePoint, aux groupes Microsoft 365 et à Microsoft Teams. Avant de créer des étiquettes de conteneur, assurez-vous que la fonctionnalité est activée dans votre locataire via PowerShell (Set-ExecutionPolicy RemoteSigned; Import-Module Microsoft.Graph; Connect-MgGraph) et Microsoft Entra ID.

Les étiquettes de conteneur appliquent trois contrôles principaux indispensables à la préparation de Copilot :

1. Paramètres de confidentialité (Public ou Privé) : Forcer le paramètre « Privé » garantit que de nouveaux sites d'équipe ne pourront pas être créés avec un accès ouvert à l'ensemble du locataire.
2. Contrôles du partage externe : Définir l'étiquette sur « Uniquement les personnes de votre organisation » ou « Invités existants » empêche les fuites de données externes sur les sites de collaboration sensibles.
3. Stratégies d'accès conditionnel et appareils non gérés : Restreindre l'accès au web uniquement ou bloquer l'accès depuis des appareils non conformes garantit que Copilot ne peut pas être sollicité depuis des points de terminaison non fiables interagissant avec des sites sensibles.

Étiquettes de confidentialité et chiffrement au niveau de l'élément

Les étiquettes au niveau de l'élément classifient et protègent les fichiers Word, Excel, PowerPoint et PDF individuels. Les administrateurs configurent ces étiquettes dans le portail de conformité Microsoft Purview sous Protection des informations > Étiquettes.

Un schéma de classification d'entreprise standard comprend généralement :

• Public (Public) : Données non sensibles destinées à une diffusion publique (aucun chiffrement).
• Général (General) : Données métier courantes partagées en interne (aucun chiffrement ou droits internes élémentaires).
• Confidentiel (Confidential) : Données métier sensibles (rapports financiers, stratégies clients). Configuré avec le chiffrement Azure Information Protection, limitant l'accès aux collaborateurs authentifiés de l'organisation disposant du droit EXTRACT.
• Hautement confidentiel (Highly Confidential) : Propriété intellectuelle stratégique, rémunérations des dirigeants, dossiers de fusions et acquisitions. Configuré avec un chiffrement strict, limitant l'accès à des utilisateurs nommés précis ou à des groupes de sécurité désignés. Dans certains scénarios spécifiques, le droit EXTRACT peut être retiré pour bloquer explicitement la synthèse par l'IA et la copie dans le presse-papiers.

Hérédité des étiquettes de confidentialité dans Copilot

Lorsque Microsoft 365 Copilot synthétise des informations pour générer un nouveau document, un brouillon d'e-mail ou un résumé, il respecte des règles strictes d'héritage d'étiquettes :

• Référence à une source unique : Si Copilot fait référence à un seul document étiqueté Confidential, tout nouveau fichier généré par Copilot à partir de cette interaction hérite automatiquement de l'étiquette Confidential et de ses paramètres de chiffrement associés.
• Références à des sources multiples : Si Copilot combine des contenus provenant de sources multiples ayant des classifications différentes (par exemple, un document étiqueté General et un autre étiqueté Highly Confidential), Copilot applique automatiquement l'étiquette la plus restrictive (Highly Confidential) au document produit.
• Télémétrie et visibilité : Copilot affiche directement l'étiquette de confidentialité appliquée dans l'interface utilisateur, s'assurant ainsi que les utilisateurs sont immédiatement informés du niveau de classification des données.

Configuration des stratégies d'étiquetage automatique dans Purview

L'étiquetage manuel repose sur la conformité de l'utilisateur final, ce qui engendre fréquemment des omissions. Pour assurer une couverture uniforme avant le déploiement de Copilot, les administrateurs doivent déployer des stratégies d'étiquetage automatique tant côté client que côté service.

Étiquetage automatique côté client

Configuré au sein de la définition de l'étiquette dans Microsoft Purview :

• Invite l'utilisateur ou applique automatiquement des étiquettes lorsque les collaborateurs créent des documents dans Word, Excel ou PowerPoint en fonction des types d'informations sensibles (SIT) détectés, tels que les numéros de carte bancaire, les identifiants fiscaux ou des expressions régulières personnalisées.
• Assure une sensibilisation immédiate de l'utilisateur dès la création du document.

Étiquetage automatique côté service (inspection des données au repos)

L'étiquetage automatique côté service fonctionne au niveau de l'infrastructure du locataire, analysant les fichiers stockés dans SharePoint Online et OneDrive :

1. Dans le portail Microsoft Purview, accédez à Protection des informations > Étiquetage automatique.
2. Créez une stratégie ciblant les sites SharePoint et les comptes OneDrive.
3. Définissez les règles de détection à l'aide de SIT intégrés (dossiers financiers, données de santé) ou de classificateurs avec capacité d'apprentissage (code source, contrats juridiques).
4. Exécutez la stratégie en Mode simulation (Simulation Mode) pendant au moins 7 à 14 jours afin d'examiner les correspondances, de vérifier la précision et d'éviter un sur-étiquetage involontaire.
5. Dès que les résultats de la simulation correspondent aux attentes, activez la stratégie pour appliquer automatiquement les étiquettes et le chiffrement aux données historiques au repos.

Feuille de route de mise en œuvre : Gouvernance échelonnée avant déploiement

Pour structurer efficacement le déploiement, les administrateurs doivent suivre un calendrier opérationnel échelonné :

Validation des limites de sécurité et gouvernance continue

Avant d'ouvrir l'accès à Copilot à l'ensemble de l'entreprise, les administrateurs doivent valider systématiquement que les limites de sécurité fonctionnent comme prévu.

Scénarios de tests avec des utilisateurs synthétiques

Les équipes de sécurité doivent configurer des comptes de test reflétant différents profils de départements (par exemple, des comptes standard Ventes, Ingénierie standard et Spécialiste RH) pour procéder à la validation des invites :

• Investigation interdépartementale : Depuis le compte de test standard Ventes, soumettez des invites ciblées à Copilot telles que « Résumer le prochain plan de réorganisation de la direction » ou « Montrer les récentes révisions de salaires ». Vérifiez que Copilot ne renvoie aucune donnée et indique qu'il ne trouve pas d'informations pertinentes.
• Investigation de documents chiffrés : Testez des invites sur des documents pour lesquels l'utilisateur possède des autorisations VIEW mais ne dispose pas du droit EXTRACT. Vérifiez que Copilot refuse d'extraire ou de résumer le texte.
• Vérification de l'héritage : Demandez à Copilot de rédiger une note de synthèse en utilisant un document étiqueté Confidential comme référence, et vérifiez que la réponse générée conserve automatiquement l'étiquette de confidentialité Confidential.

Surveillance via le Hub IA Microsoft Purview

Microsoft Purview intègre le Hub IA (AI Hub) (situé dans le portail de conformité Purview), qui fournit une télémétrie dédiée aux interactions avec Microsoft 365 Copilot :

• Activité sur les données sensibles : Visualisez des tableaux de bord en temps réel indiquant les types d'informations sensibles et les étiquettes de confidentialité référencés dans les invites des utilisateurs et les réponses générées de Copilot.
• Violations de stratégies : Configurez des alertes de protection contre la perte de données (DLP) pour détecter les tentatives de partage ou d'exportation vers des emplacements non autorisés de réponses Copilot contenant des données sensibles.
• Journalisation d'audit : Interrogez le journal d'audit unifié à l'aide du type d'enregistrement CopilotInteraction dans Purview Audit pour examiner des invites utilisateur spécifiques, les URI de fichiers référencés et les étiquettes appliquées à des fins d'audit de conformité.

En combinant une correction proactive des autorisations dans SharePoint, des contrôles ciblés tels que la Recherche SharePoint restreinte, des étiquettes de confidentialité Microsoft Purview persistantes et une surveillance télémétrique continue, les administrateurs d'entreprise peuvent éliminer efficacement les risques de fuite de données et garantir un déploiement sécurisé et conforme de Microsoft 365 Copilot.