Microsoft 365 Copilot : le surpartage que vos permissions cachaient jusqu'ici
Microsoft 365 Copilot respecte les permissions existantes : il ne donne accès à aucun document que l'utilisateur ne pourrait pas ouvrir lui-même. C'est rassurant, et c'est précisément le problème. Des années de partages trop larges, jusque-là protégés par l'obscurité, deviennent accessibles par une simple question en langage naturel.
La fin de la sécurité par l'obscurité
Avant Copilot, un fichier de salaires partagé par erreur avec toute l'entreprise restait souvent inaperçu : encore fallait-il connaître son existence et le chercher. Avec un assistant capable de répondre à « quelles sont les rémunérations de l'équipe commerciale ? », ce fichier remonte en quelques secondes. Copilot ne crée pas de faille, il révèle celles qui existaient déjà.
Les sources habituelles de surpartage
- « Tout le monde sauf les utilisateurs externes » : ce groupe intégré, ajouté à un site ou à une bibliothèque, donne accès à tous les comptes internes.
- Les liens « Personnes de votre organisation », souvent proposés par défaut lors d'un partage, et les liens « Tout le monde » (anonymes).
- Les équipes et groupes Microsoft 365 publics, dont le contenu est ouvert à tous les membres du tenant.
- L'héritage rompu : des autorisations uniques au niveau d'un dossier ou d'un fichier, que plus personne ne suit.
- Les sites sans propriétaire actif, après un départ ou une réorganisation.
Commencer par les réglages du tenant
Avant de corriger site par site, réduisez l'apport de nouveau surpartage :
- Définissez le type de lien par défaut sur « Personnes spécifiques ».
- Limitez ou désactivez les liens « Tout le monde », et imposez une date d'expiration.
- Envisagez de masquer « Tout le monde sauf les utilisateurs externes » dans le sélecteur de personnes.
- Faites passer les nouvelles équipes en privé par défaut, par exemple via les étiquettes de conteneur.
Revoir l'accès aux sites existants
Microsoft propose, via SharePoint Advanced Management, des rapports de gouvernance de l'accès aux données qui identifient les sites les plus partagés, ainsi que des revues d'accès confiées aux propriétaires de site. D'autres fonctionnalités permettent de restreindre l'accès à un site à un groupe précis ou d'exclure certains sites des résultats de Copilot. Le périmètre de licence et le nom de ces fonctionnalités ont évolué ces dernières années : vérifiez ce qui est disponible dans votre tenant au moment du projet.
La recherche SharePoint restreinte, qui limite la recherche à l'échelle de l'organisation à une liste de sites approuvés, a été présentée comme une mesure transitoire. Elle peut aider pendant le nettoyage, mais ne corrige pas les permissions sous-jacentes : les fichiers restent accessibles par d'autres chemins.
Principe. Les mesures de restriction de recherche ou de découverte réduisent ce que Copilot met en avant ; seule la correction des permissions réduit ce que l'utilisateur peut réellement ouvrir. Les deux se complètent, mais la seconde est indispensable.
Compléter avec la classification
Les étiquettes de confidentialité avec chiffrement restreignent l'usage que Copilot peut faire d'un document selon les droits accordés à l'utilisateur. Associées à des stratégies DLP, dont la couverture pour Copilot évolue encore, elles protègent les contenus les plus sensibles même en cas de permission trop large.
Ce qu'un audit vérifie
- Le type de lien de partage par défaut et l'usage des liens anonymes.
- Les sites et bibliothèques ouverts à « Tout le monde sauf les utilisateurs externes ».
- Les équipes et groupes publics, et les sites sans propriétaire.
- La présence d'étiquettes de confidentialité sur les contenus sensibles.