Étiquettes de confidentialité : réussir le déploiement sans paralyser les utilisateurs

Une taxonomie courte et compréhensible

La première erreur consiste à reproduire une politique de classification de vingt niveaux. Un utilisateur doit pouvoir choisir une étiquette en deux secondes. Quatre ou cinq étiquettes principales suffisent généralement, par exemple :

• Public : information destinée à être diffusée.
• Général : usage interne courant, sans protection technique.
• Confidentiel : diffusion restreinte, avec éventuellement un marquage visuel.
• Hautement confidentiel : chiffrement et accès limité à des personnes nommées.

Les sous-étiquettes peuvent affiner le niveau (par exemple « Confidentiel – Interne » et « Confidentiel – Partenaires »), mais chaque ajout doit répondre à un besoin réel.

Le chiffrement et ses effets de bord

Une étiquette peut appliquer un chiffrement fondé sur Azure Rights Management. La protection accompagne alors le fichier, même hors de Microsoft 365. C'est puissant, mais ce n'est pas neutre :

• la co-édition de fichiers chiffrés doit être activée explicitement dans le tenant, et tous les clients ne la prennent pas en charge de la même manière ;
• certaines applications tierces, anciens clients Office ou outils d'archivage ne savent pas ouvrir un contenu chiffré ;
• les destinataires externes doivent pouvoir s'authentifier, ce qui dépend de leur propre environnement ;
• les services qui analysent le contenu (recherche, eDiscovery, DLP, Copilot) dépendent des droits d'usage accordés par l'étiquette.

Réservez donc le chiffrement aux niveaux les plus élevés et testez-le avec vos scénarios réels avant la généralisation.

Étiquetage par défaut et étiquetage automatique

Une stratégie d'étiquetage peut appliquer une étiquette par défaut aux nouveaux documents et e-mails, et imposer une justification lorsqu'un utilisateur abaisse le niveau. Une étiquette par défaut de type « Général » garantit qu'aucun contenu ne reste sans classification.

L'étiquetage automatique, côté client (recommandation dans l'application) ou côté service (application aux fichiers déjà stockés dans SharePoint, OneDrive ou Exchange), repose sur les types d'informations sensibles. Ces fonctionnalités dépendent du niveau de licence et évoluent régulièrement : vérifiez la couverture de votre abonnement et démarrez en mode simulation.

Les étiquettes de conteneurs

Une fois la prise en charge activée pour les groupes et les sites, les étiquettes peuvent s'appliquer à une équipe Teams, à un groupe Microsoft 365 ou à un site SharePoint. Elles ne classent pas les fichiers qu'ils contiennent, mais pilotent les paramètres du conteneur : confidentialité publique ou privée, accès des invités, partage externe, accès depuis des appareils non gérés. C'est un moyen efficace d'imposer une gouvernance cohérente dès la création d'une équipe.

Former, puis mesurer

Aucune technologie ne remplace la compréhension des utilisateurs. Une courte formation, des exemples concrets par métier et des infobulles claires dans la description de chaque étiquette font plus pour l'adoption que n'importe quelle règle automatique. Suivez ensuite l'usage dans l'explorateur d'activités : quelles étiquettes sont appliquées, lesquelles sont abaissées, et par qui.

Ce qu'un audit vérifie

• Le nombre d'étiquettes publiées et la clarté de leur description.
• La présence d'une étiquette par défaut et d'une justification en cas d'abaissement.
• Les paramètres de chiffrement et les droits d'usage accordés.
• L'activation des étiquettes pour les groupes et les sites, et leur configuration.