Microsoft Purview DLP : démarrer sans noyer vos équipes sous les alertes
La prévention des pertes de données (DLP) de Microsoft Purview promet d'empêcher la fuite d'informations sensibles par e-mail, par partage de fichiers ou par copie sur un support amovible. Mal préparée, elle produit surtout des milliers d'alertes que personne ne lit et des utilisateurs bloqués sans comprendre pourquoi. Voici comment poser des bases solides.
Ce que détecte réellement une stratégie DLP
Une stratégie DLP s'appuie d'abord sur des types d'informations sensibles (SIT) : numéros de carte bancaire, IBAN, numéros d'identification nationaux, numéros de passeport, etc. Microsoft en fournit plusieurs centaines prêts à l'emploi, et vous pouvez en créer d'autres à partir d'expressions régulières et de mots-clés. Chaque détection est associée à un niveau de confiance (faible, moyen, élevé) et à un nombre d'occurrences. Ces deux paramètres font toute la différence entre une règle utile et une règle bruyante : un seul numéro de carte dans un e-mail n'appelle pas la même réponse qu'un export de cinq cents lignes.
Selon votre licence, d'autres méthodes de classification sont disponibles : classifieurs entraînables, correspondance exacte de données (EDM), étiquettes de confidentialité utilisées comme condition. Vérifiez ce que couvre votre abonnement avant de concevoir vos règles autour de ces fonctionnalités.
Les emplacements couverts
| Emplacement | Ce qui est contrôlé |
|---|---|
| Exchange Online | Messages envoyés et pièces jointes |
| SharePoint Online | Documents stockés et partagés sur les sites |
| OneDrive | Fichiers personnels, en particulier lors de partages externes |
| Teams | Messages de conversation et de canal |
| Appareils (Endpoint DLP) | Copie vers USB, impression, téléversement web, presse-papiers ; nécessite l'intégration des postes et une licence adaptée |
Inutile d'activer tous les emplacements d'un coup. Commencez là où le risque est le plus concret, souvent les e-mails sortants et le partage externe depuis OneDrive et SharePoint.
Toujours commencer en mode simulation
Purview permet d'exécuter une stratégie en mode simulation : les correspondances sont journalisées, aucune action n'est appliquée aux utilisateurs. C'est l'étape la plus importante du déploiement. Laissez tourner la stratégie plusieurs semaines, puis analysez les résultats avec les métiers : quels flux sont légitimes (la paie qui envoie des IBAN à la banque, les RH qui échangent avec un prestataire) et lesquels ne le sont pas ?
Ce travail permet d'ajuster les seuils, d'exclure des destinataires ou des sites précis et d'éviter de bloquer un processus métier critique le jour de l'activation.
Les conseils de stratégie : éduquer avant de bloquer
Les conseils de stratégie (policy tips) affichent un avertissement directement dans Outlook, dans les applications Office ou dans SharePoint au moment où l'utilisateur s'apprête à partager une donnée sensible. Une progression raisonnable :
- Simulation, sans aucune notification.
- Conseil de stratégie seul, pour sensibiliser.
- Blocage avec possibilité de contournement motivé (justification métier journalisée).
- Blocage strict, réservé aux cas les plus sensibles.
La justification saisie lors d'un contournement est une source précieuse : elle révèle les usages réels et les règles mal calibrées.
Éviter la fatigue des alertes
Une alerte par correspondance est le moyen le plus sûr de rendre la DLP inutile. Réservez les alertes aux règles à fort impact, utilisez les seuils d'agrégation (nombre d'événements ou volume sur une période) et définissez qui traite quoi. Les incidents de faible gravité peuvent être consultés dans l'explorateur d'activités sans générer de notification.
À retenir. Une stratégie DLP qui bloque dès le premier jour est presque toujours désactivée au bout d'une semaine. La phase de simulation n'est pas une perte de temps : c'est elle qui rend la stratégie acceptable et durable.
Ce qu'un audit vérifie
- L'existence de stratégies DLP réellement actives, et pas seulement en simulation depuis des mois.
- Les emplacements couverts au regard des flux de données sensibles de l'organisation.
- Le calibrage des seuils de confiance et d'occurrences.
- La configuration des alertes et l'existence d'un processus de traitement.
- Les exceptions accordées et leur justification.