Notes · Microsoft 365

Avant Copilot : trouver les contenus trop largement partagés

Microsoft 365 Copilot fonde ses réponses sur les données auxquelles la personne qui pose la question a déjà accès. Cela semble rassurant. Dans beaucoup d’entreprises, c’est justement là le problème.

Au fil des années, beaucoup de choses s’accumulent : une équipe créée en « public », un dossier partagé avec toute l’organisation, un lien « Tout le monde » que plus personne ne connaît. Jusqu’ici, cela passait inaperçu, parce que personne ne cherchait. Copilot, lui, cherche. Si une collaboratrice demande les « salaires 2026 » et que la liste des salaires se trouve dans un espace ouvert, elle peut apparaître dans la réponse. L’exemple est inventé, le schéma ne l’est pas.

Ce que Microsoft propose

D’abord la question des licences. Dès qu’au moins une personne de votre entreprise a une licence Microsoft 365 Copilot, vos administrateurs SharePoint ont accès aux fonctionnalités de Gestion avancée de SharePoint (SharePoint Advanced Management) qui concernent Copilot. Sans Copilot, la Gestion avancée de SharePoint existe en module complémentaire (Plan 1). Avec Microsoft 365 E5 seul, vous ne voyez qu’une partie des rapports, sans instantanés et sans corrections. Les outils les plus importants :

• Rapports de gouvernance de l’accès aux données (Data access governance) dans le Centre d’administration SharePoint. Le rapport sur les autorisations des sites montre, sous forme d’instantané, quels sites SharePoint et OneDrive ont l’accès le plus large, par exemple avec des milliers de personnes, des invités ou le groupe « Tout le monde sauf les utilisateurs externes ». Deux autres rapports montrent où, au cours des 28 derniers jours, beaucoup de liens de partage ont été créés ou des contenus partagés avec toute l’organisation.
• Révision de l’accès au site (Site access review). Vous envoyez un site à risque à ses propriétaires, qui vérifient eux-mêmes les autorisations.
• Découverte de contenu restreinte (Restricted Content Discovery). Un site n’apparaît plus dans la recherche à l’échelle de l’organisation ni dans Copilot, mais ses autorisations restent les mêmes. Microsoft la présente comme une mesure temporaire, le temps de la vérification. Ce réglage n’existe pas pour OneDrive.
• Contrôle d’accès restreint (Restricted Access Control). Un site n’est alors accessible qu’aux membres d’un groupe défini, même si d’autres y avaient accès ou disposaient d’un lien.
• Stratégies pour les sites inactifs et la propriété des sites. Elles repèrent les sites sans propriétaire ou sans utilisation, que l’on peut archiver ou supprimer.

Je n’utilise plus l’ancienne recherche SharePoint restreinte (Restricted SharePoint Search). Microsoft la retire ; depuis le 31 juillet 2026, elle ne peut plus être activée.

Pour les étiquettes de confidentialité et la protection contre la perte de données, Microsoft Purview entre en jeu. Le rapport sur les fichiers avec étiquettes de confidentialité nécessite E5. Purview propose en plus une évaluation hebdomadaire des risques pour les 100 sites SharePoint les plus utilisés. Je vérifie dans votre tenant lesquelles de ces fonctionnalités vos licences couvrent.

Dans cet ordre

1. Vérifier les paramètres de partage. Selon Microsoft, SharePoint est réglé par défaut sur l’option la plus permissive. Je vérifie si des liens « Tout le monde » sont nécessaires et fixe une date d’expiration.
2. Créer un instantané. Le rapport sur les autorisations des sites donne la liste des sites avec l’accès le plus large.
3. Protéger d’abord le sensible. Ressources humaines, finances et direction : je les retire de Copilot avec la découverte de contenu restreinte, jusqu’à ce qu’ils soient vérifiés.
4. Faire le ménage avec les propriétaires. Les propriétaires vérifient leurs sites. Là où c’est nécessaire, je limite l’accès à un groupe.
5. Éliminer l’héritage. Archiver ou supprimer les sites orphelins et inactifs. Ce qui n’existe plus, Copilot ne peut pas le trouver.
6. Lancer Copilot avec un petit groupe. Ensuite, les rapports d’activité tournent chaque mois et l’instantané chaque trimestre, comme Microsoft le recommande.

Ce que je fais concrètement

• J’établis pour votre tenant un rapport : quels espaces sont trop ouverts, classés par risque, avec une proposition pour chacun.
• Je mets en œuvre les corrections avec vous et les propriétaires, sans que personne ne se retrouve soudain devant un espace bloqué.
• J’accompagne le lancement avec un groupe pilote.
• Ce qui a été modifié est documenté, pour votre équipe et votre organe de révision.