Posez la question à n’importe quelle DSI : qui peut ouvrir le dossier de rémunération de l’équipe commerciale ? La réponse arrive rarement dans l’heure. Il faut remonter le site SharePoint, ses groupes, les liens de partage créés au fil des mois et les éventuelles exceptions posées sur un dossier précis.
Longtemps, cette incertitude restait théorique. Un document trop exposé dormait au fond d’une bibliothèque que personne ne parcourait. L’arrivée de Microsoft 365 Copilot et de la recherche en langage naturel a changé la donne : un assistant qui interroge tout ce qu’un utilisateur peut lire fait remonter en quelques secondes ce qu’aucune navigation n’aurait trouvé.
Cet article propose une grille de lecture pour reprendre la main sur les droits documentaires dans SharePoint et Teams. Elle part de l’existant et s’appuie sur des fonctions que la plupart des tenants possèdent déjà sans les utiliser.
Pourquoi les droits dérivent dans Microsoft 365
Les droits d’accès SharePoint dérivent parce que Microsoft 365 a été conçu pour faciliter la collaboration : chaque geste de partage ajoute une couche sans en retirer aucune.
La création d’une équipe Teams en donne le premier exemple. Elle génère un groupe Microsoft 365 et un site SharePoint, dont tous les membres peuvent modifier les fichiers. Chaque canal privé ou partagé dispose en plus de son propre site, avec sa propre liste de membres. Une organisation de 500 personnes se retrouve vite avec plusieurs centaines d’espaces, chacun géré selon les habitudes de son créateur.
Les liens de partage ajoutent une deuxième couche. Un utilisateur qui partage un fichier crée un lien, et ce lien vit indépendamment des groupes du site. Un lien « Personnes de votre organisation » peut être transféré à n’importe quel collègue. Un lien « Toute personne disposant du lien » ne demande aucune authentification, et Microsoft précise que les accès qu’il permet ne peuvent pas être audités.
Viennent enfin les exceptions. Pour partager un seul dossier avec un prestataire, quelqu’un casse l’héritage des autorisations. Pour simplifier, un autre ajoute le groupe « Tout le monde sauf les utilisateurs externes » à une bibliothèque. Trois ans plus tard, personne ne se souvient de ces décisions, et leur auteur a parfois quitté l’entreprise.
Le cœur du problème est l’absence de responsable. Dans la plupart des tenants, personne n’a été désigné pour décider qui doit accéder à quoi, ni pour vérifier que cette décision tient dans le temps.
Ce que l'IA change à la question des droits
Microsoft 365 Copilot respecte les autorisations existantes : il ne présente à un utilisateur que les contenus auxquels celui-ci a au moins un accès en lecture. Cette garantie, souvent mise en avant pour rassurer, a une conséquence directe. Copilot rend visible le surpartage accumulé depuis des années.
Un tableur de salaires rangé dans un site accessible à toute l’entreprise posait un risque faible tant qu’il fallait connaître son emplacement. Il devient une réponse possible dès qu’un collaborateur demande à l’assistant « quels sont les salaires de l’équipe commerciale ? ».
Les liens de partage n’ont pas tous le même effet sur cette exposition. Selon la documentation Microsoft, un lien « Personnes spécifiques » rend le fichier visible dans la recherche et dans Copilot pour toutes les personnes ajoutées au lien. Un lien « Personnes de votre organisation » envoyé depuis Outlook ou une conversation Teams est automatiquement attribué à chaque destinataire, dans la limite de 100. Ces mécanismes expliquent pourquoi un fichier peut apparaître chez des utilisateurs qui ne l’ont jamais ouvert.
C’est aussi la condition pour qu’une IA documentaire respecte vos droits d’accès : elle ne vaut que si ces droits ont été définis avec soin.
Séparer les rôles avant de régler les permissions
La tentation est grande de commencer par les écrans d’administration. Une gouvernance des droits commence pourtant par une question d’organisation : qui décide des accès, et qui vérifie qu’ils restent justifiés ?
Cinq rôles suffisent à couvrir la plupart des situations.
- Le propriétaire métier répond du contenu d’un espace : la directrice des ressources humaines pour les dossiers du personnel, le responsable qualité pour le système documentaire. Il décide qui doit y accéder et à quel niveau.
- Le propriétaire de site applique ces décisions dans SharePoint ou Teams. Il ajoute et retire les membres et traite les demandes d’accès. Il peut s’agir de la même personne que le propriétaire métier, ou d’un relais désigné dans son équipe.
- L’administrateur Microsoft 365 fixe le cadre commun : types de liens autorisés, partage externe, règles d’expiration, rapports. Il n’a pas vocation à arbitrer qui doit lire le dossier d’un service.
- Le RSSI ou le DPO contrôle que le cadre est respecté et définit les niveaux de sensibilité. Il intervient sur les écarts, sans gérer les accès au quotidien.
- Les utilisateurs partagent dans les limites fixées. Ils doivent savoir quel type de lien utiliser selon la nature du document.
Cette répartition règle un malentendu fréquent. Lorsque la DSI porte seule la responsabilité des droits, elle se retrouve à arbitrer des accès dont elle ignore les enjeux métier. Lorsqu’elle délègue tout aux équipes, chaque site suit ses propres règles. Le propriétaire métier fait le lien entre les deux.
La grille de lecture : quatre actions, trois niveaux de sensibilité
Une fois les rôles posés, chaque espace documentaire peut être décrit par une grille simple. Elle croise quatre actions avec le niveau de sensibilité des contenus.
| Action | Interne courant | Interne restreint | Confidentiel |
|---|---|---|---|
| Lire | Toute l'organisation, liens « Personnes de votre organisation » autorisés | Membres du service ou du projet, liens « Personnes spécifiques » uniquement | Liste nominative validée par le propriétaire métier, pas de partage par lien |
| Modifier | Membres de l'équipe | Contributeurs désignés | Rédacteurs nommés, circuit de validation avant diffusion |
| Supprimer | Membres de l'équipe, corbeille et versions comme filet de sécurité | Propriétaires de site | Aucune suppression manuelle, documents protégés par une règle de conservation |
| Archiver ou clore | Propriétaire de site, sur décision d'inactivité | Propriétaire métier | Propriétaire métier, selon la durée de conservation fixée |
La grille met au jour un point que les paramètres par défaut masquent. Dans SharePoint, le niveau d’autorisation « Modification », attribué aux membres d’un site, inclut le droit de supprimer des éléments. Séparer modification et suppression demande donc une décision explicite : un niveau d’autorisation personnalisé ou, pour les documents qui doivent faire foi, une étiquette de rétention qui les déclare comme enregistrements et en interdit la suppression.
L’archivage mérite le même soin. Un site de projet terminé reste souvent ouvert à tous ses anciens membres, consultable et modifiable, alors que plus personne n’y travaille. Le passer en lecture seule ou l’archiver relève d’une décision du propriétaire métier, que la grille rend visible.
Appliquer la grille sans tout reconstruire
Refondre l’ensemble des permissions d’un tenant prendrait des mois et bloquerait les équipes. La méthode qui suit avance par priorités et produit des résultats dès les premières semaines.
1. Prendre une photographie des accès
Le centre d’administration SharePoint propose des rapports de gouvernance de l’accès aux données. Le rapport sur les autorisations de site de l’organisation dresse un état des permissions sur l’ensemble des sites SharePoint et OneDrive. D’autres rapports repèrent les contenus partagés avec « Tout le monde sauf les utilisateurs externes » et les sites où les liens de partage se sont multipliés au cours des 28 derniers jours.
Ces rapports relèvent de SharePoint Advanced Management. Microsoft inclut désormais la plupart de ses fonctions dans les licences Microsoft 365 Copilot : un tenant équipé de Copilot y a donc accès sans surcoût. Sans ces licences, les administrateurs E5 disposent d’une version réduite, limitée aux rapports d’activité.
2. Classer les sites par sensibilité
Inutile de classer des centaines de sites d’un coup. Commencez par ceux qui hébergent les ressources humaines, la finance, le juridique et la direction générale. Attribuez à chacun l’un des trois niveaux de la grille, en vous appuyant sur les étiquettes de confidentialité si elles existent déjà dans votre tenant.
Cette étape repose aussi sur une architecture documentaire SharePoint lisible : un site par périmètre de droits limite le recours aux exceptions.
3. Nommer deux propriétaires par site
Un site sans propriétaire actif devient un site sans gouvernance. Exigez au moins deux propriétaires par site, dont un rattaché au métier concerné. La politique de propriété des sites de SharePoint Advanced Management repère les sites qui ne respectent pas cette règle.
4. Corriger les écarts les plus exposés
Traitez d’abord ce qui expose le plus de monde. Retirez « Tout le monde sauf les utilisateurs externes » des sites restreints et confidentiels. Supprimez les liens « Toute personne disposant du lien » devenus inutiles. Reprenez enfin les dossiers dont l’héritage a été cassé sans justification connue.
Pour les sites les plus sensibles, deux fonctions complètent ce nettoyage. Le contrôle d’accès restreint limite l’accès d’un site aux membres d’un groupe défini, quels que soient les partages accordés par ailleurs. La découverte de contenu restreinte retire un site des résultats de recherche à l’échelle de l’organisation et des réponses de Copilot, tout en laissant ses membres y travailler normalement.
5. Installer une revue périodique
Une correction ponctuelle se dégrade en quelques mois si rien ne vient la vérifier. La révision de l’accès au site permet à l’administrateur de demander aux propriétaires de passer en revue les permissions de leur site à partir des rapports de gouvernance. Le propriétaire valide ou retire les accès, et l’administrateur suit l’avancement des revues.
Une cadence semestrielle convient aux sites confidentiels, une revue annuelle suffit pour les sites restreints. Activez en complément une politique d’expiration des liens « Personnes de votre organisation » : les nouveaux liens reçoivent alors une date de fin, et les liens existants sont évalués à partir de leur date de création.
Le cas particulier de Teams
Teams concentre une bonne part des dérives, parce que ses espaces se créent en quelques clics et que leurs droits s’administrent depuis une autre interface que SharePoint.
Trois réflexes limitent les écarts. Rattachez chaque équipe à un propriétaire métier dès sa création. Vérifiez la liste des membres de chaque canal privé ou partagé, qui s’administre séparément de celle de l’équipe. Contrôlez enfin la présence d’invités externes : un invité ajouté pour un projet de trois mois reste souvent membre longtemps après la fin de la mission.
Sur les canaux partagés, Microsoft interdit les liens « Toute personne disposant du lien » et restreint les liens « Personnes spécifiques » aux membres du canal. Ces garde-fous natifs réduisent le risque sans dispenser de la revue des membres.
Ce que les outils natifs laissent à votre charge
Les fonctions de SharePoint Advanced Management apportent une visibilité précieuse aux administrateurs. Elles restent des outils d’administration : elles signalent les écarts et laissent à l’organisation le soin de décider et de suivre les corrections.
Sur un tenant de quelques dizaines de sites, un administrateur peut traiter ces rapports à la main. Au-delà de plusieurs centaines de sites, le volume d’écarts dépasse la capacité d’une équipe IT, et les propriétaires sollicités sans contexte répondent peu. Les droits s’ajoutent alors à une autre dérive bien connue : les contenus dormants que personne ne consulte plus restent exposés à tous ceux qui y avaient accès. Le guide de la gouvernance documentaire Microsoft 365 détaille ce lien entre cycle de vie et maîtrise des accès.
C’est sur ce passage à l’échelle que Sodoc Radar intervient. Son analyse des partages repère les permissions excessives et les partages externes non revus, site par site. Les corrections passent ensuite par des campagnes que l’équipe IT simule avant de les exécuter, ce qui permet de mesurer l’effet d’un retrait d’accès avant de l’appliquer.
Les indicateurs à suivre
Une gouvernance des droits se pilote avec peu d’indicateurs, à condition de les suivre dans la durée :
- la part des sites qui comptent au moins deux propriétaires actifs ;
- le nombre de sites restreints ou confidentiels encore ouverts à « Tout le monde sauf les utilisateurs externes » ;
- le nombre de liens « Toute personne disposant du lien » actifs, et leur ancienneté ;
- la part des sites confidentiels revus au cours des six derniers mois ;
- le nombre d’invités externes sans projet actif ou sans parrain interne identifié.
Présentés une fois par trimestre au comité de direction, ces chiffres transforment un sujet technique en suivi de risque compréhensible par tous.
Conclusion
Savoir qui a accès à quoi dans Microsoft 365 commence par une décision d’organisation. Une fois les rôles désignés et la grille posée, la revue périodique garantit que ces décisions tiennent dans le temps.
Les outils nécessaires existent en grande partie dans votre tenant, souvent inclus dans des licences déjà payées. Le premier pas consiste à générer le rapport des autorisations de site, puis à choisir les dix sites dont l’exposition vous inquiète le plus.
Vous voulez savoir quels partages exposent vos documents sensibles dans Microsoft 365 ? Découvrir Sodoc Radar
Pour aller plus loin
Un projet de GED dans Microsoft 365 ?
Voyez comment SoDoc peut structurer vos documents et simplifier les validations dans votre environnement.