Sécuriser Copilot M365 : la checklist permissions à passer avant le déploiement

Microsoft 365 Copilot ne dispose d'aucune vue propre sur vos données. Il voit exactement ce que l'utilisateur connecté peut déjà voir, puis rend ce contenu très facile à retrouver et à résumer. Tout le problème de préparation tient dans cette phrase : Copilot ne crée pas le partage excessif, il le révèle.

Un fichier qu'un collaborateur pouvait techniquement ouvrir en descendant trois niveaux de dossiers, mais qu'il n'aurait jamais cherché, se retrouve à une question de distance. Le travail à mener avant le déploiement ne concerne donc pas les paramètres de Copilot. Il concerne les permissions et la posture de partage qui existent en dessous.

Pourquoi Copilot transforme une exposition discrète en exposition bruyante #

Pendant des années, la plupart des accès accidentels étaient protégés par l'obscurité. Personne n'allait naviguer jusqu'au site du service RH auquel il n'aurait pas dû accéder, donc la permission mal posée ne portait pas à conséquence. Copilot supprime cette obscurité. Demandez-lui "quelle est notre politique de congé parental" ou "résume les dernières discussions sur le rachat" et il ira puiser dans tout ce que l'utilisateur peut lire, y compris le site partagé trop largement en 2023.

Les trois configurations qui produisent le plus de mauvaises surprises :

• "Toute l'organisation" ou "Tout le monde sauf les utilisateurs externes" appliqué au niveau d'un site ou d'une bibliothèque, ce qui revient en pratique à ouvrir le contenu à chaque salarié.
• Les liens de partage anonymes de type "Toute personne disposant du lien", créés pour un échange ponctuel et jamais expirés.
• Les comptes invités externes oubliés, qui conservent leurs accès à des sites longtemps après la fin du projet.

Sur ce dernier point, la lecture RGPD est directe : un prestataire dont la mission est terminée depuis dix-huit mois et qui garde un accès à un site de données clients, c'est un accès sans justification, et un constat facile à formuler en cas de contrôle.

La checklist à passer avant de déployer #

À exécuter avant d'attribuer la première licence Copilot.

1. Identifier les sites à accès large. Listez chaque site SharePoint partagé avec "Toute l'organisation", "Tout le monde sauf les utilisateurs externes" ou de gros groupes de sécurité Entra ID. Ce sont les surfaces les plus à risque pour Copilot.
2. Inventorier les liens anonymes. Un lien anonyme contourne complètement l'identité : ni authentification, ni journalisation utilisable. Vous voulez une liste à jour, triée par sensibilité et par ancienneté, et la révocation des pires cas. Le sujet est détaillé dans notre article sur les liens de partage anonymes dans Microsoft 365.
3. Revoir les invités externes. Retirez les invités qui n'ont plus besoin d'accès, en commençant par les sites finance, RH, juridique et données clients.
4. Contrôler les équipes Teams sans propriétaire et les équipes publiques. Une équipe sans propriétaire n'a plus personne de responsable de son contenu. Une équipe publique est lisible par toute l'organisation. Les deux alimentent Copilot.
5. Vérifier les étiquettes de confidentialité là où elles comptent. Une étiquette qui restreint ou bloque le contenu vous donne un contrôle qui suit le fichier, et pas seulement le site qui l'héberge.
6. Décider qui reçoit Copilot en premier. Un déploiement par vagues, sur un groupe pilote au périmètre propre, vaut mieux qu'une activation sur l'ensemble du tenant vers des permissions inconnues.
7. Fixer la cadence de contrôle. Une photo prise une fois ne sert à rien. La posture de partage se dégrade dès que les équipes recollaborent, donc prévoyez un nouveau scan mensuel dès le pilote.

Trier par rayon d'impact, pas par volume #

Un scan de préparation peut remonter plusieurs milliers de constats. Ce chiffre paralyse la DSI. Classez par impact au lieu de vouloir tout corriger :

• Un site ou une bibliothèque partagé trop largement pèse beaucoup plus lourd qu'un fichier isolé.
• Finance, RH, juridique et données clients passent avant le reste.
• Un accès large sur un site que les utilisateurs de Copilot fréquentent réellement compte davantage qu'une archive dormante.

La préparation de Copilot est un projet de permissions déguisé en échéance IA. L'échéance est utile, parce qu'elle rend enfin le nettoyage urgent, mais le correctif reste de l'hygiène d'accès ordinaire, menée dans le bon ordre.

Obtenir la photo sans lancer un projet de scripts #

Vous pouvez assembler cette vue à la main. Les rapports du centre d'administration SharePoint donnent une lecture grossière, au niveau du site. Microsoft Graph permet d'énumérer les permissions élément par élément, à condition d'écrire puis de réexécuter les scripts sur chaque site, chaque OneDrive et chaque bibliothèque Teams. Pour la plupart des équipes, c'est un projet en soi, et le résultat est périmé le lendemain.

La voie rapide est un scanner en lecture seule qui parcourt le tenant via Microsoft Graph et restitue au même endroit les sites surexposés, les liens anonymes, les invités dormants et la couverture des licences Copilot, sans jamais exporter le contenu des fichiers. Le principe ne change pas : on ne gouverne pas ce qu'on ne voit pas.

Comment Olyteck aborde le sujet #

Olyteck Cyber se connecte à votre tenant en lecture seule par défaut, via Microsoft Graph, et produit une vue de préparation à Copilot qui classe ce qu'il faut corriger avant le déploiement. Nous comptons les constats, jamais vos fichiers : ce sont les métadonnées de partage qui sont analysées, pas le contenu des documents. La plateforme est hébergée en UE, droit français. Comptez un premier rapport en moins de quinze minutes, ce qui suffit à savoir si le déploiement peut démarrer ou s'il faut d'abord traiter trois ou quatre sites.

Une base de référence réaliste #

• Une liste à jour des sites à accès large, revue et resserrée
• Les liens anonymes inventoriés, les plus sensibles révoqués
• Les invités dormants retirés des sites à forte valeur
• Les équipes Teams sans propriétaire réattribuées, les équipes publiques justifiées ou repassées en privé
• Des étiquettes de confidentialité appliquées aux données qui feraient le plus de dégâts si elles étaient résumées
• Un déploiement Copilot par vagues, en commençant par un groupe pilote propre
• Un nouveau scan mensuel

Copilot apporte un gain de productivité réel, et ce travail de préparation n'est pas une raison de repousser le projet. C'est ce qui vous permet de dire oui en confiance, plutôt que de découvrir en réunion de direction que l'assistant vient de citer un document que personne n'avait l'intention de partager. Si le sujet vous intéresse côté attaquant, notre article sur Copilot et l'exposition de données montre ce qu'un utilisateur curieux peut obtenir en quelques questions bien formulées.

FAQ #

Copilot peut-il accéder à des fichiers que l'utilisateur ne devrait pas voir ? #

Copilot respecte strictement les permissions Microsoft 365 : il n'accède qu'aux contenus auxquels l'utilisateur connecté a déjà droit. Le problème vient de ce que beaucoup d'organisations ont accordé, sans le savoir, des droits bien plus larges que prévu. Si un site RH a été partagé avec "toute l'organisation" il y a trois ans, Copilot considérera ce contenu comme légitime pour chaque salarié. Techniquement il n'y a pas de faille, mais fonctionnellement l'exposition est réelle.

Combien de temps faut-il pour préparer un tenant avant Copilot ? #

Cela dépend surtout de l'ancienneté du tenant et du nombre de sites. Faire l'inventaire prend quelques heures avec un outil de scan, quelques jours à quelques semaines en scripts Microsoft Graph maison. La remédiation est plus variable : une PME avec cinquante sites traite l'essentiel en une semaine, une ETI avec plusieurs milliers de sites doit prioriser et étaler le chantier sur un ou deux trimestres. Dans les deux cas, un déploiement pilote peut démarrer avant que tout soit propre.

Faut-il tout corriger avant d'activer Copilot ? #

Non, et vouloir tout corriger est le meilleur moyen de ne jamais déployer. Traitez d'abord les sites à accès large qui contiennent des données finance, RH, juridique ou clients, puis lancez un groupe pilote au périmètre maîtrisé. Le reste se nettoie pendant que le pilote tourne, avec un contrôle mensuel pour éviter que la situation ne se dégrade à nouveau.

Quelles obligations RGPD s'appliquent au déploiement de Copilot ? #

Copilot ne crée pas de nouveau traitement au sens du RGPD s'il se contente d'exploiter des données déjà présentes dans votre tenant, mais il modifie l'accessibilité réelle de ces données. Un accès technique non justifié à des données personnelles reste un manquement au principe de minimisation, que Copilot soit activé ou non. Documentez le nettoyage des permissions dans votre registre des traitements et associez votre DPO à l'arbitrage sur les sites RH et clients.