# Nettoyer les partages Microsoft 365 : faire corriger par ceux qui les ont créés

> 40 000 partages, trois personnes à la DSI : la méthode pour faire fermer les liens par leurs propriétaires, dans Teams, avec la preuve pour l'auditeur.

Source: https://olyteck.com/blog/fr/nettoyer-partages-microsoft-365-campagne-proprietaires
Published: 2026-10-11
Author: Oleg Garasym, Olyteck (France, EU-hosted)
Product: Olyteck Cyber
Topics: partage externe, onedrive, sharepoint, teams, revue des accès, campagne de nettoyage, gouvernance des données, microsoft 365
License: free to quote with attribution to Olyteck and a link to the source URL.

---

Sur un tenant Microsoft 365 de taille moyenne, un premier scan remonte vite des centaines de liens de
partage, parfois des milliers. Des liens « Tout le monde », des dossiers partagés avec un prestataire parti depuis
deux ans, des fichiers ouverts à toute l'entreprise. La liste est juste. Le problème, c'est la suite :
qui va la traiter ?

L'informatique ne peut pas décider si le dossier « Appel d'offres 2024 » partagé avec un cabinet
externe sert encore. La personne qui l'a créé le sait en dix secondes. Voici comment organiser ce
travail pour qu'il soit fait par les bonnes personnes, sans que la DSI y passe ses semaines, et avec une
preuve que l'auditeur accepte.

## Pourquoi la DSI ne peut pas faire le tri seule

Trois raisons, qui ne dépendent pas de la qualité de l'équipe informatique.

- **Le volume.** Personne ne traite 4 000 lignes. Même triées par risque, comme nous le proposons pour
  les [liens de partage anonymes](/blog/fr/trouver-liens-partage-anonymes-microsoft-365), il reste des
  centaines de cas où seul le métier sait.
- **Le jugement.** Fermer un lien utile casse le travail d'une équipe, et l'informatique en porte la
  responsabilité. Garder un lien inutile laisse l'exposition en place. Dans les deux cas, la DSI décide
  sans savoir.
- **La durée.** Les partages se recréent chaque semaine, parce que les gens collaborent. Un grand
  ménage fait par l'informatique est périmé six mois plus tard.

La réponse n'est pas un meilleur filtre, c'est de rendre la décision à celui qui sait, et de garder à
l'informatique ce qu'elle fait bien : organiser, vérifier, conserver la preuve. C'est le principe de la
[revue des accès attendue par l'auditeur ISO 27001](/blog/fr/revue-des-acces-microsoft-365-iso-27001).

## Ce que Microsoft propose déjà

Avec SharePoint Advanced Management, inclus dans les licences Microsoft 365 Copilot, l'administrateur
peut lancer une **revue d'accès aux sites** depuis les rapports de gouvernance des accès aux données :
les propriétaires des sites concernés reçoivent un e-mail, ouvrent une page de revue, retirent ou
modifient les accès, puis renvoient leur commentaire à l'administrateur. C'est utile, et nous en
détaillons le périmètre dans notre article sur [ce que SharePoint Advanced Management couvre et ce
qu'il ne voit pas](/blog/fr/sharepoint-advanced-management-inclus-copilot-limites).

Trois limites comptent pour une campagne de nettoyage :

- **OneDrive n'est pas couvert.** La revue porte sur les sites SharePoint. Or une grande partie des
  liens « Tout le monde » vit dans les OneDrive personnels.
- **La demande arrive par e-mail.** Un message d'un expéditeur technique qui demande de cliquer pour
  « revoir des autorisations » ressemble à de l'hameçonnage, et c'est ce que vos sensibilisations
  apprennent à ignorer.
- **Le propriétaire de site n'est pas toujours l'auteur du lien.** Il hérite d'une liste de liens
  créés par d'autres, sur lesquels il n'a pas plus de contexte que la DSI.

## La méthode en cinq règles

### 1. Un périmètre court et compréhensible

Commencez par ce qui expose réellement : les liens « Tout le monde », puis les partages vers l'extérieur,
puis les liens ouverts à toute l'entreprise. Commencez par OneDrive, où chaque lien a un auteur
unique. Une campagne de deux à cinq semaines sur un périmètre clair vaut mieux qu'une revue de tout,
pour toujours.

### 2. Une annonce de la direction, et le CSE informé

La première question d'un salarié est « pourquoi moi, et qui regarde ? ». Une annonce courte, signée
par la direction, répond avant que la question ne se pose : le but est de réduire l'exposition des
données, pas de contrôler le travail. Prévoyez l'information du CSE et une clause dans la charte
informatique, et dites ce que l'informatique voit et ne voit pas.

### 3. La demande là où les gens travaillent

Si vos équipes vivent dans Teams, la demande doit y arriver : une notification, un message direct avec
un bouton, une page qui s'ouvre dans Teams. Pas de lien vers un site inconnu, pas de mot de passe de
plus. C'est ce qui donne au nettoyage une chance d'être fait, plutôt qu'un e-mail de plus à ignorer.

### 4. Deux réponses possibles, et une raison

Pour chaque lien, la personne doit pouvoir répondre en un clic : **fermer le lien**, ou **c'est utile**.
Une confirmation porte une raison et une échéance, puis revient en revue : un accès conservé est une
décision datée, pas un oubli. Laissez aussi la possibilité de sélectionner plusieurs liens d'un coup,
sinon les personnes qui ont beaucoup partagé abandonnent.

### 5. Des relances courtes, et une fin datée

Deux ou trois relances aux heures ouvrées, jamais quand il ne reste rien à faire, et une date de fin
connue de tous. À la clôture, refaites le même scan, avec les mêmes règles et les mêmes personnes :
c'est votre avant / après.

## Mesurer et prouver

Suivez la campagne en entonnoir, par service : personnes ciblées, ont ouvert, ont agi, plus rien à
faire. Le chiffre qui intéresse la direction est l'exposition supprimée (liens fermés, volume de
données qui n'est plus exposé), pas le nombre de messages envoyés.

Pour l'auditeur, le dossier tient en trois pièces : l'extraction de départ datée, les décisions
nominatives (fermé ou conservé, par qui, quand, pourquoi) et le scan de clôture. Les contrôles A.5.15
et A.5.18 d'ISO 27001 et l'article 21 de NIS2 parlent de contrôle et de revue des accès : c'est
exactement cela.

## Les pièges à éviter

- **Classer les personnes.** Un tableau « les dix salariés qui partagent le plus » transforme une
  campagne de sécurité en outil de surveillance. Montrez des totaux par service, jamais de palmarès.
- **Une campagne sans fin.** Sans date de clôture, les relances deviennent du bruit et personne ne
  sait quand c'est fini.
- **Tout traiter en même temps.** Sites, OneDrive, invités et applications en une seule vague, c'est
  trop d'explications pour une première fois.
- **Oublier les départs.** Les liens d'un salarié parti n'ont plus d'auteur pour répondre : traitez-les
  à part, avec la [procédure de départ Microsoft 365](/blog/fr/depart-salarie-onedrive-partages-acces).

## Comment Olyteck aborde le sujet

Olyteck Cyber dresse d'abord la carte des partages en lecture seule, sans lire vos fichiers. Ensuite,
l'administrateur lance une campagne en quelques clics : les sources (OneDrive, sites SharePoint et
Teams), les types de liens, une durée de 14 à 35 jours, le ton (classique, amical ou ludique) et la
langue. Olyteck envoie à chaque propriétaire sa liste dans Teams, relance aux heures ouvrées et s'arrête
dès qu'il ne reste rien.

![Le message direct d'une campagne dans Teams : combien de partages vérifier, avant quand, un bouton](/blog/assets/img/cyber-teams-card.webp "Le message reçu dans Teams, ton « classique ». Écran réel Olyteck Cyber, tenant fictif.")

Chaque salarié traite ses liens dans Mon espace, une page qui s'ouvre dans Teams : fermer, ou
confirmer avec une raison, un par un ou plusieurs à la fois, avec ses propres droits Microsoft. La page
dit clairement ce que l'informatique voit.

![La page Mon espace : chaque lien avec Fermer le lien ou C'est utile](/blog/assets/img/cyber-mon-espace-vue.webp "Ce que voit le salarié : ses propres liens, regroupés par qui peut les ouvrir. Écran réel, tenant fictif.")

L'informatique suit l'entonnoir par service et récupère l'avant / après à la clôture. La liste de
campagne est supprimée 90 jours après la clôture ; seuls les totaux restent comme preuve. Pour une
première fois sans abonnement, la campagne de nettoyage clé en main comprend 45 jours de Cyber, la
campagne, le kit d'annonce et la note pour le CSE.

![Le suivi d'une campagne : entonnoir par service et avant / après](/blog/assets/img/cyber-campagne-suivi.webp "Ce que voit l'informatique : qui a ouvert, qui a agi, et l'avant / après. Chiffres d'un tenant fictif.")

## FAQ

### Les salariés ne vont-ils pas prendre la campagne pour de l'hameçonnage ?

C'est le premier risque quand la demande arrive par e-mail. Dans Teams, avec une annonce préalable de
la direction et une page qui s'ouvre sans nouveau mot de passe, la demande vient d'un outil que la
personne utilise déjà. Dites aussi dans l'annonce à quoi ressemblera le message.

### Que se passe-t-il si quelqu'un ferme un lien encore utile ?

Le lien cesse de fonctionner pour tous ceux qui l'utilisaient. Le propriétaire peut repartager le
fichier en quelques secondes, de préférence avec des personnes précises plutôt qu'avec un lien
« Tout le monde ». C'est pour cela que la décision revient à celui qui connaît l'usage.

### Faut-il informer le CSE ?

Oui. Une campagne qui s'adresse aux salariés et traite leur nom, leur service et leurs actions relève
de l'information du CSE, et de la charte informatique. Présentez le but (réduire l'exposition des
données), ce qui est conservé, combien de temps, et le fait qu'aucun classement de personnes n'est
produit.

### Combien de temps dure une campagne ?

Deux à cinq semaines suffisent pour un premier périmètre. Au-delà, les relances perdent leur effet. Il
vaut mieux enchaîner plusieurs campagnes courtes, chacune avec son avant / après, qu'une revue sans fin.

## Sources

- Microsoft Learn, *Site access review* : https://learn.microsoft.com/en-us/sharepoint/site-access-review
- Microsoft Learn, *Data access governance reports* : https://learn.microsoft.com/en-us/sharepoint/data-access-governance-reports
- Microsoft Learn, *SharePoint Advanced Management features in Microsoft Copilot licenses* : https://learn.microsoft.com/en-us/sharepoint/sharepoint-advanced-management-features-copilot-license

*État de la documentation Microsoft au 11 octobre 2026.*

## À lire ensuite

- [Liens de partage anonymes Microsoft 365 : comment auditer vos partages externes SharePoint](/blog/fr/trouver-liens-partage-anonymes-microsoft-365)
- [Revue des accès Microsoft 365 : ce que l'auditeur ISO 27001 attend](/blog/fr/revue-des-acces-microsoft-365-iso-27001)
- [Un salarié part : que deviennent son OneDrive, ses partages et ses accès ?](/blog/fr/depart-salarie-onedrive-partages-acces)