Revue des accès Microsoft 365 : ce que l'auditeur ISO 27001 attend

Dans les démonstrations que nous faisons, la question qui ouvre la conversation est rarement « avons-nous été attaqués ? ». C'est plutôt : « l'auditeur passe dans six semaines, il va nous demander la revue des accès, et nous ne savons pas quoi lui montrer ». Le besoin est une preuve, pas une alarme. C'est d'autant plus net quand un audit ISO 27001 ou un audit de la maison mère arrive avec son calendrier et ses attentes.

Voici les contrôles de l'annexe A en jeu, les preuves qu'un auditeur regarde dans Microsoft 365, ce que couvrent les outils Microsoft (et avec quelle licence), et une méthode en six étapes pour une entreprise de 100 à 300 postes sans RSSI à plein temps.

Les contrôles ISO 27001 derrière une revue des accès #

Dans ISO/IEC 27001:2022, la revue des accès n'est pas un contrôle isolé. Elle se trouve au croisement de plusieurs mesures de l'annexe A, que nous résumons ici avec nos propres mots :

• 5.15 Contrôle d'accès : l'organisation définit des règles d'accès fondées sur le besoin métier et la sécurité, et les applique.
• 5.16 Gestion des identités : chaque identité est gérée sur tout son cycle de vie, de la création à la suppression.
• 5.18 Droits d'accès : les droits sont attribués, revus à intervalles définis, ajustés et retirés selon ces règles.
• 8.2 Droits d'accès privilégiés : les accès à privilèges sont restreints, attribués avec soin et suivis séparément.
• 8.3 Restriction d'accès à l'information : l'accès aux informations est limité conformément à la politique définie.
• 5.11 et 6.5, pour les départs : restitution des actifs et responsabilités qui subsistent après la fin du contrat.

Point important : la norme ne fixe aucune fréquence de revue. Ni trimestrielle, ni annuelle. C'est l'organisation qui la définit dans sa politique, en fonction du risque, puis elle doit s'y tenir. L'auditeur ne vous reprochera pas d'avoir choisi une revue annuelle des accès standards ; il vous reprochera d'avoir écrit « trimestrielle » et de ne pas pouvoir montrer les quatre trimestres.

Ce que l'auditeur demande vraiment comme preuve #

L'auditeur cherche une trace qui permette de reconstituer ce qui s'est passé. Dans Microsoft 365, cela donne sept éléments :

• Le périmètre : quels systèmes sont couverts (rôles Entra ID, groupes, sites SharePoint et équipes Teams, partage externe, invités, applications).
• La population à une date : la liste des comptes et de leurs droits, extraite à un instant précis.
• Le réviseur : qui a examiné chaque périmètre, avec son nom et sa fonction.
• La date de la revue, cohérente avec la fréquence écrite dans la politique.
• Les décisions : pour chaque accès, conserver ou retirer, avec une justification quand c'est utile.
• La preuve de correction : les retraits décidés ont réellement été faits, et quand.
• La prochaine échéance, déjà planifiée.

Chaque étape est datée et porte un auteur. L'anti-modèle est « un tableur rempli la veille de l'audit » : pas de date d'extraction vérifiable, des décisions sans auteur, aucun lien entre la case « à retirer » et un retrait effectif.

Les options natives de Microsoft, et leurs licences #

Access reviews Entra ID. Elles permettent de revoir les membres de groupes de sécurité et de groupes Microsoft 365, les utilisateurs affectés à une application, les rôles Entra ID et les rôles Azure, avec des revues récurrentes (hebdomadaire à annuelle), l'application automatique des décisions et l'export CSV des résultats. Côté licence, Microsoft Learn indique qu'il faut Microsoft Entra ID Governance ou Microsoft Entra Suite, certaines capacités fonctionnant avec Entra ID P2. Les invités concernés par des actions de gouvernance sont facturés à l'utilisateur actif mensuel. Limite : ces revues portent sur des appartenances, pas sur les liens de partage fichier par fichier. Et le rapport d'historique des revues reste téléchargeable 30 jours : archivez-le.

Revue d'accès aux sites SharePoint et rapports Data access governance. Ces fonctions relèvent de SharePoint Advanced Management, obtenu soit par le module complémentaire SharePoint Advanced Management Plan 1, soit dès qu'au moins un utilisateur du tenant dispose d'une licence Microsoft 365 Copilot. Les rapports repèrent les liens de partage, les contenus ouverts à « Tout le monde sauf les utilisateurs externes » et l'état des permissions. La revue d'accès aux sites envoie ensuite au propriétaire du site une demande de revue ciblée. Limite documentée : elle ne couvre que les sites SharePoint, pas OneDrive.

Journal d'audit Purview. Il ne fait pas la revue, mais il sert à prouver les retraits. Avec Audit (Standard), la rétention par défaut est de 180 jours. Si votre cycle d'audit est annuel, exportez les événements utiles avant qu'ils ne disparaissent.

Le vrai problème : qui peut juger ? #

Pour une équipe informatique de deux ou trois personnes, la difficulté n'est pas l'outil, c'est le jugement. La sécurité ne peut pas décider si 40 000 fichiers sont partagés à juste titre, ni si le dossier « Appel d'offres 2024 » partagé avec un cabinet externe sert encore. La personne qui l'a créé le sait en dix secondes.

D'où une recommandation de processus : désignez le propriétaire de la donnée pour chaque site, équipe ou bibliothèque, et confiez-lui la décision. L'informatique fournit la liste, le propriétaire tranche, l'informatique vérifie et conserve la preuve. C'est ce que nous appelons rendre la correction au métier. Cela correspond aussi à la logique de la revue d'accès aux sites de Microsoft, qui s'adresse aux propriétaires de site plutôt qu'aux administrateurs.

En pratique, la demande doit arriver là où les gens travaillent déjà. Un e-mail de l'informatique avec un lien vers un site inconnu ressemble à de l'hameçonnage ; une notification dans Teams, avec un message direct et un bouton, se traite en quelques minutes. La méthode complète est dans notre guide pour faire corriger les partages par ceux qui les ont créés.

La revue des accès en 6 étapes #

Pour une entreprise de 100 à 300 postes, voici une méthode tenable :

1. Fixez la fréquence par écrit : par exemple annuelle pour les accès standards, plus rapprochée pour les rôles privilégiés et les invités, puis respectez-la.
2. Délimitez le périmètre : rôles Entra ID, groupes et équipes, sites SharePoint, OneDrive, invités, liens externes, applications connectées.
3. Nommez un réviseur par périmètre : l'administrateur principal pour les rôles, le propriétaire de la donnée pour chaque site ou équipe.
4. Extrayez la population à une date puis enregistrez chaque décision, conserver ou retirer, avec le nom du réviseur et la date.
5. Prouvez la correction : chaque retrait décidé est exécuté, et l'événement correspondant est conservé.
6. Archivez le dossier de preuve : extraction, décisions, preuves de retrait et date de la prochaine revue, au même endroit.

Les écarts d'audit les plus fréquents #

Sans statistique à l'appui, voici les situations qui exposent typiquement à une non-conformité :

• Revue faite, retraits non prouvés : les décisions existent, mais rien ne montre qu'elles ont été appliquées.
• Invités hors périmètre : les comptes externes accumulés depuis des années ne sont jamais revus.
• Rôles privilégiés mélangés au reste : les administrateurs ne font pas l'objet d'une revue distincte.
• Aucune fréquence définie, ou une fréquence écrite mais non tenue.
• Départs incomplets : le compte est désactivé, mais le OneDrive et les liens créés par la personne restent actifs.

Comment Olyteck aborde le sujet #

Olyteck Cyber est un scanner en lecture seule qui parcourt Entra ID, SharePoint, OneDrive et Teams via Microsoft Graph, sans lire le contenu des fichiers. Pour une personne donnée, la revue d'accès calcule ses accès réels (sites, équipes et bibliothèques atteints par attribution directe, groupe ou lien de partage) et s'exporte en Excel, avec la ligne de couverture de l'analyse sur la feuille. Le module Identité signale les comptes administrateurs obsolètes et l'absence de MFA, et les modules SharePoint et OneDrive listent les liens anonymes, les invités et les sites surexposés. La correction est une application distincte et optionnelle : chaque retrait est confirmé par une personne et inscrit dans une piste d'audit datée, exportable en classeur. Pour la partie « qui peut juger », Cyber lance des campagnes de nettoyage dans Teams : chaque propriétaire reçoit ses propres partages et ferme ou confirme chacun en un clic. Chaque accès conservé porte un nom, une date et une raison, et revient en revue au bout de 12 mois. La DSI suit l'entonnoir par service (ciblés, ont ouvert, ont agi) et, à la clôture, un nouveau scan donne l'avant / après : c'est le dossier de preuve des étapes 4 à 6.

Si vous voulez voir ce que cela donne sur votre tenant, lancez un scan gratuit ou demandez une revue des résultats de 30 minutes.

FAQ #

À quelle fréquence faire une revue des accès ? #

ISO 27001 ne l'impose pas. Votre politique la fixe selon le risque, et l'auditeur vérifie que vous la respectez. Distinguez souvent les accès standards des rôles privilégiés et des invités, et choisissez un rythme que vous tiendrez réellement.

Faut-il Entra ID P2 ? #

Pas pour faire une revue des accès, qui peut se mener à partir d'extractions. Pour l'outil access reviews d'Entra ID, Microsoft Learn indique Entra ID Governance ou Entra Suite, une partie des capacités fonctionnant avec Entra ID P2. Cet outil ne couvre pas les liens de partage fichier par fichier.

Un export Excel suffit-il comme preuve ? #

Oui, s'il est daté, s'il indique ce qu'il couvre, s'il porte le nom du réviseur et ses décisions, et s'il est accompagné de la preuve des retraits. Sinon, il ne démontre rien.

Qui doit valider les accès ? #

Le propriétaire de la donnée pour les sites, équipes et bibliothèques, parce qu'il sait à quoi ils servent. L'administrateur principal ou la direction pour les rôles privilégiés. L'informatique organise, extrait, vérifie les retraits et conserve le dossier.

Sources #

• Microsoft Learn, What are access reviews? : https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview
• Microsoft Learn, Microsoft Entra ID Governance licensing fundamentals : https://learn.microsoft.com/en-us/entra/id-governance/licensing-fundamentals
• Microsoft Learn, Complete an access review : https://learn.microsoft.com/en-us/entra/id-governance/complete-access-review
• Microsoft Learn, Access reviews downloadable review history : https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-downloadable-review-history
• Microsoft Learn, Site access review : https://learn.microsoft.com/en-us/sharepoint/site-access-review
• Microsoft Learn, Data access governance reports : https://learn.microsoft.com/en-us/sharepoint/data-access-governance-reports
• Microsoft Learn, Prerequisites for SharePoint Advanced Management : https://learn.microsoft.com/en-us/sharepoint/sharepoint-advanced-management-prerequisites
• Microsoft Learn, SharePoint Advanced Management features in Microsoft Copilot licenses : https://learn.microsoft.com/en-us/sharepoint/sharepoint-advanced-management-features-copilot-license
• Microsoft Learn, Manage audit log retention policies : https://learn.microsoft.com/en-us/purview/audit-log-retention-policies
• Intitulés des mesures de l'annexe A d'ISO/IEC 27001:2022 : https://iseoblue.com/iso-27001/annex-a/iso-27001-controls-list/

État de la documentation Microsoft au 25 septembre 2026. Les licences évoluent : vérifiez les pages Microsoft Learn avant toute décision d'achat.

À lire ensuite #

• Liens de partage anonymes Microsoft 365 : comment auditer vos partages externes SharePoint
• SharePoint Advanced Management est inclus avec Copilot : ce qu'il couvre, et ce qu'il ne voit pas
• Fin du MFA par SMS le 1er février 2027 : trouver les comptes qui seront bloqués