Avant d'agir sur la sécurité de votre tenant M365, une question se pose presque toujours en premier : où en êtes-vous réellement ? Cette checklist vous aide à identifier les KPIs concrets à observer, les populations concernées et les processus à l'origine des risques, avant toute décision.
Selon le Baromètre CESIN 2026, 60 % des RSSI placent la gestion des partages utilisateurs au rang de risque élevé, mais peu disposent d'un état des lieux précis de leur propre tenant avant d'agir.
Cette checklist couvre 15 signaux d'alerte répartis en 5 catégories. Elle ne remplace pas un audit complet, mais elle permet en quelques minutes de savoir si votre environnement M365 mérite une analyse approfondie, et par quel point d'entrée commencer.
Un audit M365 efficace commence par savoir quoi mesurer. Cette checklist structure l'évaluation autour de trois questions clés : où sont les problèmes (zones d'exposition prioritaires), qui sont les populations concernées (profils à risque, invités, propriétaires sans visibilité), et quels processus conduisent à ces situations (partages sans expiration, espaces sans gouvernance, accès jamais révoqués). Les réponses constituent les KPIs à suivre dans le temps, pas seulement un état des lieux ponctuel.
Cette checklist sert exactement cet objectif en amont : elle donne une première photographie de l'exposition, suffisante pour décider s'il faut agir rapidement ou simplement surveiller. Elle s'adresse aux RSSI et administrateurs M365 qui veulent une vue rapide avant d'engager des ressources sur un audit plus complet.
Quatre signaux concernent directement les partages actifs sur votre tenant.
Des liens de partage anonymes sont actifs. Un lien anonyme actif sur SharePoint ou OneDrive crée un accès non traçable à des données potentiellement sensibles, sans authentification requise. L'action recommandée consiste à désactiver ces liens ou à les limiter strictement.
Des utilisateurs externes ont encore accès à des espaces anciens. Un prestataire ou partenaire dont la collaboration est terminée depuis longtemps, mais qui conserve un accès actif, représente un accès persistant non maîtrisé. Auditer et supprimer les invités inactifs réduit directement cette exposition.
Des données sensibles sont accessibles à un grand nombre d'utilisateurs. Ce signal traduit une exposition involontaire liée à des permissions trop larges. Le principe du moindre privilège, accorder uniquement l'accès strictement nécessaire à chaque fonction, reste la réponse de référence.
Des documents sont partagés à l'externe sans validation préalable. L'absence de processus de validation avant un partage externe ouvre la porte à une diffusion non maîtrisée de contenus sensibles. Mettre en place une étape de validation, même légère, referme cette porte.
Quatre autres signaux concernent la gouvernance des droits dans le temps, plus que les partages eux-mêmes.
Certains espaces n'ont pas de propriétaire clairement identifié. Sans propriétaire désigné, personne n'est responsable des accès accordés sur un espace SharePoint ou Teams. Nommer un owner et un backup pour chaque espace referme cet angle mort.
Des accès accordés pour un besoin ponctuel restent actifs plusieurs mois après. Ce signal traduit une accumulation silencieuse de permissions devenues inutiles avec le temps. Des campagnes de revue régulières, plutôt qu'un contrôle ponctuel, permettent de garder cette accumulation sous contrôle.
Les propriétaires de données n'ont pas de visibilité sur les accès qu'ils accordent dans le temps. Un décalage s'installe alors entre les usages réels et les droits réellement maintenus. Impliquer les métiers eux-mêmes dans la revue périodique de leurs accès comble ce décalage.
Les règles de partage sont définies mais peu appliquées au quotidien. La gouvernance théorique existe, mais l'écart avec les pratiques réelles des utilisateurs reste large. Revalider régulièrement les partages actifs selon des règles simples réduit cet écart.
Trois signaux portent sur la capacité globale à savoir ce qui se passe sur le tenant.
Vous ne savez pas où se trouvent les données les plus sensibles. Sans cette information, toute priorisation devient impossible. Identifier et classifier les données critiques est le préalable à n'importe quelle action de sécurisation ciblée.
Vous n'avez pas de vision globale de qui accède à quoi. Ce signal révèle des angles morts potentiellement importants sur l'ensemble du tenant. Cartographier les accès et les partages réels, plutôt que de se fier aux configurations théoriques, est la seule façon de combler ces angles morts.
Vous n'avez pas de vision sur les invités et les prestataires externes. Les comptes externes, gérés via Entra ID Guest B2B et SharePoint Guests, peuvent accumuler des privilèges excessifs sans contrôle visible. Identifier et gérer ces permissions externes spécifiquement, plutôt que de les noyer dans la gestion générale des accès, change la donne.
Les quatre derniers signaux portent sur la dynamique d'usage et sur l'exposition liée à l'intelligence artificielle.
Les espaces Teams et SharePoint sont créés facilement, mais rarement nettoyés ou archivés. Cette dynamique entraîne une explosion progressive de la surface d'exposition, sans qu'aucun incident isolé ne la déclenche. Encadrer le cycle de vie des espaces, de la création à l'archivage, limite cette croissance silencieuse.
Les utilisateurs ne voient pas clairement les accès qu'ils ont accordés. C'est particulièrement vrai en présence d'invités externes, où les accès se multiplient sans que l'utilisateur en garde une trace claire. Proposer un bilan de santé des données à chaque utilisateur rend cette information directement visible.
Vos données sont accessibles à des outils d'IA sans contrôle précis. Un assistant IA accède à tout ce que l'utilisateur a déjà le droit de consulter. Une exposition jusque-là sans conséquence visible devient immédiatement amplifiée. Encadrer ces usages via des politiques claires et responsabiliser les métiers limite cette amplification.
Vous ne savez pas quelles données peuvent être exploitées par l'IA. Sans cette identification préalable, la maîtrise de l'exposition devient impossible à mesurer. Identifier les données critiques et leur exposition réelle reste la seule réponse à ce signal.
Ces 15 signaux ne se valent pas tous de la même façon selon votre organisation, et leur nombre cumulé donne une première indication du niveau de priorité à accorder à un audit plus poussé. IDECSI a structuré une grille de score simple pour vous aider à interpréter rapidement votre situation.
Téléchargez la checklist complète pour calculer votre score et obtenir la recommandation associée.
Cette grille reste indicative dans tous les cas. Le nombre de signaux cochés compte moins que leur nature : un seul signal sur des données hautement sensibles peut justifier une action immédiate, même avec un score global bas.
Cette checklist révèle l'exposition, elle ne la corrige pas. Elle est le point de départ d'un audit structuré : identifier les KPIs critiques, comprendre les populations et processus à l'origine des risques, puis décider des priorités d'action. Une campagne de remédiation auprès des utilisateurs peut en découler, mais l'audit du tenant reste la condition préalable à toute décision éclairée.
Vous voulez transformer ce diagnostic en plan d'action concret ? Demandez une démo DETOX.
Quels sont les KPIs à surveiller pour auditer la sécurité des partages sur Microsoft 365 ?
Les KPIs prioritaires couvrent trois dimensions : le volume de partages anonymes ou externes actifs, le nombre d'accès accordés à des personnes qui ont quitté l'organisation ou dont le besoin est échu, et la proportion d'espaces Teams/SharePoint sans propriétaire identifié. Ces indicateurs permettent de prioriser les zones d'action et de mesurer l'évolution du tenant dans le temps.
Par quoi commencer quand on audite un tenant M365 pour la première fois ?
Commencer par les trois catégories à impact immédiat : partages anonymes actifs (accès non traçables), comptes externes inactifs (accès persistants après fin de collaboration), et espaces sans propriétaire (zones sans responsabilité identifiée). Ces trois points révèlent rapidement les populations concernées et les processus défaillants, et constituent le socle des KPIs à suivre dans le temps.
Quelle différence entre cette checklist et un audit DETOX complet ?
La checklist donne une estimation rapide et déclarative, basée sur la connaissance que vous avez de votre environnement. L'audit DETOX scanne réellement le tenant et produit des chiffres exacts sur les partages, accès et permissions à risque.
Combien de temps faut-il pour auditer les partages d'un tenant M365 ?
La checklist se remplit en quelques minutes pour obtenir une première estimation. Un audit complet du tenant, comme la phase de diagnostic du dispositif DETOX, prend généralement deux semaines pour produire une cartographie précise de l'exposition réelle.
Faut-il bloquer tous les liens de partage anonymes sur Microsoft 365 ?
Non, bloquer entièrement les liens anonymes peut freiner des usages légitimes de collaboration externe. La bonne pratique consiste à les limiter et à leur appliquer une date d'expiration, plutôt qu'à les interdire totalement.