Chaque année, du 1er au 31 octobre, le Cybermois mobilise entreprises et institutions autour de la cybersécurité. Pour un RSSI, cette fenêtre institutionnelle est une occasion rare de lancer une action visible et soutenue par la direction. Mais la plupart des campagnes s'arrêtent à la sensibilisation : e-learning, simulations de phishing, affiches. Sans correction concrète des accès à risque sur le tenant Microsoft 365, l'effet retombe dès le mois de novembre. Cet article propose un plan d'action RSSI qui va au-delà de la pédagogie, pour transformer le Cybermois en résultats mesurables sur la gouvernance des accès.
Le Mois européen de la cybersécurité, European Cybersecurity Month, a été créé en 2012 par l'ENISA, l'Agence de l'Union européenne pour la cybersécurité. En France, il est décliné sous le nom de Cybermoi/s et piloté par Cybermalveillance.gouv.fr, en lien avec l'ANSSI. Chaque année, ce cadre national réunit acteurs publics, privés et associatifs autour d'un programme commun de sensibilisation.
Pour un RSSI, ce cadre offre une légitimité immédiate auprès de la direction générale. Une campagne interne rattachée au Cybermois bénéficie d'une communication nationale déjà établie, ce qui facilite l'adhésion des collaborateurs et l'arbitrage budgétaire. Un projet de correction des accès présenté isolément se heurte parfois à des priorités concurrentes. Le même projet, rattaché au Cybermois, bénéficie d'un momentum institutionnel qui accélère la validation.
C'est aussi le moment où les équipes IT peuvent démontrer une posture proactive plutôt que réactive face aux risques. Une communication interne pendant le Cybermois touche généralement un public plus large et plus attentif que le reste de l'année, ce qui en fait un terrain favorable pour lancer une campagne de correction impliquant l'ensemble des collaborateurs.
Mais ce levier reste largement sous-exploité dès qu'il s'agit d'aller au-delà de la communication. La majorité des dispositifs Cybermois se limitent à des actions de sensibilisation ponctuelles, sans volet de correction technique sur l'environnement M365 lui-même. Le budget et l'attention mobilisés pendant ce mois sont rarement redirigés vers un audit réel des permissions et des partages en place.
Le Cybermois donne au RSSI une fenêtre de légitimité institutionnelle, mais seule une action de correction mesurable sur le tenant transforme cette fenêtre en résultat durable.
Selon le Data Breach Investigations Report 2026 de Verizon, l'élément humain est impliqué dans 62% des violations de données, à travers l'erreur, la manipulation ou l'usage abusif d'accès. Ce chiffre reste relativement stable d'une édition à l'autre du rapport, ce qui confirme que la formation seule ne suffit pas à réduire structurellement le risque.
Former les collaborateurs à reconnaître un email de phishing ne corrige pas un partage externe oublié depuis deux ans, ni un accès conservé après le départ d'un salarié. Ces deux types de risques, l'un comportemental et l'autre lié à la gouvernance des accès, appellent des réponses différentes et complémentaires.
La sensibilisation agit sur le futur : elle réduit la probabilité qu'un collaborateur commette une erreur. Elle n'agit pas sur le passé : elle ne corrige rien de ce qui a déjà été mal configuré, partagé ou oublié sur le tenant. Un partage anonyme actif depuis trois ans reste actif tant que personne ne le révoque, quelle que soit la qualité de la formation dispensée en octobre.
Un Cybermois efficace pour un RSSI combine donc deux volets : la sensibilisation classique, qui agit sur le comportement futur, et un audit correctif du tenant, qui agit sur l'exposition réelle des données déjà en place. Sans le second volet, le premier reste incomplet et les indicateurs de risque du tenant restent inchangés d'une année sur l'autre.
La sensibilisation réduit le risque comportemental futur, mais seul un audit correctif des accès M365 réduit l'exposition réelle des données déjà en place.
La plupart des campagnes Cybermois passent à côté de plusieurs catégories de risques directement liées à la gouvernance des accès sur Microsoft 365. Ces angles morts recoupent les catégories identifiées dans la checklist IDECSI des 15 signaux d'alerte M365, en particulier celles liées aux partages et à la revue des droits.
Quatre angles morts reviennent le plus souvent dans les tenants M365 :
Les liens de partage anonymes restés actifs sur SharePoint ou OneDrive, souvent créés pour un usage ponctuel puis jamais désactivés. Ce type de risque est documenté en détail dans le guide des bonnes pratiques de partage externe Microsoft 365, qui détaille les configurations à risque par défaut.
Le surpartage accumulé sur les bibliothèques SharePoint, où des groupes entiers accèdent à des documents qui ne les concernent plus, faute de révision périodique. Ce phénomène et ses solutions sont approfondis dans l'article dédié au surpartage SharePoint.
Les accès d'anciens collaborateurs jamais révoqués après un départ, faute de processus d'offboarding automatisé et systématique entre les ressources humaines et l'IT.
Les espaces Teams ou SharePoint sans propriétaire identifié, dont personne ne sait précisément qui a accès à quoi. La gouvernance des accès sur Microsoft Teams illustre comment ces espaces prolifèrent sans processus de nettoyage.
Ces situations ne sont pas des cas isolés. Elles résultent d'une accumulation progressive de droits accordés au fil du temps, rarement révisée. Le Cybermois est un moment naturel pour lancer cette revue, à condition de la sortir du seul registre de la communication et de l'inscrire dans un plan d'action opérationnel.
Les liens anonymes actifs, le surpartage SharePoint, les accès non révoqués après un départ et les espaces sans propriétaire identifié constituent les quatre angles morts les plus fréquents d'une campagne Cybermois limitée à la sensibilisation.
Un plan d'action structuré permet de transformer le Cybermois en dispositif mesurable, sans mobiliser des ressources IT massives. Il s'appuie sur un principe simple : l'IT pilote et supervise, les utilisateurs corrigent eux-mêmes leurs propres partages.
|
Étape |
Contenu |
Durée indicative |
|
1. Checkup du tenant |
Scan complet des permissions et partages M365, identification des risques par utilisateur |
1 à 2 semaines |
|
2. Correction pilotée par les utilisateurs |
Notification des collaborateurs, accès à une interface dédiée pour corriger leurs propres partages |
2 à 3 semaines |
|
3. Mesure des gains |
Tableau de bord synthétisant les risques éliminés, par catégorie et par service |
Continu |
|
4. Ancrage durable |
Planification d'une seconde campagne à 6 mois pour consolider les résultats |
Hors Cybermois |
Ce découpage correspond à un format de type DETOX, qui se déroule généralement sur 4 à 6 semaines, ce qui permet de lancer le checkup dès le début du mois d'octobre et de mesurer les résultats avant la fin du Cybermois.
L'étape 1 repose sur un scan automatisé qui identifie, par utilisateur, les partages externes, les liens anonymes et les accès hérités. Cette cartographie initiale sert de base de référence pour mesurer les progrès réalisés en fin de campagne. Elle s'inscrit dans la même logique que la revue des droits d'accès sur les outils collaboratifs M365, qui structure ce type d'audit à l'échelle du tenant.
L'étape 2 est celle qui distingue une campagne Cybermois classique d'un dispositif orienté résultats. Plutôt que de centraliser la correction sur l'équipe IT, chaque utilisateur reçoit une notification listant ses propres partages à risque et corrige lui-même, en quelques clics, ce qui doit l'être. Cette approche évite de mobiliser des ressources IT massives tout en responsabilisant chaque collaborateur sur ses propres données.
L'étape 4 est souvent la plus négligée. Une campagne Cybermois isolée produit un pic de correction en octobre, suivi d'un relâchement progressif si aucune seconde campagne n'est planifiée. Ancrer une hygiène numérique durable suppose de répéter l'exercice, généralement tous les six mois.
Un plan d'action RSSI efficace pour le Cybermois s'exécute en 4 à 6 semaines, avec des utilisateurs qui corrigent eux-mêmes leurs accès sous supervision IT, sans charge de travail massive pour les équipes techniques.
Selon les données IDECSI, la Communauté d'Agglomération de Cergy-Pontoise a supprimé 50% des risques identifiés dès sa première campagne DETOX. Lors de la seconde campagne, ce taux est monté à 70%, illustrant l'effet cumulatif d'une démarche répétée plutôt que ponctuelle.
Ce résultat s'explique par la mécanique même du dispositif : les utilisateurs, une fois outillés et responsabilisés, corrigent en moyenne plusieurs partages ou accès chacun dès la première campagne. La répétition de la démarche, plutôt qu'une action unique en octobre, permet de consolider les gains dans la durée et de faire baisser durablement le nombre de partages à risque sur le tenant.
Un autre exemple illustre cette dynamique dans un secteur différent : le cas client Lactalis, dans le secteur agroalimentaire, montre comment une même méthode d'identification et de correction des partages et des accès non conformes s'applique à un environnement industriel, avec une réduction sensible de l'exposition aux risques.
Pour un RSSI, ce type de résultat constitue un indicateur concret à présenter à la direction générale à l'issue du Cybermois, bien plus parlant qu'un simple taux de participation à une formation. Un tableau de bord montrant un nombre précis de risques éliminés, avec un pourcentage de progression d'une campagne à l'autre, transforme le Cybermois en action mesurable plutôt qu'en événement de communication.
Selon les données IDECSI, une première campagne de correction des accès M365 réduit en moyenne 50% des risques identifiés, un taux qui progresse à 70% lors d'une seconde campagne.
Le Cybermois offre une fenêtre de légitimité institutionnelle précieuse pour un RSSI, mais cette fenêtre ne produit des résultats durables que si elle s'accompagne d'une action corrective sur les accès et partages du tenant M365. La sensibilisation seule laisse les risques en place après le 31 octobre. Un plan d'action en quatre étapes, du checkup initial à l'ancrage durable via une seconde campagne, permet de transformer ce mois en résultats mesurables et présentables à la direction générale.
Pour transformer cette campagne en résultat mesurable, la période du Cybermois est le moment idéal pour lancer un audit du tenant M365 avant la fin du mois d'octobre.