À retenir
- « C’est dans SharePoint, donc c’est sécurisé » est la phrase qui précède la plupart des incidents documentaires.
- La sécurité documentaire s’empile en quatre niveaux : identité, permissions, étiquettes de confidentialité, journalisation.
- Retirer un seul niveau annule en pratique les trois autres.
- La Loi 25 ne demande pas seulement de protéger : elle demande de pouvoir démontrer que vous protégez.
Migrer vers SharePoint améliore réellement votre posture de sécurité par rapport à un lecteur réseau ou à des pièces jointes qui circulent. Mais l’amélioration s’arrête exactement là où s’arrête votre configuration. Un document mal étiqueté dans SharePoint reste un document mal protégé.
La sécurité des documents SharePoint n’est pas une case à cocher au moment de la migration. C’est un empilement de quatre niveaux, et chacun couvre une faille que les autres laissent ouverte.
Pourquoi « c’est dans SharePoint » ne veut rien dire
Le stockage n’est pas la protection
SharePoint chiffre vos données au repos et en transit. C’est nécessaire, et c’est insuffisant. Le chiffrement protège contre un vol d’infrastructure ; il ne protège pas contre un lien de partage envoyé à la mauvaise personne, ce qui représente l’immense majorité des incidents réels.
Les trois failles les plus fréquentes
Dans les audits que nous menons, les mêmes trois problèmes reviennent : des liens « toute personne disposant du lien » créés par commodité, des permissions accordées fichier par fichier que plus personne ne sait retracer, et des invités externes qui ont conservé un accès longtemps après la fin du mandat.
Niveau 1 — L’identité : qui peut ouvrir une session
Tout commence là. Sans authentification multifacteur, les trois niveaux suivants reposent sur un mot de passe qui peut être deviné, réutilisé ou hameçonné. C’est la mesure la moins coûteuse et la plus rentable de tout le dispositif.
L’accès conditionnel complète le tableau : refuser les connexions depuis des pays où vous n’opérez pas, exiger un appareil géré pour les données sensibles, limiter le téléchargement sur un poste non conforme. Ces règles se configurent dans Microsoft 365 sans licence spécialisée dans la plupart des cas.
Niveau 2 — Les permissions : qui voit quoi
Gouverner par site, pas par fichier
Les permissions accordées document par document sont la dette technique la plus coûteuse de SharePoint. Elles semblent souples au début et deviennent, en dix-huit mois, un enchevêtrement que personne n’ose modifier. Structurez plutôt les droits au niveau du site et de la bibliothèque, avec des groupes clairs.
Traiter les accès externes comme temporaires
Tout accès invité devrait avoir une date d’expiration par défaut. Un partenaire, un client, un consultant — leur accès doit mourir de lui-même si personne ne le renouvelle. C’est la seule approche qui résiste au passage du temps.
Niveau 3 — Les étiquettes de confidentialité
C’est le niveau que la plupart des organisations n’ont jamais activé, et c’est celui qui change le plus de choses. Une étiquette de confidentialité voyage avec le document : même téléchargé sur un poste personnel ou transféré par courriel, le fichier reste chiffré et refuse de s’ouvrir hors du périmètre autorisé.
Commencez petit — trois étiquettes suffisent : public, interne, confidentiel. Une taxonomie à huit niveaux que personne n’applique protège strictement rien.
Niveau 4 — La journalisation et la preuve
Savoir qui a fait quoi
Microsoft 365 journalise les consultations, les partages, les téléchargements et les suppressions. Encore faut-il que la rétention de ces journaux soit configurée à une durée utile, et que quelqu’un sache où les consulter avant d’en avoir besoin.
La différence entre protéger et démontrer
En cas d’incident, la question posée n’est pas « étiez-vous protégés ? » mais « pouvez-vous le prouver ? ». Sans journaux exploitables, une organisation bien configurée et une organisation négligente se ressemblent beaucoup sur le papier.
Le lien avec la Loi 25
La Loi 25 impose aux entreprises québécoises de protéger les renseignements personnels, de documenter leurs mesures et de signaler les incidents de confidentialité présentant un risque sérieux. Les quatre niveaux décrits ici constituent la traduction technique concrète de ces obligations.
Nous détaillons les mécanismes de conformité — registres, journaux d’audit, droit à l’effacement — dans notre article sur la conformité à la Loi 25 dans SharePoint, et les règles de conservation dans celui sur l’expiration des documents. L’ensemble s’inscrit dans une approche structurée de gestion intégrée et électronique des documents.
Questions fréquentes
Les étiquettes de confidentialité sont-elles incluses dans Microsoft 365 Business Premium ?
Oui. Business Premium inclut la protection de l’information et les étiquettes de confidentialité. Beaucoup d’organisations paient déjà pour cette fonctionnalité sans l’avoir activée.
Faut-il chiffrer tous les documents ?
Non, et ce serait contre-productif. Le chiffrement par étiquette doit viser les documents réellement sensibles. Appliqué partout, il crée des frictions qui poussent les employés à contourner le système.
Comment retrouver les liens de partage trop permissifs déjà créés ?
Les rapports de partage de Microsoft 365 et le centre de conformité permettent de lister les liens anonymes actifs. C’est généralement le premier ménage à faire, et le plus révélateur.
Un accès invité expire-t-il automatiquement ?
Pas par défaut. L’expiration doit être configurée, soit par une politique d’accès invité, soit par des revues d’accès périodiques. Sans cette configuration, un accès accordé une fois demeure indéfiniment.