Your 85 gaps are not 85 problems: they come down to four root causes. Address them in order and you neutralize the bulk of the risk with focused effort, without redoing everything.
To be attested by you (66 points with no possible technical measurement)
These points fall under your attestation: even when a technical state can be read, it is the associated practice and governance that matter. An honest audit does not invent them, it asks you to confirm them:
☐ Compliance
Le tenant peut-il interroger ses journaux d'audit Purview (Unified Audit Log) sur une fenêtre temporelle couvrant la durée légale minimale d'investigation/preuve exigée par l'organisation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant reçoit-il et traite-t-il effectivement les alertes générées par les politiques de prévention de perte de données (DLP) protégeant les données à caractère personnel ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Les conservations légales (légal holds) rattachées aux dossiers eDiscovery sont-elles effectivement activées (isEnabled=true) et documentées (requête de contenu, description) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant a-t-il activé des mesures de chiffrement au repos allant au-delà du chiffrement de plateforme standard Microsoft (ex. Customer Key, chiffrement de messagerie M365/OME) pour les données à caractère personnel les plus sensibles ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant dispose-t-il d'un dossier eDiscovery dédié (avec custodians identifiés) permettant de rechercher et exporter les données d'une personne concernée en réponse a une demande d'exercice de droits RGPD (accès, portabilité, effacement) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Une solution de sauvegarde tierce indépendante de Microsoft (couvrant mailboxes, OneDrive, SharePoint, Teams) est-elle en place, sachant que Microsoft 365 n'offre nativement qu'une rétention temporaire (corbeille) et non une sauvegarde complète au sens classique du terme ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Des licences Microsoft 365 Copilot sont-elles déployées avec un usage actif et profondément intègre aux flux de travail (résumés Teams, rédaction Word/Excel/PowerPoint, Copilot Chat), sans alternative testée ni procédure de repli documentée en cas de retrait ou d'indisponibilité du service ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Lorsqu'un compte utilisateur est supprime dans Entra ID, la fenêtre de récupération de 30 jours (soft-delete) est-elle suffisante et effectivement exploitée comme filet de sécurité avant qu'une donnée ne devienne définitivement irrécupérable ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Quelle est la proportion d'applications tierces critiques de l'organisation qui dépendent exclusivement d'Entra ID comme fournisseur d'identité (SSO unique), sans identité fédérée alternative ni plan de migration vers un autre fournisseur d'identité documenté ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Part (%) : __________
☐ Portability
L'organisation dispose-t-elle d'une procédure documentée et testée pour exporter l'intégralité des mailboxes Exchange Online (format PST ou équivalent) sans dépendre d'un ticket de support Microsoft, en cas de résiliation ou de changement de prestataire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
L'organisation a-t-elle déployé des applications Power Apps, des flux Power Automate ou des connecteurs propriétaires sans équivalent standard documenté, qui bloqueraient une migration de la logique métier vers une autre plateforme ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Quelle est la durée effective de rétention des éléments supprimés (mailbox Exchange, OneDrive, sites SharePoint) avant purge définitive, et cette durée est-elle documentée et communiquée comme une fenêtre de récupération post-résiliation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Le contrat Microsoft (Product Terms / DPA) en vigueur pour ce tenant a-t-il été relu pour vérifier le préavis de résiliation, la durée de la période de transition et les modalités d'export gratuit, au regard du plafond légal fixe par le Data Act (Chapitre VI) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Une solution de sauvegarde tierce (backup M365 avec restauration point-in-time) est-elle active, sachant que Microsoft 365 ne fournit pas nativement une sauvegarde complète et restaurable de type backup ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
La corbeille SharePoint/OneDrive est-elle observable (âge et volume des éléments supprimés), et son délai de conservation est-il connu et documenté comme insuffisant pour constituer une sauvegarde ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Le versioning des documents SharePoint/OneDrive est-il actif en pratique (preuve d'historique de versions disponible) sur les bibliothèques critiques, permettant une restauration a une version antérieure en cas de corruption ou de chiffrement (ransomware) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Une alerte a-t-elle déjà été déclenchée ou est-elle configurée pour détecter une suppression massive et anormale de fichiers/emails (signal typique d'un ransomware en cours ou d'une erreur opérationnelle grave) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Un exercice de test de continuité incluant explicitement un scénario de panne ou d'indisponibilité prolongée de Microsoft 365 (le prestataire cloud principal) a-t-il été réalisé et documenté au cours des 12 derniers mois ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les groupes utilises pour octroyer des accès privilégiés sont-ils placés sous PIM pour les groupes (activation temporaire) plutôt qu'en appartenance permanente ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les groupes marques 'assignables a un rôle' (isAssignableToRole) sont-ils en nombre limite, a membership statique et sous revue, plutôt que proliferants et incontrôlés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
L'accès des comptes invités (B2B guests) aux groupes Microsoft 365 est-il soumis a une revue périodique avec expiration/retrait automatique, plutôt que laisse sans limite de durée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Une politique de cycle de vie (expiration) des groupes Microsoft 365/Teams est-elle configurée, pour éviter l'accumulation de groupes orphelins et non renouvelés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
La délégation administrative est-elle formalisée via des unités administratives (rôles scopes) plutôt que via des rôles tenant-wide donnes par défaut ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Existe-t-il des applications enregistrées (app registrations) sans aucun propriétaire assigne, orphelines du point de vue de la gouvernance ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Des identités applicatives (service principals) détiennent-elles des permissions Microsoft Graph a haut privilège (ex. Directory.ReadWrite.All) sans être couvertes par un inventaire/une revue dédiée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les identités d'agents IA/Copilot (Microsoft Entra Agent ID) sont-elles inventoriées, dotées d'un propriétaire et d'un sponsor documentes, plutôt que créées sans gouvernance formelle ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les règles d'activation PIM (durée maximale, justification obligatoire, MFA, approbation requise) sont-elles configurées sur les rôles sensibles, plutôt que laissées aux valeurs par défaut permissives ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Lorsqu'une politique PIM exige une approbation pour activer un rôle, les demandes d'activation correspondantes portent-elles bien une approbation tracée (approvalId), plutôt qu'une activation sans lien d'approbation documenté ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les groupes Microsoft 365 portent-ils une classification (niveau de sensibilité) et/ou un label de sensibilité assigné, plutôt que d'être créés sans aucune métadonnée de classification ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les applications enregistrées multi-tenant ou tierces disposent-elles d'un éditeur vérifié (verifiedPublisher), plutôt que d'une origine non authentifiée dans le catalogue applicatif ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les unités administratives reposent-elles sur une règle d'appartenance dynamique (membershipType=dynamic, à l'échelle), plutôt que sur une affectation manuelle statique qui ne suit pas la croissance de l'organisation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les groupes et unités administratives les plus sensibles sont-ils protégés par le mécanisme de 'gestion restreinte' (isMemberManagementRestricted / isManagementRestricted), qui limite qui peut modifier leurs membres, plutôt que gérés par n'importe quel rôle d'annuaire tenant-wide ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les comptes utilisateurs dont le mot de passe n'expire jamais (DisablePasswordExpiration) sont-ils inventoriés comme des comptes de service potentiels avec un propriétaire documenté, plutôt que noyés parmi les comptes utilisateurs standards ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Des éligibilités PIM (rôles sensibles en mode 'éligible' plutôt que permanent) existent-elles depuis longtemps sans avoir jamais été activées, signalant un privilège accorde par précaution mais jamais réellement nécessaire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les applications enregistrées avec une audience multi-tenant ou multi-cloud (signInAudience autre que AzureADMyOrg) sont-elles identifiées et justifiées, plutôt que noyées parmi les applications à usage strictement interne ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Les équipes Microsoft Teams archivées (isArchived) sont-elles effectivement decommissionnees ou réintégrées dans un cycle de vie pilote, plutôt que laissées indéfiniment en état d'archive intermédiaire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Le tenant a-t-il configuré des fournisseurs d'identité externes (social/Entra External ID) au-delà des comptes Microsoft natifs, ou toute authentification client/partenaire construite sur ce tenant dépend-elle exclusivement de l'écosystème d'identité Microsoft ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Combien d'applications Teams personnalisées (LOB, distributionMethod='organization') sont déployées dans le catalogue d'applications de l'entreprise, représentant une logique métier encodée spécifiquement pour la plateforme Teams, sans équivalent portable direct vers un autre outil de collaboration unifiée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Nombre : __________
☐ Portability
Combien d'applications Entra ID (app registrations/enterprise apps) n'ont plus aucun propriétaire actif assigne, un signe d'orphelinage qui complique l'identification des dépendances techniques à traiter avant un changement de prestataire ou une cession, et illustre le risque de 'compte hors-sol' au niveau applicatif ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Nombre : __________
☐ Portability
Les enregistrements DNS de service (MX, TXT SPF) des domaines vérifiés du tenant pointent-ils exclusivement vers l'infrastructure Microsoft (ex. mail.protection.outlook.com), et cette concentration du routage mail a-t-elle été cartographiee comme préalable technique a tout changement de prestataire de messagerie ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Le tenant a-t-il activé Microsoft 365 Customer Key (BYOK), permettant à l'organisation de détenir et de pouvoir révoquer sa propre clé racine de chiffrement au niveau tenant, plutôt que de dépendre entièrement de clés gérées et séquestrées par Microsoft ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Des libelles de confidentialité avec chiffrement Double Key Encryption (DKE) sont-ils utilisés pour les documents les plus sensibles, garantissant qu'une des deux clés de déchiffrement reste exclusivement sous le contrôle du client (hors infrastructure Microsoft), indépendamment du résultat d'un autre contrôle portant sur le chiffrement des étiquettes qui ne distingue pas ce cas ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portability
Le statut d'inscription du tenant au programme EU Data Boundary (engagement contractuel Microsoft de traitement et de stockage des données principales dans l'UE/AELE) a-t-il été vérifié, ce programme étant distinct du simple flag technique Multi-Geo déjà mesure par un contrôle existant de ce pilier ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Les incidents de sécurité corrélés par Microsoft 365 Defender sont-ils triés (sévérité, classification, statut) dans un délai compatible avec l'obligation de notification d'une violation de données à caractère personnel ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant a-t-il formalisé un workflow de cycle de vie (Lifecycle Workflows) actif pour l'arrivée des collaborateurs (catégorie joiner), incluant les taches d'attribution d'accès ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant a-t-il formalisé un workflow de cycle de vie pour le changement de rôle/service d'un collaborateur (catégorie mover), afin d'ajuster ses accès au nouveau périmètre ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant a-t-il formalisé un workflow de cycle de vie actif pour le départ des collaborateurs (catégorie leaver), garantissant le retrait des accès dans un délai maîtrise ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Les exécutions (runs) des workflows de cycle de vie se terminent-elles effectivement avec succès (pas d'échecs de taches ou d'utilisateurs non traites), preuve de l'efficacité réelle de la mesure et non de sa seule existence ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Les dates d'embauche (employeeHireDate) et de départ (employeeLeaveDateTime) des utilisateurs sont-elles effectivement renseignées dans l'annuaire, condition préalable a toute automatisation fiable du cycle de vie RH ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant est-il en mesure d'exécuter réellement une recherche eDiscovery ciblée sur l'identité d'une personne et d'en exporter les résultats, au-delà de la seule existence d'un dossier et de custodians déclarés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant a-t-il déployé des modules de formation Attack Simulation Training spécifiquement catégorisés 'protection des données' (type=dataPrivacy), distincts des formations génériques anti-hameconnage ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Au-delà de la simple existence de conditions d'utilisation (Terms of Use), le tenant conserve-t-il la preuve d'acceptation par utilisateur et impose-t-il une reconduction périodique (userReacceptRequiredFrequency), assurant une traçabilité d'accountability dans la durée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Lorsqu'une solution de sauvegarde tierce M365 est identifiée comme active, sa couverture s'étend-elle réellement aux quatre charges de travail les plus exposées à une suppression irréversible (Exchange, SharePoint, OneDrive, Teams), ou seulement à un sous-ensemble laissant les autres charges totalement dépourvues de sauvegarde réelle malgré l'illusion d'être couvert ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Au-delà des labels de rétention appliques document par document (déjà mesures par Résilience:rétention-labels-purview-coverage), des politiques de rétention Microsoft Purview au niveau EMPLACEMENT (toute une boite Exchange, tout un site SharePoint, toute une équipe Teams) sont-elles également configurées sur les emplacements à risque, sachant que Microsoft Graph n'expose aujourd'hui aucun endpoint permettant de lister directement ces politiques au niveau emplacement ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Indépendamment de la simple existence d'un historique de versions (déjà mesurée par Résilience:document-versioning-évidence), la PROFONDEUR de conservation (nombre maximal de versions majeures/mineures retenues avant purge automatique des plus anciennes) est-elle configurée a un niveau suffisant sur les bibliothèques à criticité élevée, sachant que ce paramètre de politique n'est pas expose par la resource Microsoft Graph 'list' (SharePoint) déjà vérifiée dans le fichier d'origine ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Le délai de conservation des éléments supprimés dans le dossier 'Recoverable Items' d'Exchange Online (corbeille mail, mécanisme distinct de la corbeille SharePoint/OneDrive déjà mesurée par Résilience:recycle-bin-second-stage-visibility) est-il connu, documenté et effectivement suffisant avant purge définitive des messages ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
L'ancienneté du dernier changement de mot de passe des comptes d'urgence (break-glass) est-elle connue, permettant de détecter un compte dont le mot de passe n'a jamais été renouvelé ni teste depuis sa création - un risque distinct de la simple exclusion des politiques d'accès conditionnel ou de la surveillance des connexions, déjà mesurées par ailleurs dans ce pilier ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Les annonces du Message Center Microsoft 365 marquées comme changement majeur (isMajorChange=true) ou de sévérité critique sont-elles suivies et anticipées par l'organisation, pour éviter qu'un changement programme par Microsoft n'impacte une charge de travail critique sans préparation préalable ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Les politiques de sécurité et de gouvernance critiques elles-mêmes (accès conditionnel, règles PIM, labels et politiques de rétention Purview) font-elles l'objet d'une sauvegarde ou d'un export documenté, sachant que Microsoft Graph ne fournit aucun historique de versions ni mécanisme de restauration natif pour ces objets de configuration - une suppression ou une modification accidentelle ou malveillante y est définitive et instantanée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Le tenant a-t-il une relation d'administration déléguée granulaire (GDAP - delegatedAdminRelationship) active avec un partenaire CSP (Cloud Solution Provider) externe, et cette dépendance a la disponibilité et a la fiabilité opérationnelle de ce partenaire pour certaines taches d'administration est-elle documentée comme un facteur de risque de continuité ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
L'organisation dispose-t-elle d'un canal de communication de crise documenté et indépendant de Microsoft 365 lui-même (SMS, téléphonie classique, messagerie tierce), permettant de coordonner une réponse à incident si Teams et Exchange Online sont simultanément indisponibles ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Des règles de notification par e-mail sont-elles configurées pour alerter un administrateur ou une équipe de sécurité en quasi temps réel lors de l'activation PIM d'un rôle à privilèges, indépendamment de l'exigence d'approbation préalable elle-même et de l'export vers un SIEM ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Les boites aux lettres partagées critiques pour l'activité (support@, contact@, direction@...) disposent-elles d'au moins deux délégués actifs, évitant qu'une fonction opérationnelle essentielle (réponse client, suivi commercial) ne dépende d'une seule personne physique - sachant que la liste des délégués d'une boite partagée n'est pas exposée par la resource Microsoft Graph mailboxSettings vérifiée dans cet audit ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Resilience
Le flux de messagerie entrant de l'organisation transite-t-il exclusivement par Exchange Online Protection sans passerelle de filtrage de secours documentée, sachant que le paramétrage des enregistrements MX/DNS qui détermine ce routage n'est pas un objet expose par Microsoft Graph et relève d'une vérification au niveau DNS et du centre d'administration Exchange ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Compliance
Le tenant est-il prêt pour le retrait du One-Time Passcode SharePoint et la bascule Entra B2B du partage externe (échéance 31 août 2026) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Governance
Depuis la bascule Entra B2B (mai 2026), chaque partage externe créé un compte invite : la gouvernance des invites (cycle de vie, revue, expiration) est-elle prête à absorber le volume ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
Attesté par : ______________________ Fonction : ______________ Le : ____/____/________ Signature : ______________