Vos 82 écarts ne sont pas 82 problèmes : ils se ramènent à quatre chantiers. En les traitant dans l'ordre, vous réduisez la plus grande part du risque.
À confirmer par vos soins (65 questions du catalogue sans constat mesuré dans cette collecte)
Aucune mesure complète de cette collecte ne répond à ces questions : c'est votre pratique et votre gouvernance qui font foi. Les questions de même nature déjà mesurées (0) n'y figurent pas, leur constat est dans la lecture technique, encadré « Hors référentiel public » ou analyse recoupée. Quand une mesure partielle existe, la question le dit et nomme son constat. Un audit honnête n'invente pas les autres, il vous demande de les confirmer :
☐ Conformité
Le locataire peut-il interroger ses journaux d'audit Purview (Unified Audit Log) sur une fenêtre temporelle couvrant la durée légale minimale d'investigation/preuve exigée par l'organisation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule Mesure partielle dans cette collecte : voir le constat « journal d'audit unifié Purview (CISA:MS.EXO.17.1, règle retirée par CISA en avril 2026, toujours mesurée ici) » des lectures technique et sécurité ; il ne répond pas à toute la question.
☐ Oui ☐ Non
☐ Conformité
Le locataire reçoit-il et traite-t-il effectivement les alertes générées par les politiques de prévention de perte de données (DLP) protégeant les données à caractère personnel ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Les conservations légales (legal holds) rattachées aux dossiers eDiscovery sont-elles effectivement activées (isEnabled=true) et documentées (requête de contenu, description) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Le locataire a-t-il activé des mesures de chiffrement au repos allant au-delà du chiffrement de plateforme standard Microsoft (ex. Customer Key, chiffrement des messages Microsoft 365) pour les données à caractère personnel les plus sensibles ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Le locataire dispose-t-il d'un dossier eDiscovery dédié (avec dépositaires identifiés) permettant de rechercher et exporter les données d'une personne concernée en réponse à une demande d'exercice de droits RGPD (accès, portabilité, effacement) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Une solution de sauvegarde tierce indépendante de Microsoft (couvrant les boîtes aux lettres, OneDrive, SharePoint, Teams) est-elle en place, sachant que Microsoft 365 n'offre nativement qu'une rétention temporaire (corbeille) et non une sauvegarde complète au sens classique du terme ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Des licences Microsoft 365 Copilot sont-elles déployées avec un usage actif et profondément intégré aux flux de travail (résumés Teams, rédaction Word/Excel/PowerPoint, Copilot Chat), sans alternative testée ni procédure de repli documentée en cas de retrait ou d'indisponibilité du service ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Lorsqu'un compte utilisateur est supprimé dans Entra ID, la fenêtre de récupération de 30 jours (soft-delete) est-elle suffisante et effectivement exploitée comme filet de sécurité avant qu'une donnée ne devienne définitivement irrécupérable ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Quelle est la proportion d'applications tierces critiques de l'organisation qui dépendent exclusivement d'Entra ID comme fournisseur d'identité (SSO unique), sans identité fédérée alternative ni plan de migration vers un autre fournisseur d'identité documenté ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Part (%) : __________
☐ Portabilité
L'organisation dispose-t-elle d'une procédure documentée et testée pour exporter l'intégralité des boîtes aux lettres Exchange Online (format PST ou équivalent) sans dépendre d'un ticket de support Microsoft, en cas de résiliation ou de changement de prestataire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
L'organisation a-t-elle déployé des applications Power Apps, des flux Power Automate ou des connecteurs propriétaires sans équivalent standard documenté, qui bloqueraient une migration de la logique métier vers une autre plateforme ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Quelle est la durée effective de rétention des éléments supprimés (boîtes aux lettres Exchange, OneDrive, sites SharePoint) avant purge définitive, et cette durée est-elle documentée et communiquée comme une fenêtre de récupération post-résiliation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Le contrat Microsoft (Product Terms / DPA) en vigueur pour ce locataire a-t-il été relu pour vérifier le préavis de résiliation, la durée de la période de transition et les modalités d'export gratuit, au regard du plafond légal fixé par le Data Act (Chapitre VI) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Une solution de sauvegarde tierce (backup M365 avec restauration point-in-time) est-elle active, sachant que Microsoft 365 ne fournit pas nativement une sauvegarde complète et restaurable de type backup ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
La corbeille SharePoint/OneDrive est-elle observable (âge et volume des éléments supprimés), et son délai de conservation est-il connu et documenté comme insuffisant pour constituer une sauvegarde ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Le versioning des documents SharePoint/OneDrive est-il actif en pratique (preuve d'historique de versions disponible) sur les bibliothèques critiques, permettant une restauration à une version antérieure en cas de corruption ou de chiffrement (ransomware) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Une alerte a-t-elle déjà été déclenchée ou est-elle configurée pour détecter une suppression massive et anormale de fichiers/emails (signal typique d'un ransomware en cours ou d'une erreur opérationnelle grave) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Un exercice de test de continuité incluant explicitement un scénario de panne ou d'indisponibilité prolongée de Microsoft 365 (le prestataire cloud principal) a-t-il été réalisé et documenté au cours des 12 derniers mois ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les groupes utilisés pour octroyer des accès privilégiés sont-ils placés sous PIM pour les groupes (activation temporaire) plutôt qu'en appartenance permanente ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les groupes marqués 'assignables à un rôle' (isAssignableToRole) sont-ils en nombre limité, à membership statique et sous revue, plutôt que proliferants et incontrôlés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
L'accès des comptes invités (B2B guests) aux groupes Microsoft 365 est-il soumis à une revue périodique avec expiration/retrait automatique, plutôt que laissé sans limite de durée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Une politique de cycle de vie (expiration) des groupes Microsoft 365/Teams est-elle configurée, pour éviter l'accumulation de groupes orphelins et non renouvelés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
La délégation administrative est-elle formalisée via des unités administratives (rôles à périmètre restreint) plutôt que via des rôles à l'échelle du locataire donnés par défaut ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Existe-t-il des applications enregistrées (app registrations) sans aucun propriétaire assigné, orphelines du point de vue de la gouvernance ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Des identités applicatives détiennent-elles des permissions d'application à haut privilège (accès aux boîtes mail, contrôle des fichiers/sites, escalade annuaire/application/rôle, ou modification de l'accès conditionnel ; ex. Directory.ReadWrite.All, Mail.ReadWrite, Sites.FullControl.All, Policy.ReadWrite.ConditionalAccess) sans être couvertes par un inventaire/une revue dédiée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les identités d'agents IA/Copilot (Microsoft Entra Agent ID) sont-elles inventoriées, dotées d'un propriétaire et d'un sponsor documentés, plutôt que créées sans gouvernance formelle ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les règles d'activation PIM (durée maximale, justification obligatoire, MFA, approbation requise) sont-elles configurées sur les rôles sensibles, plutôt que laissées aux valeurs par défaut permissives ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Lorsqu'une politique PIM exige une approbation pour activer un rôle, les demandes d'activation correspondantes portent-elles bien une approbation tracée (approvalId), plutôt qu'une activation sans lien d'approbation documenté ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les applications enregistrées multi-locataires ou tierces disposent-elles d'un éditeur vérifié (verifiedPublisher), plutôt que d'une origine non authentifiée dans le catalogue applicatif ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les unités administratives reposent-elles sur une règle d'appartenance dynamique (membershipType=dynamic, à l'échelle), plutôt que sur une affectation manuelle statique qui ne suit pas la croissance de l'organisation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les groupes et unités administratives les plus sensibles sont-ils protégés par le mécanisme de 'gestion restreinte' (isMemberManagementRestricted / isManagementRestricted), qui limite qui peut modifier leurs membres, plutôt que gérés par n'importe quel rôle d'annuaire à l'échelle du locataire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les comptes utilisateurs dont le mot de passe n'expire jamais (DisablePasswordExpiration) sont-ils inventoriés comme des comptes de service potentiels avec un propriétaire documenté, plutôt que noyés parmi les comptes utilisateurs standards ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Des éligibilités PIM (rôles sensibles en mode 'éligible' plutôt que permanent) existent-elles depuis longtemps sans avoir jamais été activées, signalant un privilège accordé par précaution mais jamais réellement nécessaire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les applications enregistrées avec une audience multi-locataires ou multi-cloud (signInAudience autre que AzureADMyOrg) sont-elles identifiées et justifiées, plutôt que noyées parmi les applications à usage strictement interne ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Les équipes Microsoft Teams archivées (isArchived) sont-elles effectivement decommissionnees ou réintégrées dans un cycle de vie piloté, plutôt que laissées indéfiniment en état d'archive intermédiaire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Le locataire a-t-il configuré des fournisseurs d'identité externes (social/Entra External ID) au-delà des comptes Microsoft natifs, ou toute authentification client/partenaire construite sur ce locataire dépend-elle exclusivement de l'écosystème d'identité Microsoft ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Combien d'applications Teams personnalisées (LOB, distributionMethod='organization') sont déployées dans le catalogue d'applications de l'entreprise, représentant une logique métier encodée spécifiquement pour la plateforme Teams, sans équivalent portable direct vers un autre outil de collaboration unifiée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Nombre : __________
☐ Portabilité
Combien d'applications Entra ID (app registrations/enterprise apps) n'ont plus aucun propriétaire actif assigné, un signe d'orphelinage qui complique l'identification des dépendances techniques à traiter avant un changement de prestataire ou une cession, et illustre le risque de 'compte hors-sol' au niveau applicatif ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Nombre : __________
☐ Portabilité
Les enregistrements DNS de service (MX, TXT SPF) des domaines vérifiés du locataire pointent-ils exclusivement vers l'infrastructure Microsoft (ex. mail.protection.outlook.com), et cette concentration du routage mail a-t-elle été cartographiée comme préalable technique à tout changement de prestataire de messagerie ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Le locataire a-t-il activé Microsoft 365 Customer Key (BYOK), permettant à l'organisation de détenir et de pouvoir révoquer sa propre clé racine de chiffrement au niveau du locataire, plutôt que de dépendre entièrement de clés gérées et séquestrées par Microsoft ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Des libellés de confidentialité avec chiffrement Double Key Encryption (DKE) sont-ils utilisés pour les documents les plus sensibles, garantissant qu'une des deux clés de déchiffrement reste exclusivement sous le contrôle du client (hors infrastructure Microsoft), indépendamment du résultat d'un autre contrôle portant sur le chiffrement des étiquettes qui ne distingue pas ce cas ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Portabilité
Le statut d'inscription du locataire au programme EU Data Boundary (engagement contractuel Microsoft de traitement et de stockage des données principales dans l'UE/AELE) a-t-il été vérifié, ce programme étant distinct du simple flag technique Multi-Geo déjà mesuré par un contrôle existant de ce pilier ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Les incidents de sécurité corrélés par Microsoft 365 Defender sont-ils triés (sévérité, classification, statut) dans un délai compatible avec l'obligation de notification d'une violation de données à caractère personnel ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Le locataire a-t-il formalisé un workflow de cycle de vie (Lifecycle Workflows) actif pour l'arrivée des collaborateurs (catégorie « arrivée »), incluant les tâches d'attribution d'accès ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Le locataire a-t-il formalisé un workflow de cycle de vie pour le changement de rôle/service d'un collaborateur (catégorie « mutation »), afin d'ajuster ses accès au nouveau périmètre ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Le locataire a-t-il formalisé un workflow de cycle de vie actif pour le départ des collaborateurs (catégorie « départ »), garantissant le retrait des accès dans un délai maîtrisé ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Les exécutions (runs) des workflows de cycle de vie se terminent-elles effectivement avec succès (pas d'échecs de tâches ou d'utilisateurs non traités), preuve de l'efficacité réelle de la mesure et non de sa seule existence ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Les dates d'embauche (employeeHireDate) et de départ (employeeLeaveDateTime) des utilisateurs sont-elles effectivement renseignées dans l'annuaire, condition préalable à toute automatisation fiable du cycle de vie RH ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Le locataire est-il en mesure d'exécuter réellement une recherche eDiscovery ciblée sur l'identité d'une personne et d'en exporter les résultats, au-delà de la seule existence d'un dossier et de dépositaires déclarés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Le locataire a-t-il déployé des modules de formation Attack Simulation Training spécifiquement catégorisés 'protection des données' (type=dataPrivacy), distincts des formations génériques anti-hameçonnage ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Au-delà de la simple existence de conditions d'utilisation, le locataire conserve-t-il la preuve d'acceptation par utilisateur et impose-t-il une reconduction périodique de cette acceptation, assurant dans la durée la traçabilité qu'exige le principe de responsabilité du RGPD ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Lorsqu'une solution de sauvegarde tierce M365 est identifiée comme active, sa couverture s'étend-elle réellement aux quatre charges de travail les plus exposées à une suppression irréversible (Exchange, SharePoint, OneDrive, Teams), ou seulement à un sous-ensemble laissant les autres charges totalement dépourvues de sauvegarde réelle malgré l'illusion d'être couvert ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Au-delà des étiquettes de rétention appliquées document par document (déjà mesurées par un autre contrôle de ce rapport), des politiques de rétention Microsoft Purview au niveau EMPLACEMENT (toute une boîte Exchange, tout un site SharePoint, toute une équipe Teams) sont-elles également configurées sur les emplacements à risque, sachant que Microsoft Graph n'expose aujourd'hui aucun endpoint permettant de lister directement ces politiques au niveau emplacement ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Indépendamment de la simple existence d'un historique de versions (déjà mesurée par un autre contrôle de ce rapport), la PROFONDEUR de conservation (nombre maximal de versions majeures/mineures retenues avant purge automatique des plus anciennes) est-elle configurée à un niveau suffisant sur les bibliothèques à criticité élevée, sachant que ce paramètre de politique n'est pas exposé par la resource Microsoft Graph 'list' (SharePoint) déjà vérifiée dans le fichier d'origine ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Le délai de conservation des éléments supprimés dans le dossier 'Recoverable Items' d'Exchange Online (corbeille mail, mécanisme distinct de la corbeille SharePoint/OneDrive déjà mesurée par un autre contrôle de ce rapport) est-il connu, documenté et effectivement suffisant avant purge définitive des messages ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
L'ancienneté du dernier changement de mot de passe des comptes d'urgence (break-glass) est-elle connue, permettant de détecter un compte dont le mot de passe n'a jamais été renouvelé ni testé depuis sa création - un risque distinct de la simple exclusion des politiques d'accès conditionnel ou de la surveillance des connexions, déjà mesurées par ailleurs dans ce pilier ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Les annonces du Message Center Microsoft 365 marquées comme changement majeur (isMajorChange=true) ou de sévérité critique sont-elles suivies et anticipées par l'organisation, pour éviter qu'un changement programme par Microsoft n'impacte une charge de travail critique sans préparation préalable ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Les politiques de sécurité et de gouvernance critiques elles-mêmes (accès conditionnel, règles PIM, étiquettes et politiques de rétention Purview) font-elles l'objet d'une sauvegarde ou d'un export documenté, sachant que Microsoft Graph ne fournit aucun historique de versions ni mécanisme de restauration natif pour ces objets de configuration - une suppression ou une modification accidentelle ou malveillante y est définitive et instantanée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Le locataire a-t-il une relation d'administration déléguée granulaire (GDAP - delegatedAdminRelationship) active avec un partenaire CSP (Cloud Solution Provider) externe, et cette dépendance à la disponibilité et à la fiabilité opérationnelle de ce partenaire pour certaines tâches d'administration est-elle documentée comme un facteur de risque de continuité ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
L'organisation dispose-t-elle d'un canal de communication de crise documenté et indépendant de Microsoft 365 lui-même (SMS, téléphonie classique, messagerie tierce), permettant de coordonner une réponse à incident si Teams et Exchange Online sont simultanément indisponibles ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Des règles de notification par e-mail sont-elles configurées pour alerter un administrateur ou une équipe de sécurité en quasi temps réel lors de l'activation PIM d'un rôle à privilèges, indépendamment de l'exigence d'approbation préalable elle-même et de l'export vers un SIEM ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Les boîtes aux lettres partagées critiques pour l'activité (support@, contact@, direction@...) disposent-elles d'au moins deux délégués actifs, évitant qu'une fonction opérationnelle essentielle (réponse client, suivi commercial) ne dépende d'une seule personne physique - sachant que la liste des délégués d'une boîte partagée n'est pas exposée par la resource Microsoft Graph mailboxSettings vérifiée dans cet audit ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Résilience
Le flux de messagerie entrant de l'organisation transite-t-il exclusivement par Exchange Online Protection sans passerelle de filtrage de secours documentée, sachant que le paramétrage des enregistrements MX/DNS qui détermine ce routage n'est pas un objet exposé par Microsoft Graph et relève d'une vérification au niveau DNS et du centre d'administration Exchange ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Conformité
Le locataire est-il prêt pour le retrait du One-Time Passcode SharePoint et la bascule Entra B2B du partage externe (échéance 31 août 2026) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
☐ Gouvernance
Depuis la bascule Entra B2B (mai 2026), chaque partage externe crée un compte invité : la gouvernance des invités (cycle de vie, revue, expiration) est-elle prête à absorber le volume ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui ☐ Non
Attesté par : ______________________ Fonction : ______________ Le : ____/____/________ Signature : ______________
Ce document ne garantit ni l'acceptation de votre dossier par votre assureur ou votre donneur d'ordre, ni une prime ou des conditions particulières.