SYAGA Audit mesure la configuration de sécurité de votre Microsoft 365 en lecture seule, dans la limite des droits que Microsoft permet d'accorder en lecture pure (même quand un droit permettrait d'agir, nous ne faisons que lire), sans agent serveur. Voici, concrètement, comment.
SYAGA Audit ne fait que lire la configuration de votre tenant : l'audit est fait uniquement de lectures. Les droits accordés, eux, ne sont pas toujours en lecture pure : pour l'administration d'Exchange, que l'audit utilise, l'écran Microsoft affichera « gérer Exchange », le moindre privilège disponible. Un complément (SharePoint tous sites, Defender) que Microsoft ne permet d'atteindre par aucun accès en lecture : le plus étroit qu'il propose est de type « gérer ». Ce n'est pas notre limite, c'est celle de l'API Microsoft. Nous vous le proposons en option, justifié, et vous décidez. Même quand un droit permettrait d'agir, nous ne faisons que lire : l'opération se déroule chez vous, jamais sur nos serveurs, et vous le vérifiez vous-même : les permissions sur l'écran de consentement, et l'absence de toute modification attribuée à nos applications ou au compte du scan, parmi les types d'événements relus, dans votre journal d'audit Microsoft (qui enregistre les modifications et seulement quelques lectures ; certaines lectures de l'audit peuvent y apparaître au nom du compte du scan, mais aucune ne porte sur un courriel ou un fichier, que l'audit n'ouvre pas).
L'accès est accordé par votre administrateur via l'écran de consentement officiel Microsoft, qui liste les droits demandés. Vous restez maître à tout instant.
SYAGA Audit fonctionne entièrement à distance, via l'API Microsoft. Rien à déployer chez vous, aucune surface d'attaque ajoutée sur votre réseau.
L'infrastructure SYAGA Audit est hébergée en Europe. Vos résultats d'audit restent soumis au droit français et européen.
Soyons précis. La collecte et la pseudonymisation s'exécutent dans votre navigateur (extension) ; en production, la collecte côté serveur est désactivée et vos données brutes restent sur votre poste. Le service ne reçoit que des empreintes pseudonymisées. Vos résultats d'audit (score, écarts, rapport jetonisé) sont traités sous forme jetonisée et ne sont recontextualisés en clair que sur votre poste. Vos informations de facturation (strict minimum légal) sont également conservées, chiffrées, jamais revendues et supprimables sur simple demande (RGPD).
Sans installation, sans mot de passe, révocable à tout moment.
Une question sur la protection des données ? Consultez la page Confidentialité.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.