EXEMPLE : entreprise et chiffres inventés. Ce document montre la forme exacte du rapport livré, ce n’est pas un audit réel.
Les 5 lectures du même audit : Pour le dirigeant · Pour le RSSI · Pour l'informaticien · Pour le DPO / la conformité · Pour l'assureur / le donneur d'ordre
SYAGA Audit
Relatório de conformidade e proteção de dados
Sem ver os seus dados · Ref. SYAGA-DEMO-QUESTIONNAIRE-0001
O veredito de conformidade, antes do detalhe

Quatro fragilidades estruturais fragilizam a sua capacidade de demonstrar a conformidade (responsabilização, Art. 5.2).

Os seus 85 desvios não são 85 problemas: reduzem-se a quatro causas-raiz. Trate-os por ordem e neutraliza o essencial do risco com um esforço concentrado, sem refazer tudo.

Postura de conformidade
70/100
A reforçar
bases corretas, mas falhas permanecem abertas
195
Controlos conformes
4
Causas-raiz a tratar
85
Não conformidades técnicas constatadas
O que é demonstrável hoje

195 controlo(s) conforme(s) em 280 avaliados - outros tantos pontos já OPONÍVEIS no seu registo de tratamentos e nas suas provas de responsabilização, verificáveis nos seus próprios registos Microsoft. Postura classificada como C, apenas com base no que foi avaliado.

O que ainda está por documentar

85 não conformidade(s) e 63 controlo(s) não medido(s): enquanto as causas-raiz não forem tratadas, esta zona não é demonstrável em caso de controlo CNPD ou de pedido de um terceiro - um ponto cego de responsabilização.

I

Reforço da configuração

34 desvio(s) agrupado(s) - Configuração e conformidade
A exposição RGPD: uma base não reforçada alarga a superfície de ataque em silêncio, sem alerta visível.
Hoje: Neste tema, os seguintes requisitos de conformidade não são cumpridos: S'assurer que les comptes prioritaires bénéficient des paramètres prédéfinis de protection stricte (Strict protection) ; S'assurer que la synchronisation OneDrive est restreinte pour les appareils non gérés ; Seuls les utilisateurs ayant le rôle Présentateur sont autorisés à présenter dans les réunions Teams ; Les comptes d'accès d'urgence (break-glass) ne doivent pas être bloqués.
O que a conformidade exige: Sensibiliser les utilisateurs aux bonnes pratiques élémentaires (hameçonnage, gestion des mots de passe, MFA, signalement) par des campagnes récurrentes et des simulations ; mesure principalement organisationnelle. Appliquer le preset de protection Strict aux comptes prioritaires pour leur garantir le niveau de filtrage le plus élevé. Bloquer la synchronisation OneDrive depuis les appareils non gérés via une politique d'accès conditionnel (AllowLimitedAccess) limitant l'accès au web sans téléchargement/synchronisation.
Esforço MédioImpacto Moderado
II

Identidade e acesso

31 desvio(s) agrupado(s) - Identidade e acesso
A exposição RGPD: a tomada de controlo de uma conta é a porta de entrada mais comum de um ataque; é o único tema em que um esforço limitado fecha toda uma classe de riscos de uma só vez.
Hoje: Neste tema, os seguintes requisitos de conformidade não são cumpridos: S'assurer que l'authentification multifacteur est activée pour tous les utilisateurs ; La MFA DOIT être imposée pour tous les utilisateurs ; S'assurer que le flux de consentement administrateur est activé ; S'assurer que tous les utilisateurs membres sont 'compatibles MFA' (MFA capable).
O que a conformidade exige: Le MFA doit être exigé pour l'ensemble des utilisateurs via une politique d'accès conditionnel afin de bloquer la grande majorité des attaques par compromission d'identité. Activer le flux de consentement administrateur dans Entra ID pour qu'une demande d'accès bloquée côté utilisateur soit routée vers un réviseur plutôt que simplement rejetée sans suite. Au moins deux comptes d'accès d'urgence (break-glass) cloud-only en *.onmicrosoft.com, exclus des politiques CA bloquantes, doivent être définis pour éviter un verrouillage total de l'administration.
Esforço BaixoImpacto Grave
III

Supervisão e registo

14 desvio(s) agrupado(s) - Deteção e supervisão
A exposição RGPD: sem deteção ativa nem registo completo, um ataque pode ter sucesso sem ser bloqueado, nem detetado a tempo, nem provado posteriormente: uma desvantagem direta em caso de sinistro, controlo regulatório ou processo de seguro.
Hoje: Neste tema, os seguintes requisitos de conformidade não são cumpridos: L'action pour le spam à haut niveau de confiance (High Confidence Spam) est définie sur Mettre le message en quarantaine ; Les liens sûrs (Safe Links) ne sont pas contournés ; L'action en cas d'usurpation de domaine (Domain Impersonation) est définie sur déplacer vers la quarantaine ; L'action en cas d'usurpation d'identité d'utilisateur (User impersonation) est définie sur déplacer vers la quarantaine.
O que a conformidade exige: Inclure tous les utilisateurs dans la protection Defender for Office 365 via le preset de sécurité Standard ou Strict. Configurer la politique Anti-courrier indésirable (anti-spam) pour appliquer le réglage cible : « Durée de rétention en quarantaine portée à 30 jours ». Configurer la politique Anti-hameçonnage pour appliquer le réglage cible : « Mise en quarantaine des messages détectés comme hameçonnage ».
Esforço BaixoImpacto Elevado
IV

Exposição dos dados

6 desvio(s) agrupado(s) - Dados e exposição
A exposição RGPD: um dado que sai da empresa sem salvaguarda é o vetor de fuga mais comum, e o mais dispendioso em termos de imagem e regulatórios.
Hoje: Neste tema, os seguintes requisitos de conformidade não são cumpridos: S'assurer que les stratégies d'étiquettes de confidentialité Information Protection sont publiées ; S'assurer que le partage de contenu OneDrive est restreint ; Une solution de prevention des pertes de données (DLP) DOIT être utilisée ; L'action de la politique personnalisée DEVRAIT être configurée pour bloquer le partage d'informations sensibles avec tout le monde.
O que a conformidade exige: Publier au moins une politique d'étiquettes de sensibilité (sensitivity labels) auprès des utilisateurs ou groupes cibles, afin de permettre la classification et la protection des documents selon leur niveau de confidentialité. Restreindre le partage de contenu OneDrive au niveau le plus restrictif approprié (au plus 'Invités existants'), sachant qu'OneDrive peut être plus restrictif que SharePoint mais jamais plus permissif. Mettre en place une solution de prévention des pertes de données (DLP) couvrant Exchange Online.
Esforço MédioImpacto Elevado

A atestar pelos seus próprios meios (66 pontos sem medição técnica possível)

Estes pontos não podem ser medidos por nenhuma API Microsoft: dependem da sua atestação. Uma auditoria honesta não os inventa, pede-lhe que os confirme:
☐ Conformidade
Le tenant peut-il interroger ses journaux d'audit Purview (Unified Audit Log) sur une fenêtre temporelle couvrant la durée légale minimale d'investigation/preuve exigée par l'organisation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant reçoit-il et traite-t-il effectivement les alertes générées par les politiques de prévention de perte de données (DLP) protégeant les données à caractère personnel ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Les conservations légales (légal holds) rattachées aux dossiers eDiscovery sont-elles effectivement activées (isEnabled=true) et documentées (requête de contenu, description) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant a-t-il activé des mesures de chiffrement au repos allant au-delà du chiffrement de plateforme standard Microsoft (ex. Customer Key, chiffrement de messagerie M365/OME) pour les données à caractère personnel les plus sensibles ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant dispose-t-il d'un dossier eDiscovery dédié (avec custodians identifiés) permettant de rechercher et exporter les données d'une personne concernée en réponse a une demande d'exercice de droits RGPD (accès, portabilité, effacement) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Une solution de sauvegarde tierce indépendante de Microsoft (couvrant mailboxes, OneDrive, SharePoint, Teams) est-elle en place, sachant que Microsoft 365 n'offre nativement qu'une rétention temporaire (corbeille) et non une sauvegarde complète au sens classique du terme ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Des licences Microsoft 365 Copilot sont-elles déployées avec un usage actif et profondément intègre aux flux de travail (résumés Teams, rédaction Word/Excel/PowerPoint, Copilot Chat), sans alternative testée ni procédure de repli documentée en cas de retrait ou d'indisponibilité du service ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Lorsqu'un compte utilisateur est supprime dans Entra ID, la fenêtre de récupération de 30 jours (soft-delete) est-elle suffisante et effectivement exploitée comme filet de sécurité avant qu'une donnée ne devienne définitivement irrécupérable ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Quelle est la proportion d'applications tierces critiques de l'organisation qui dépendent exclusivement d'Entra ID comme fournisseur d'identité (SSO unique), sans identité fédérée alternative ni plan de migration vers un autre fournisseur d'identité documenté ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Part (%) : __________
☐ Portabilidade
L'organisation dispose-t-elle d'une procédure documentée et testée pour exporter l'intégralité des mailboxes Exchange Online (format PST ou équivalent) sans dépendre d'un ticket de support Microsoft, en cas de résiliation ou de changement de prestataire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
L'organisation a-t-elle déployé des applications Power Apps, des flux Power Automate ou des connecteurs propriétaires sans équivalent standard documenté, qui bloqueraient une migration de la logique métier vers une autre plateforme ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Quelle est la durée effective de rétention des éléments supprimés (mailbox Exchange, OneDrive, sites SharePoint) avant purge définitive, et cette durée est-elle documentée et communiquée comme une fenêtre de récupération post-résiliation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Le contrat Microsoft (Product Terms / DPA) en vigueur pour ce tenant a-t-il été relu pour vérifier le préavis de résiliation, la durée de la période de transition et les modalités d'export gratuit, au regard du plafond légal fixe par le Data Act (Chapitre VI) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Une solution de sauvegarde tierce (backup M365 avec restauration point-in-time) est-elle active, sachant que Microsoft 365 ne fournit pas nativement une sauvegarde complète et restaurable de type backup ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
La corbeille SharePoint/OneDrive est-elle observable (âge et volume des éléments supprimés), et son délai de conservation est-il connu et documenté comme insuffisant pour constituer une sauvegarde ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Le versioning des documents SharePoint/OneDrive est-il actif en pratique (preuve d'historique de versions disponible) sur les bibliothèques critiques, permettant une restauration a une version antérieure en cas de corruption ou de chiffrement (ransomware) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Une alerte a-t-elle déjà été déclenchée ou est-elle configurée pour détecter une suppression massive et anormale de fichiers/emails (signal typique d'un ransomware en cours ou d'une erreur opérationnelle grave) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Un exercice de test de continuité incluant explicitement un scénario de panne ou d'indisponibilité prolongée de Microsoft 365 (le prestataire cloud principal) a-t-il été réalisé et documenté au cours des 12 derniers mois ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les groupes utilises pour octroyer des accès privilégiés sont-ils placés sous PIM pour les groupes (activation temporaire) plutôt qu'en appartenance permanente ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les groupes marques 'assignables a un rôle' (isAssignableToRole) sont-ils en nombre limite, a membership statique et sous revue, plutôt que proliferants et incontrôlés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
L'accès des comptes invités (B2B guests) aux groupes Microsoft 365 est-il soumis a une revue périodique avec expiration/retrait automatique, plutôt que laisse sans limite de durée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Une politique de cycle de vie (expiration) des groupes Microsoft 365/Teams est-elle configurée, pour éviter l'accumulation de groupes orphelins et non renouvelés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
La délégation administrative est-elle formalisée via des unités administratives (rôles scopes) plutôt que via des rôles tenant-wide donnes par défaut ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Existe-t-il des applications enregistrées (app registrations) sans aucun propriétaire assigne, orphelines du point de vue de la gouvernance ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Des identités applicatives (service principals) détiennent-elles des permissions Microsoft Graph a haut privilège (ex. Directory.ReadWrite.All) sans être couvertes par un inventaire/une revue dédiée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les identités d'agents IA/Copilot (Microsoft Entra Agent ID) sont-elles inventoriées, dotées d'un propriétaire et d'un sponsor documentes, plutôt que créées sans gouvernance formelle ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les règles d'activation PIM (durée maximale, justification obligatoire, MFA, approbation requise) sont-elles configurées sur les rôles sensibles, plutôt que laissées aux valeurs par défaut permissives ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Lorsqu'une politique PIM exige une approbation pour activer un rôle, les demandes d'activation correspondantes portent-elles bien une approbation tracée (approvalId), plutôt qu'une activation sans lien d'approbation documenté ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les groupes Microsoft 365 portent-ils une classification (niveau de sensibilité) et/ou un label de sensibilité assigné, plutôt que d'être créés sans aucune métadonnée de classification ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les applications enregistrées multi-tenant ou tierces disposent-elles d'un éditeur vérifié (verifiedPublisher), plutôt que d'une origine non authentifiée dans le catalogue applicatif ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les unités administratives reposent-elles sur une règle d'appartenance dynamique (membershipType=dynamic, à l'échelle), plutôt que sur une affectation manuelle statique qui ne suit pas la croissance de l'organisation ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les groupes et unités administratives les plus sensibles sont-ils protégés par le mécanisme de 'gestion restreinte' (isMemberManagementRestricted / isManagementRestricted), qui limite qui peut modifier leurs membres, plutôt que gérés par n'importe quel rôle d'annuaire tenant-wide ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les comptes utilisateurs dont le mot de passe n'expire jamais (DisablePasswordExpiration) sont-ils inventoriés comme des comptes de service potentiels avec un propriétaire documenté, plutôt que noyés parmi les comptes utilisateurs standards ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Des éligibilités PIM (rôles sensibles en mode 'éligible' plutôt que permanent) existent-elles depuis longtemps sans avoir jamais été activées, signalant un privilège accorde par précaution mais jamais réellement nécessaire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les applications enregistrées avec une audience multi-tenant ou multi-cloud (signInAudience autre que AzureADMyOrg) sont-elles identifiées et justifiées, plutôt que noyées parmi les applications à usage strictement interne ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Les équipes Microsoft Teams archivées (isArchived) sont-elles effectivement decommissionnees ou réintégrées dans un cycle de vie pilote, plutôt que laissées indéfiniment en état d'archive intermédiaire ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Le tenant a-t-il configuré des fournisseurs d'identité externes (social/Entra External ID) au-delà des comptes Microsoft natifs, ou toute authentification client/partenaire construite sur ce tenant dépend-elle exclusivement de l'écosystème d'identité Microsoft ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Combien d'applications Teams personnalisées (LOB, distributionMethod='organization') sont déployées dans le catalogue d'applications de l'entreprise, représentant une logique métier encodée spécifiquement pour la plateforme Teams, sans équivalent portable direct vers un autre outil de collaboration unifiée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Nombre : __________
☐ Portabilidade
Combien d'applications Entra ID (app registrations/enterprise apps) n'ont plus aucun propriétaire actif assigne, un signe d'orphelinage qui complique l'identification des dépendances techniques à traiter avant un changement de prestataire ou une cession, et illustre le risque de 'compte hors-sol' au niveau applicatif ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
Nombre : __________
☐ Portabilidade
Les enregistrements DNS de service (MX, TXT SPF) des domaines vérifiés du tenant pointent-ils exclusivement vers l'infrastructure Microsoft (ex. mail.protection.outlook.com), et cette concentration du routage mail a-t-elle été cartographiee comme préalable technique a tout changement de prestataire de messagerie ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Le tenant a-t-il activé Microsoft 365 Customer Key (BYOK), permettant à l'organisation de détenir et de pouvoir révoquer sa propre clé racine de chiffrement au niveau tenant, plutôt que de dépendre entièrement de clés gérées et séquestrées par Microsoft ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Des libelles de confidentialité avec chiffrement Double Key Encryption (DKE) sont-ils utilisés pour les documents les plus sensibles, garantissant qu'une des deux clés de déchiffrement reste exclusivement sous le contrôle du client (hors infrastructure Microsoft), indépendamment du résultat d'un autre contrôle portant sur le chiffrement des étiquettes qui ne distingue pas ce cas ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Portabilidade
Le statut d'inscription du tenant au programme EU Data Boundary (engagement contractuel Microsoft de traitement et de stockage des données principales dans l'UE/AELE) a-t-il été vérifié, ce programme étant distinct du simple flag technique Multi-Geo déjà mesure par un contrôle existant de ce pilier ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Les incidents de sécurité corrélés par Microsoft 365 Defender sont-ils triés (sévérité, classification, statut) dans un délai compatible avec l'obligation de notification d'une violation de données à caractère personnel ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant a-t-il formalisé un workflow de cycle de vie (Lifecycle Workflows) actif pour l'arrivée des collaborateurs (catégorie joiner), incluant les taches d'attribution d'accès ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant a-t-il formalisé un workflow de cycle de vie pour le changement de rôle/service d'un collaborateur (catégorie mover), afin d'ajuster ses accès au nouveau périmètre ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant a-t-il formalisé un workflow de cycle de vie actif pour le départ des collaborateurs (catégorie leaver), garantissant le retrait des accès dans un délai maîtrise ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Les exécutions (runs) des workflows de cycle de vie se terminent-elles effectivement avec succès (pas d'échecs de taches ou d'utilisateurs non traites), preuve de l'efficacité réelle de la mesure et non de sa seule existence ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Les dates d'embauche (employeeHireDate) et de départ (employeeLeaveDateTime) des utilisateurs sont-elles effectivement renseignées dans l'annuaire, condition préalable a toute automatisation fiable du cycle de vie RH ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant est-il en mesure d'exécuter réellement une recherche eDiscovery ciblée sur l'identité d'une personne et d'en exporter les résultats, au-delà de la seule existence d'un dossier et de custodians déclarés ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant a-t-il déployé des modules de formation Attack Simulation Training spécifiquement catégorisés 'protection des données' (type=dataPrivacy), distincts des formations génériques anti-hameconnage ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Au-delà de la simple existence de conditions d'utilisation (Terms of Use), le tenant conserve-t-il la preuve d'acceptation par utilisateur et impose-t-il une reconduction périodique (userReacceptRequiredFrequency), assurant une traçabilité d'accountability dans la durée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Lorsqu'une solution de sauvegarde tierce M365 est identifiée comme active, sa couverture s'étend-elle réellement aux quatre charges de travail les plus exposées à une suppression irréversible (Exchange, SharePoint, OneDrive, Teams), ou seulement à un sous-ensemble laissant les autres charges totalement dépourvues de sauvegarde réelle malgré l'illusion d'être couvert ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Au-delà des labels de rétention appliques document par document (déjà mesures par Résilience:rétention-labels-purview-coverage), des politiques de rétention Microsoft Purview au niveau EMPLACEMENT (toute une boite Exchange, tout un site SharePoint, toute une équipe Teams) sont-elles également configurées sur les emplacements à risque, sachant que Microsoft Graph n'expose aujourd'hui aucun endpoint permettant de lister directement ces politiques au niveau emplacement ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Indépendamment de la simple existence d'un historique de versions (déjà mesurée par Résilience:document-versioning-évidence), la PROFONDEUR de conservation (nombre maximal de versions majeures/mineures retenues avant purge automatique des plus anciennes) est-elle configurée a un niveau suffisant sur les bibliothèques à criticité élevée, sachant que ce paramètre de politique n'est pas expose par la resource Microsoft Graph 'list' (SharePoint) déjà vérifiée dans le fichier d'origine ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Le délai de conservation des éléments supprimés dans le dossier 'Recoverable Items' d'Exchange Online (corbeille mail, mécanisme distinct de la corbeille SharePoint/OneDrive déjà mesurée par Résilience:recycle-bin-second-stage-visibility) est-il connu, documenté et effectivement suffisant avant purge définitive des messages ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
L'ancienneté du dernier changement de mot de passe des comptes d'urgence (break-glass) est-elle connue, permettant de détecter un compte dont le mot de passe n'a jamais été renouvelé ni teste depuis sa création - un risque distinct de la simple exclusion des politiques d'accès conditionnel ou de la surveillance des connexions, déjà mesurées par ailleurs dans ce pilier ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Les annonces du Message Center Microsoft 365 marquées comme changement majeur (isMajorChange=true) ou de sévérité critique sont-elles suivies et anticipées par l'organisation, pour éviter qu'un changement programme par Microsoft n'impacte une charge de travail critique sans préparation préalable ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Les politiques de sécurité et de gouvernance critiques elles-mêmes (accès conditionnel, règles PIM, labels et politiques de rétention Purview) font-elles l'objet d'une sauvegarde ou d'un export documenté, sachant que Microsoft Graph ne fournit aucun historique de versions ni mécanisme de restauration natif pour ces objets de configuration - une suppression ou une modification accidentelle ou malveillante y est définitive et instantanée ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Le tenant a-t-il une relation d'administration déléguée granulaire (GDAP - delegatedAdminRelationship) active avec un partenaire CSP (Cloud Solution Provider) externe, et cette dépendance a la disponibilité et a la fiabilité opérationnelle de ce partenaire pour certaines taches d'administration est-elle documentée comme un facteur de risque de continuité ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
L'organisation dispose-t-elle d'un canal de communication de crise documenté et indépendant de Microsoft 365 lui-même (SMS, téléphonie classique, messagerie tierce), permettant de coordonner une réponse à incident si Teams et Exchange Online sont simultanément indisponibles ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Des règles de notification par e-mail sont-elles configurées pour alerter un administrateur ou une équipe de sécurité en quasi temps réel lors de l'activation PIM d'un rôle à privilèges, indépendamment de l'exigence d'approbation préalable elle-même et de l'export vers un SIEM ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Les boites aux lettres partagées critiques pour l'activité (support@, contact@, direction@...) disposent-elles d'au moins deux délégués actifs, évitant qu'une fonction opérationnelle essentielle (réponse client, suivi commercial) ne dépende d'une seule personne physique - sachant que la liste des délégués d'une boite partagée n'est pas exposée par la resource Microsoft Graph mailboxSettings vérifiée dans cet audit ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Resiliência
Le flux de messagerie entrant de l'organisation transite-t-il exclusivement par Exchange Online Protection sans passerelle de filtrage de secours documentée, sachant que le paramétrage des enregistrements MX/DNS qui détermine ce routage n'est pas un objet expose par Microsoft Graph et relève d'une vérification au niveau DNS et du centre d'administration Exchange ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Conformidade
Le tenant est-il prêt pour le retrait du One-Time Passcode SharePoint et la bascule Entra B2B du partage externe (échéance 31 août 2026) ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
☐ Governação
Depuis la bascule Entra B2B (mai 2026), chaque partage externe créé un compte invite : la gouvernance des invites (cycle de vie, revue, expiration) est-elle prête à absorber le volume ?
Relève d'une attestation : la pratique ou la justification ne se mesure pas par API seule
☐ Oui   ☐ Non
Attesté par : ______________________   Fonction : ______________   Le : ____/____/________   Signature : ______________

Pontos cegos: não demonstráveis enquanto não medidos

63 controlo(s) não medido(s) no catálogo (extrato: os primeiros 10 de 63; lista completa no anexo do relatório técnico)
ReferênciaPonto de controloEstado
M365SEC:1.3.5M365SAT, Maester, Monkey365S'assurer que la protection interne contre l'hameçonnage pour Forms est activéeNão medido
M365SEC:2.4.1M365SAT, Monkey365S'assurer que la protection des comptes prioritaires (Priority account protection) est activée et configuréeNão medido
M365SEC:3.2.1M365SAT, Monkey365S'assurer que les stratégies de prevention des pertes de données (DLP) sont activéesNão medido
M365SEC:7.2.7M365SAT, Maester, Monkey365S'assurer que le partage par lien est restreint dans SharePoint et OneDriveNão medido
CISA:MS.AAD.4.1Maester, ScubaGearLes journaux de sécurité DOIVENT être envoyés au centre des opérations de sécurité (SOC) de l'agence pour surveillance.Não medido
M365SEC:6.2.1M365SAT, Monkey365Transfert de courrier Exchange bloqué et désactivéNão medido
CISA:MS.EXO.13.1Maester, ScubaGearL'audit des boîtes aux lettres DOIT être activé.Não medido
M365SEC:4.2Monkey365S'assurer que l'inscription des appareils personnels est bloquée par défautNão medido
M365SEC:7.2.11Maester, Monkey365S'assurer que l'autorisation par défaut du lien de partage SharePoint est définieNão medido
MT.1027MaesterAucun principal de service avec secret client et attribution de rôle permanente sur le plan de contrôle (Control Plane).Não medido
A ordem do plano de conformidade
Primeiro
A configuração de base. A relação risco-eliminado/esforço mais forte. Enquanto isto não estiver feito, o resto protege uma casa cuja porta continua aberta.
Depois
A identidade. Uma vez adquirida a primeira alavanca, reduz-se a superfície pela qual o risco se materializa.
Depois
A supervisão. Resta ancorar estes ganhos no tempo: governação, revisões regulares e provas conservadas, para que a postura se mantenha ao longo do tempo e não apenas no dia da auditoria.
Em consolidação
Projetos de fundo restantes. a exposição externa: a consolidar depois de garantidas as prioridades do topo da lista.

O que esta trajetória evita

Interrupção. uma conta comprometida que paralisa a atividade.
Fuga. dados de clientes que saem sem deixar rasto.
Não conformidade. um desvio RGPD ou NIS2 oponível numa fiscalização.
Recusa de seguro. um sinistro não coberto por falta de provas.

Esta auditoria é, em si mesma, privacy-by-design. Verificou as suas definições sem nunca ler um dado pessoal - nem um nome, nem um e-mail, nem um ficheiro. Um diagnóstico de conformidade que não cria, ele próprio, nenhum tratamento de dados: a prova é verificável nos seus registos Microsoft, e o código que a produziu está publicado e é verificável.

Relação com as obrigações europeias

Causa-raizObrigações em causa (indicativo)
a configuração de baseRGPD art. 32 (segurança do tratamento) · NIS 2 art. 21
a identidadeRGPD art. 32 (segurança do tratamento) · NIS 2 art. 21 (medidas de gestão de risco)
a supervisãoRGPD art. 33 (notificação de violação) · NIS 2 art. 21 e art. 23 (notificação de incidente)
a exposição externaRGPD art. 32 e art. 5.1.f (integridade e confidencialidade) · NIS 2 art. 21

Indicativo: cada causa-raiz está relacionada com as famílias de obrigações que mais diretamente afeta. Referências RGPD (Regulamento (UE) 2016/679) e NIS 2 (Diretiva (UE) 2022/2555); DORA (Regulamento (UE) 2022/2554) aplica-se apenas às entidades financeiras e aos seus prestadores de TIC críticos.

Tenant auditado: Entreprise Démonstration (exemple, non client) · Data de recolha: 17 juillet 2026 · Referência: SYAGA-DEMO-QUESTIONNAIRE-0001
Score = contrôles conformes / contrôles tranchés (conformes + non conformes), sans pondération ; les contrôles non collectés et non applicables sont exclus du score.
Complemento SharePoint opcional (3 controlo(s))
Complément optionnel : Microsoft ne propose pas de mode lecture seule pour ces réglages SharePoint par site - y accéder exige un droit d'écriture (limite Microsoft, pas la nôtre). Désactivé par défaut, disponible en option de votre côté, et hors score tant que non activé.
Estes controlos não contam NEM como conformes, NEM como não conformes, NEM como não recolhidos: permanecem fora do score enquanto não ativar o complemento (por sua iniciativa, do seu lado, nunca do nosso).
Não aplicável: funcionalidade não presente no tenant (24 controlo(s))
Estes controlos não se aplicam ao seu tenant: a funcionalidade em causa (licença Microsoft Entra ID P2 / Governance, ou produto como Copilot, Sentinel, Defender for Endpoint, Power Platform...) não está presente. Não há, portanto, nada a medir: não é uma falha, nem um ponto cego.
Estes controlos não contam NEM como conformes, NEM como não conformes: é uma constatação, não uma falha. Não o incentivamos a comprar uma licença adicional: o objetivo de segurança visado pode muitas vezes ser atingido de outra forma (parametrização, procedimento interno, ou ferramenta de terceiros, por vezes livre e menos onerosa). Voltariam a ser mensuráveis se o recurso estivesse presente no seu tenant.
6 point(s) de vigilance organisationnels
Estes requisitos (segurança física, segmentação de rede, sensibilização, governação) cabem à organização e NÃO são mensuráveis por uma análise Microsoft 365 apenas de leitura. São assinalados à parte, fora da pontuação e da contagem de desvios: a verificar por uma revisão interna.
SYAGA Audit · editado pela SYAGA CONSULTINGAuditoria verificável, nunca uma certificação