[Vidéo] Comprendre les étiquettes de confidentialité Microsoft Purview : Q&R avec le MVP Jasper Oosterveld

La sécurité est sur toutes les lèvres et l'IA s'ajoute à l'équation. Résultat : il devient plus difficile d'empêcher les informations sensibles d'apparaître dans les réponses de Copilot, dans les boîtes de réception des invités ou entre de mauvaises mains. Le MVP Microsoft Jasper Oosterveld répond à vos questions les plus pressantes sur les étiquettes de confidentialité dans Microsoft Purview et sur la façon de les utiliser pour sécuriser votre environnement M365.

Vous avez probablement déjà tout entendu sur la sécurisation de Microsoft 365 : activez ceci. Configurez cela. Appliquez des étiquettes ici — ah oui, et rendez le tout sécuritaire pour Copilot.

‍Mais comment faire tout ça concrètement, sans rien casser ni se noyer dans la complexité ?

Nous avons fait équipe avec Jasper Oosterveld, MVP Microsoft et consultant en sécurité des données, pour animer un webinaire sur comment transformer les étiquettes de confidentialité dans Microsoft 365 en l'un de vos meilleurs atouts pour la sécurité, la conformité et la préparation à Copilot.

Pendant le webinaire, notre audience nous a posé beaucoup de questions sur la gestion des étiquettes de confidentialité dans des scénarios réels : comment gérer les collaborateurs internes et externes, quoi faire quand des outils d'IA générative comme Copilot entrent en jeu, et comment éviter que les étiquettes nuisent à la productivité tout en protégeant les données sensibles.

Voici les conseils de Jasper !

Q : Que sont les étiquettes de confidentialité Microsoft Purview et pourquoi les organisations devraient-elles les utiliser ?

R : Vous pouvez utiliser les étiquettes de confidentialité Microsoft Purview pour plusieurs cas d'usage.

D'un côté, elles vous aident à classifier et à protéger les données dans Microsoft 365 : e-mails, documents Office et même PDF. Quand vous appliquez une classification, vous pouvez aussi imposer une protection par chiffrement. Ça empêche les accès non autorisés à vos données.

De l'autre, les étiquettes de confidentialité servent à classifier les sites et les équipes. Ça appuie vos efforts de gouvernance en imposant des paramètres comme l'accès externe ou les restrictions de partage.

Et enfin, les étiquettes de confidentialité peuvent aussi s'appliquer aux réunions. Ça vous permet d'imposer des paramètres précis, comme l'enregistrement automatique ou l'interdiction de copier des informations sensibles depuis la conversation de réunion.

Q : Comment applique-t-on les étiquettes de confidentialité — manuellement, automatiquement ou les deux — et quels facteurs déterminent la bonne approche ?

R : Vous pouvez appliquer une étiquette manuellement à un e-mail, à un document ou même à un PDF. C'est très simple. L'inconvénient — ou plutôt le défi — c'est que tout le monde ne sait pas toujours quelle étiquette appliquer dans quelle situation.

Si vous manipulez des informations sensibles au quotidien, vous savez probablement qu'il faut appliquer une étiquette précise qui impose une protection.

Mais d'autres employés ne le remarqueront pas toujours. C'est là que l'étiquetage automatique aide vraiment. Vous pouvez détecter des informations sensibles — un numéro de passeport, des données médicales ou d'autres informations propres à votre organisation — puis appliquer une étiquette automatiquement ou en recommander une.

Ça facilite la vie de vos employés et augmente les chances de succès de votre déploiement d'étiquettes de confidentialité.

Comment les étiquettes de confidentialité aident-elles les organisations à protéger leurs données dans un monde de collaboration hybride et d'outils d'IA générative ?

R : Les étiquettes de confidentialité sont extrêmement puissantes dans ces scénarios parce que, quand vous appliquez une protection par chiffrement à un e-mail ou à un document, cette protection reste attachée au fichier. Même si le fichier quitte votre environnement Microsoft 365, le chiffrement et la protection s'appliquent toujours.

Du côté des outils d'IA, vous pouvez par exemple utiliser la protection contre la perte de données (DLP) de point de terminaison pour empêcher le copier-coller d'informations sensibles dans des outils comme ChatGPT ou d'autres outils d'IA générative externes.

Il existe aussi une fonctionnalité en préversion dans DLP qui vous permet d'empêcher Copilot de traiter les informations portant une étiquette de confidentialité précise. Ça ne veut pas dire que le document est caché : ça garantit simplement que le contenu étiqueté n'est pas utilisé dans les réponses aux invites. C'est très utile. Gardez seulement en tête qu'au moment de cet enregistrement, la fonctionnalité est encore en préversion. Testez-la donc avec quelques documents ou quelques utilisateurs avant de la déployer à toute l'organisation. Attendez que Microsoft la rende généralement disponible.

Q : Quelle est la première étape pour une organisation qui démarre avec Microsoft Purview et les étiquettes de confidentialité ?

R : Tout commence par la politique. Un élément clé de cette politique, c'est de définir vos règles de classification et de protection.

Par exemple, vous voudrez peut-être étiqueter des documents ou des e-mails comme « Public », « Interne », « Secret » ou « Très secret ». C'est la première étape : définir vos classifications. Ensuite, associez des paramètres de protection à ces étiquettes. Ainsi, si un élément est classé « Très secret », vous pouvez restreindre automatiquement l'accès pour que seules les personnes de votre organisation puissent le consulter.

La deuxième étape, c'est de définir ce qui compte comme information sensible dans votre organisation. Vous traitez peut-être des dossiers médicaux. Dans ce cas, ces dossiers sont vos informations sensibles, et vous devrez décider quelle classification s'y applique. À partir de là, vous pouvez appliquer automatiquement une étiquette de confidentialité dès que cette information est détectée.

Q : Au moment de déployer Microsoft 365 dans toute l'organisation, faut-il implanter les étiquettes de confidentialité pour chaque groupe d'utilisateurs au fil de sa migration, ou attendre la fin de la migration complète ?

R : Malheureusement, c'est une de ces réponses du type « ça dépend ». Tout dépend vraiment de votre échéancier de migration — par exemple si vous travaillez avec une date butoir — et du niveau de maturité de votre organisation en matière de conformité, de risque et de Microsoft Purview.

Dans un monde idéal, je recommanderais de définir vos politiques de classification et de protection, d'implanter les étiquettes de confidentialité, puis d'utiliser le Microsoft Purview information scanner pour analyser vos données locales à la recherche d'informations sensibles. Vous pourriez ainsi appliquer les bonnes étiquettes de confidentialité avant de migrer les données.

Si ce n'est pas possible, je recommanderais de tout migrer d'abord et d'appliquer les étiquettes ensuite. Mais l'idéal, c'est de le faire avant.

C'est donc mon conseil, mais encore une fois, il n'y a pas de recette universelle. Tout dépend de votre organisation, de votre échéancier et de votre niveau de maturité global en matière de conformité.

‍

Nouveau dans ShareGate : Simplifiez la migration des étiquettes de confidentialité dans Microsoft 365

‍

Q : Peut-on changer le nom d'une étiquette de confidentialité après l'avoir créée ? Et peut-on retirer des étiquettes déjà appliquées à des sites ou à des fichiers ?

R : Vous pouvez changer le nom, mais seulement le display name. Le field name (le nom que vous donnez la toute première fois que vous créez l'étiquette) ne peut pas être modifié pour l'instant. Ce n'est pas nécessairement un problème, mais c'est important à retenir si vous utilisez des scripts PowerShell ou du code qui fait référence à l'étiquette. Sachez simplement que le display name et le field name peuvent différer.

Vous pouvez aussi retirer une étiquette de confidentialité, mais seuls peuvent le faire :

• le propriétaire du site
• le propriétaire de l'équipe
• le propriétaire du fichier

Retirer une étiquette peut modifier les paramètres de sécurité du site, de l'équipe ou du fichier. C'est donc à surveiller.

‍Q : Comment gérer les collaborateurs internes et externes sur un même projet quand on utilise des étiquettes de confidentialité ?

R : Si vous utilisez des étiquettes de confidentialité qui bloquent l'accès aux collaborateurs externes, vous devez vous assurer que tout le monde — les membres de l'équipe de projet, par exemple — sait qu'à partir du moment où une certaine étiquette est appliquée, les collaborateurs externes n'auront plus accès.

C'est donc à communiquer clairement. Vous pouvez aussi vous faciliter un peu la vie en créant un canal privé où sont stockés les fichiers réservés à l'usage interne.

Et vous pourriez appliquer une étiquette de confidentialité par défaut à cette bibliothèque de documents SharePoint pour ajouter un niveau de protection supplémentaire aux fichiers auxquels les collaborateurs externes ne devraient pas accéder.

Q : Comment gérer les faux positifs dans la détection des étiquettes de confidentialité, surtout pour des types de données réglementées comme les adresses IP ou les informations médicales ?

R : Tout se joue dans les tests. Si les types d'informations sensibles ou les classificateurs pouvant être entraînés sont configurés pour détecter ce genre d'information, vous devez les tester avec de vraies données. La plupart du temps, il y a un bouton de test. Téléversez les données et voyez si elles sont détectées.

Si ce n'est pas le cas, vous pouvez ajuster les types d'informations sensibles. S'il s'agit d'un type fourni par Microsoft, vous devrez en créer une copie et ajuster les paramètres de détection à partir de là.

Mais au fond, c'est ça : beaucoup de tests. Et ce ne sera probablement jamais parfait à 100 %.

C'est aussi pour ça qu'il faut communiquer avec votre organisation. Assurez-vous que les employés et les collègues savent que des faux positifs peuvent survenir, et qu'il existe un processus pour les signaler quand une étiquette est appliquée automatiquement par erreur.

Q : Microsoft Purview utilise-t-il l'OCR (reconnaissance optique de caractères) pour détecter les informations sensibles dans les documents numérisés ou les fichiers image ?

R : Oui, mais pas par défaut. Vous devrez activer manuellement la fonctionnalité OCR dans le centre d'administration Microsoft Purview, et pour ça, il vous faut des permissions d'administrateur général.

Une fois l'OCR activé, vous devrez aussi connecter un abonnement Azure, parce que le traitement de ces fichiers a un coût. Ce n'est pas très cher, mais c'est bon à savoir.

Heureusement, Microsoft fournit une documentation claire qui vous guide dans toute la configuration. Si vous avez accès au menu des paramètres dans Purview, allez à la section OCR : vous y trouverez un lien direct vers le guide officiel de Microsoft qui explique comment configurer et commencer à utiliser l'OCR.

Q : Quelles politiques ou quels contrôles Purview faut-il mettre en place pour éviter que Copilot expose des informations sensibles dans les invites ou les conversations ?

R : Une des options actuellement en préversion est une politique DLP qui empêche les réponses de Copilot de traiter l'information contenue dans les documents portant une étiquette de confidentialité précise.

Vous pourriez aussi utiliser la protection contre la perte de données — et plus précisément le DLP de point de terminaison — pour empêcher les gens de copier-coller des informations sensibles.

Vous pourriez aussi utiliser la conformité des communications pour surveiller certaines invites et certaines réponses liées à des informations sensibles.

À partir de là, vous pouvez créer une réponse automatique ou manuelle destinée aux employés qui saisissent cette invite précise, soit pour les avertir qu'ils utilisent des informations sensibles, soit pour bloquer complètement l'action.

‍

‍