Selon Concentric AI, 16 % des données critiques d’une entreprise seraient en situation de sur-partage, ce qui représenterait en moyenne 802 000 fichiers à risque par organisation (1). Ce chiffre est repris dans une analyse de Concentric AI consacrée aux risques de Microsoft Copilot, qui renvoie à son Data Risk Report(2). 

Ce phénomène de sur-partage (oversharing), ne résulte pas d’une négligence isolée, mais d’une accumulation progressive de décisions de partage prises dans l’urgence, de droits hérités d’anciennes structures organisationnelles et de sites SharePoint dont le propriétaire a quitté l’entreprise.

EPC Group, cabinet de conseil spécialisé dans les solutions Microsoft, a mené des audits sur plus de 700 environnements Microsoft 365 qui révèlent des lacunes de préparation à Copilot dans 80 % des cas (3). Ces lacunes portent notamment sur les permissions, les labels de sensibilité, la DLP (Data Loss Prevention, soit “prévention contre la perte de données” en français) et la gouvernance des accès.

Tant que la consultation documentaire dépend d’une recherche manuelle ou d’une navigation dans une arborescence de dossiers, un droit d’accès mal calibré reste rarement exploité dans les faits. 

Copilot modifie cet équilibre, car il se base sur les permissions existantes sans en évaluer la pertinence.

Le cabinet Gartner qualifie cette dynamique de risque de sur-exposition (4) et souligne que l’intelligence artificielle rend visibles et exploitables, à l’échelle du système d’information tout entier, des erreurs de permission jusque-là restées silencieuses.

Si un salarié dispose techniquement d’un accès à un dossier de ressources humaines mal cloisonné, une requête anodine adressée à Copilot peut ainsi restituer des informations salariales sans intention malveillante de sa part. Microsoft reconnaît explicitement cette mécanique et précise que Copilot suit les mêmes liens et documents qu’un utilisateur connecté peut consulter, ce qui expose les volumes importants de contenus sur-partagés présents dans de nombreux environnements.

Microsoft propose un ensemble d’outils intégrés à Microsoft Purview et à SharePoint Advanced Management, permettant d’identifier les fichiers présentant un risque de sur-exposition, de restreindre la découverte de contenus par Copilot et de rectifier les héritages de droits d’accès défaillants.

Ces dispositifs corrigent la question du “qui peut accéder à quoi”, mais ils reposent sur une exécution rigoureuse et continue de la classification documentaire, un défi difficile à tenir à l’échelle de plusieurs milliers de sites. 

Derrière cette limite se joue un enjeu distinct, celui de la protection du document lui-même, indépendamment du dispositif de permission qui l’entoure. 

Sur ce registre précis, PRIM’X propose plusieurs solutions dédiées à la protection des environnements Microsoft 365, notamment ORIZON pour la sécurisation globale de la suite et ZONEPOINT pour le chiffrement des bibliothèques SharePoint. ZONECENTRAL complète cette approche pour les environnements dans lesquels des données sensibles circulent ou demeurent stockées dans des partages réseau, parfois avec des droits insuffisamment maîtrisés. 

PRIM’X s’appuie également sur une démarche de certification : plusieurs de ses solutions ont fait l’objet d’évaluations indépendantes et bénéficient de certifications ou de qualifications de l’ANSSI. Ces contrôles apportent des garanties vérifiées sur leur niveau de sécurité.

Cette approche par le chiffrement ne se substitue pas aux outils de gouvernance proposés par Microsoft. Elle les complète en ajoutant une couche de protection supplémentaire, qui présente l’intérêt de subsister même en cas d’erreur de configuration des permissions ou de retard dans l’audit des accès hérités.

Les dispositifs de gouvernance des accès et de chiffrement corrigent la surface d’exposition technique, mais ils ne suppriment pas le facteur humain. 

Un utilisateur disposant d’un accès légitime à un document sensible peut malgré tout en faire une utilisation inappropriée, par exemple en relayant à des tiers non autorisés une synthèse produite par l’assistant. 

La sensibilisation des collaborateurs aux nouveaux usages de l’intelligence artificielle constitue ainsi un complément nécessaire aux mesures techniques, sans quoi la réduction du risque reste incomplète.

Avec Microsoft 365 Copilot, les entreprises doivent renforcer la sécurité documentaire en combinant gouvernance des accès, classification des contenus et protection des fichiers. Elles doivent identifier les documents sensibles, corriger les droits trop ouverts et sécuriser les données lorsqu’elles circulent hors de leur espace d’origine. Pour approfondir ces enjeux, PRIM’X détaille les approches permettant de sécuriser les fichiers stockés et partagés dans Microsoft 365.

Sources :