Microsoft 365 / Quand utiliser les stratégies de rétention et la prévention de la perte de données (DLP)

Les stratégies de rétention de Microsoft 365 définissent la durée de conservation du contenu et sa suppression, tandis que les stratégies de prévention de la perte de données (Data Loss Prevention, DLP) détectent et limitent le partage ou la transmission inappropriés d’informations sensibles. Ces protections répondent à des questions différentes : combien de temps conserver le contenu, et où peut-il être partagé ou envoyé ?

Différences entre la rétention et la DLP

Consultez le guide de Microsoft sur les stratégies et étiquettes de rétention pour les exigences du cycle de vie du contenu, et la présentation de la prévention de la perte de données pour les contrôles des informations sensibles. Les emplacements et conditions pris en charge dépendent de la licence et du type de stratégie.

Par exemple, si vous souhaitez conserver des documents contractuels pendant une période définie par votre organisation tout en empêchant leur partage à l'extérieur, il peut être nécessaire d'utiliser à la fois la conservation et la DLP. L'application de la conservation seule ne prévient pas la transmission externe, et l'application de la DLP seule ne garantit pas que les documents supprimés par les utilisateurs seront conservés pendant la période requise.

Quand une politique de conservation est-elle nécessaire ?

Une stratégie de rétention est utile lorsque les documents contractuels ou les dossiers de travail doivent être conservés pendant une période spécifiée, ou lorsque des données inutiles doivent être supprimées après un certain temps. Tout d'abord, déterminez l'objectif de la conservation, l'endroit où elle sera appliquée (Exchange, SharePoint, OneDrive, etc.), le moment de début, les exceptions et les exigences légales en matière de conservation. Lorsqu'une politique de conservation est activée, la manière dont les copies internes de conservation sont gérées peut différer même si les utilisateurs suppriment des fichiers de leur vue. Il ne faut pas la comprendre simplement comme une « fonction d'utilisation prolongée de la corbeille ».

Pour appliquer une période commune sur l’ensemble d’un site, utilisez une stratégie de rétention ; si la période ou la classification diffère pour chaque document, examinez les étiquettes de rétention au niveau des éléments. Les étiquettes ne sont pas simplement des noms d’affichage, mais des paramètres qui se connectent aux actions de rétention. Le fait qu’un document ait une étiquette de confidentialité ne signifie pas qu’une étiquette de rétention soit également appliquée.

La rétention est différente d’une sauvegarde opérationnelle. Une copie conservée ne fournit pas une restauration immédiate à un instant précis de la structure de dossiers de l’utilisateur. Consultez comment fonctionne la rétention dans SharePoint et OneDrive. Leur bibliothèque de conservation (Preservation Hold) est un emplacement système caché pour le contenu conservé, et non un dossier ordinaire à modifier ou à nettoyer manuellement. Cette bibliothèque est comptabilisée dans le quota de stockage du site, il est donc important de planifier à la fois la durée de rétention et la capacité de stockage.

Quand la DLP est-elle nécessaire ?

La DLP est utile lorsque vous souhaitez réduire le risque que des informations sensibles telles que les numéros d'identification nationaux, les informations de paiement et les données internes confidentielles quittent l'organisation par e-mail ou partage de fichiers. Vous devez tester si les conditions de détection distinguent correctement les données réelles. Des conditions trop larges peuvent bloquer les activités normales, tandis que des conditions trop restreintes peuvent laisser passer des fuites importantes. Vous devez concevoir des conseils de stratégie, des alertes et des procédures d'approbation d'exceptions pour l'exploitation.

Décidez de ce dont vous avez besoin avant le déploiement

1. Vérifiez les données à protéger ainsi que les lois et contrats applicables. Les périodes de conservation légales ne sont pas définies arbitrairement dans ce document.
2. Déterminez si la question à résoudre concerne la conservation ou la DLP. Si les deux sont nécessaires, examinez leurs interactions.
3. Vérifiez les licences disponibles et les emplacements actuellement pris en charge par Microsoft Purview.
4. Vérifiez les résultats de la politique et les faux positifs sur un petit nombre d’utilisateurs ou dans un périmètre test, et obtenez des retours du personnel des affaires, de la sécurité et du juridique.
5. Préparez les journaux de modifications, les notifications, les exceptions et les procédures de restauration avant le déploiement complet.

Configurez un pilote de conservation

Dans Microsoft Purview, ouvrez Solutions → Gestion du cycle de vie des données → Stratégies → Stratégies de rétention, puis sélectionnez Nouvelle stratégie de rétention. Vérifiez les licences des utilisateurs concernés et les autorisations de l’administrateur, notamment le rôle Retention Management présenté dans le guide de configuration de la gestion du cycle de vie des données de Microsoft. Vérifiez le périmètre administratif des emplacements choisis. Utilisez un emplacement de test dédié sans données de production importantes ; ne testez pas la suppression sur des documents professionnels réels.

1. Documentez l’objectif de la conservation, le type de données, la période de conservation, le raisonnement et les personnes responsables. La période doit utiliser les normes organisationnelles confirmées par le personnel commercial et juridique.
2. Choisissez Statique pour une liste fixe d’emplacements ou Adaptatif pour une sélection fondée sur des attributs. Les étendues adaptatives doivent déjà exister et respecter les exigences de fonctionnalités et de licences. Choisissez selon les étendues préparées et les besoins du pilote ; ne sélectionnez pas Adaptatif simplement parce que cette option est proposée.
3. Déterminez les emplacements de stockage réels tels qu'Exchange, SharePoint, OneDrive et les groupes Microsoft 365, et incluez uniquement les cibles de test nécessaires. Vérifiez toujours si la valeur par défaut est définie sur toutes les cibles.
4. Choisissez le comportement conserver uniquement, supprimer uniquement ou conserver puis supprimer et la règle de début de période applicable. Pour les fichiers SharePoint et OneDrive, vérifiez si l'âge est mesuré à partir de la création ou de la dernière modification ; il n'est pas nécessairement mesuré à partir du jour où vous créez la politique. Les fichiers existants peuvent déjà être plus anciens que la période configurée. Confirmez soigneusement l'action de fin si votre objectif est la conservation continue plutôt que la suppression permanente.
5. Examinez les emplacements, les destinataires ou sites inclus, la durée, la règle de début et l'action de fin, puis confirmez uniquement les paramètres approuvés. Vérifiez la configuration enregistrée et l'état de déploiement avant d'évaluer les données de test. Enregistrez le résultat attendu ainsi que les heures réelles de déploiement et d'observation.

Les messages Teams et les fichiers des canaux sont stockés à des emplacements différents. Une stratégie de rétention des messages ne conserve pas automatiquement tous les fichiers SharePoint ou OneDrive associés. Si plusieurs stratégies ou étiquettes s’appliquent, ne supposez pas que la plus récente détermine seule le résultat. Consultez les exigences relatives aux emplacements et les principes de rétention présentés dans le guide de Microsoft pour créer des stratégies de rétention. La simulation DLP ne simule ni la rétention ni la suppression : testez la rétention séparément avec du contenu isolé et les conditions de déploiement correspondantes.

Comment tester la DLP à petite échelle

Considérez ce besoin hypothétique : détecter le partage externe de documents de test sensibles, puis bloquer l’accès externe après validation. Utilisez des données synthétiques approuvées plutôt que de véritables informations personnelles. Vérifiez les autorisations nécessaires dans la référence des autorisations et paramètres des stratégies DLP de Microsoft ; les autorisations de gestion de la rétention ne donnent pas, à elles seules, accès à la gestion DLP. Une étiquette de confidentialité utilisée comme condition doit déjà être créée, publiée et appliquée au fichier de test.

1. Ouvrez Protection contre la perte de données → Stratégies → Créer une stratégie → Applications d’entreprise & appareils. Pour ce scénario SharePoint et OneDrive, sélectionnez Personnalisé dans les listes Catégories et Réglementations, puis nommez et décrivez la stratégie. Maintenez l’application effective des règles de ce pilote désactivée pendant sa configuration.
2. Incluez uniquement les sites SharePoint pilotes et les comptes OneDrive et exclure les emplacements et destinataires non pertinents. Dans Définir les paramètres de stratégie, choisissez Créer ou personnaliser des règles DLP avancées, puis sélectionnez Créer une règle. Définissez le type d’informations sensibles prévu ou l’étiquette de confidentialité préparée et exigez également le partage externe. Dans l’exemple basé sur les étiquettes, combinez Le contenu contient l’étiquette sélectionnée avec Le contenu est partagé à partir de Microsoft 365 → avec des personnes en dehors de mon organisation ; vérifiez que les deux conditions doivent être satisfaites.
3. Pour cet exemple, configurez Restreindre l'accès ou chiffrer le contenu dans les emplacements Microsoft 365 → Bloquer uniquement les personnes extérieures à votre organisation. Décidez séparément des conseils de stratégie et des alertes administratives. Laissez Remplacements d’utilisateur désactivés afin que les utilisateurs ne puissent pas contourner le blocage de l’accès externe de ce pilote. Une simple notification n’est pas un blocage.
4. Sur Mode stratégie, sélectionnez Exécuter la stratégie en mode simulation. Choisissez si vous souhaitez activer Afficher les conseils de stratégie en mode simulation, puis sélectionnez Suivant → Envoyer. La simulation n’applique pas les blocages configurés.
5. Vérifiez les fichiers de test qui répondent aux conditions et ceux qui ne le font pas, en les divisant en cas de partage interne et externe. Après avoir examiné les correspondances, les notifications, les faux positifs et les impacts réels sur l'entreprise, passez en mode d'application dans le cadre approuvé.

Le résultat attendu est la détection du partage externe du document de test sensible, sans restriction inutile des documents qui ne correspondent pas aux conditions. La simulation ne prouve pas que l’accès est bloqué. Après activation des règles du pilote approuvé, vérifiez que le compte externe de test ne peut plus accéder au document et que le compte interne conserve l’accès prévu. Le compte externe doit disposer par ailleurs d’une autorisation de partage valide pour distinguer un blocage DLP d’une absence de permission. Comparez les résultats à l’exemple de configuration DLP pour SharePoint et OneDrive de Microsoft ; le nombre d’alertes ne suffit pas à démontrer la réussite du test.

Modifiez ou revenez aux paramètres avec précaution

Si les résultats du test DLP diffèrent, commencez par vérifier la cible, la classification réelle du fichier, les conditions et le mode. Si la rétention diffère des attentes, examinez d'autres politiques de rétention, étiquettes, obligations de conservation liées à eDiscovery ou à une procédure juridique, et le statut de déploiement. Au lieu de simplement supprimer la politique pour masquer le problème, enregistrez les paramètres qui l'ont causé et modifiez-les dans le périmètre nécessaire.

Supprimer une stratégie ne restaure pas le contenu définitivement supprimé et ne garantit pas le rétablissement immédiat d’un accès bloqué. D’autres stratégies, obligations de conservation, autorisations de partage et délais de déploiement peuvent encore déterminer le résultat. Conservez la configuration précédente, le périmètre du pilote et les observations avant toute modification. Ne raccourcissez pas les durées de rétention obligatoires et ne levez pas les conservations imposées par eDiscovery ou une procédure juridique sans décision approuvée par l’organisation et sans plan de récupération.