Microsoft Purview DLP : matrice de licences Business Premium, Purview Suite et E5

Choisir la bonne licence pour Microsoft Purview DLP n'est pas une décision anodine : un mauvais calibrage expose l'organisation à des angles morts de protection, tandis qu'un sur-licensing grève inutilement le budget. Cet article décortique la matrice officielle de licences Purview DLP — dix-sept capacités, cinq familles fonctionnelles, trois offres principales — pour aider les administrateurs et architectes sécurité à trancher en connaissance de cause.

Les trois offres au cœur de la comparaison

Microsoft Purview DLP se décline selon trois niveaux d'accès fonctionnel qui déterminent ce que vous pouvez appliquer en production :

• Business Premium : socle pour les PME, couvre le DLP dans les charges de travail Microsoft 365 de base.
• Business Premium + Purview Suite : extension par add-on qui déverrouille les capacités avancées sans exiger un basculement complet vers E5.
• Microsoft 365 E5 (ou Microsoft 365 E5 Compliance) : offre la couverture la plus complète, intégrée nativement dans le plan.

Cinq familles fonctionnelles, des écarts significatifs

La matrice organise les capacités DLP en cinq catégories. Voici ce que chaque niveau couvre réellement.

Core DLP : le dénominateur commun

Les deux fondamentaux — Exchange DLP et SharePoint & OneDrive DLP — sont inclus dans les trois offres. C'est le plancher minimal pour toute organisation Microsoft 365.

En revanche, le DLP pour Teams Chat & Channel n'est disponible qu'avec Purview Suite ou E5. Pour les organisations qui utilisent Teams comme canal principal de communication interne, ce gap est critique : sans cette capacité, les utilisateurs peuvent exfiltrer des données sensibles via un message Teams sans qu'aucune politique ne s'applique.

Endpoint & Web : l'écart le plus structurant

Endpoint DLP — qui surveille les actions sur les postes de travail (copie vers USB, impression, upload vers des services cloud tiers) — est totalement absent de Business Premium. C'est souvent le premier argument qui pousse les organisations à passer à Purview Suite.

Les capacités Edge DLP sur les applications cloud non managées et Network Data Security adoptent un modèle PAYG (Pay-As-You-Go) : elles ne sont pas comprises dans un forfait, même en E5, mais facturées à l'usage. Ce point est régulièrement source de surprise budgétaire lors des projets de déploiement.

Copilot DLP : le nouveau front de protection

L'émergence de Microsoft 365 Copilot dans les environnements d'entreprise crée un vecteur d'exposition inédit : un utilisateur peut interroger Copilot sur des données sensibles, et l'IA peut restituer des informations confidentielles dans sa réponse — sans que les politiques DLP classiques ne s'en aperçoivent.

La matrice identifie deux capacités spécifiques :

1. Protection des invites (prompts) sensibles : détecte et bloque les prompts contenant des données sensibles avant qu'ils ne soient traités. Disponible avec Purview Suite ou E5, mais requiert un accès à Microsoft 365 Copilot ou Copilot Chat (mention explicite d'astérisque dans la matrice).
2. Blocage du traitement par Copilot des fichiers et e-mails étiquetés : empêche Copilot de traiter des contenus portant des étiquettes de confidentialité (sensitivity labels). Disponible uniquement avec Purview Suite ou E5.

Ces deux contrôles sont complémentaires : l'un agit sur l'entrée (le prompt), l'autre sur les sources de données que Copilot peut consulter. Pour les organisations qui déploient Copilot à grande échelle, les activer en parallèle avec une politique d'étiquetage cohérente est la posture recommandée.

Detection : des classificateurs réservés aux niveaux supérieurs

La famille Detection regroupe les capacités d'identification avancée des données sensibles :

• Classificateurs entraînables (Trainable Classifiers) : modèles ML personnalisés capables de reconnaître des catégories de contenu métier spécifiques (contrats, données RH, propriété intellectuelle). Réservés à Purview Suite et E5.
• Exact Data Match (EDM) : correspondance exacte avec un référentiel de données structurées (par exemple, une liste de numéros de sécurité sociale). Réservé à Purview Suite et E5.
• Types d'informations sensibles (SIT) avancés : la matrice précise un statut « Standard only / limited » en Business Premium. Les familles SIT avancées — détection d'identifiants de connexion, scan de credentials, named entities complexes — exigent E5.

Management & Insights : visibilité et alerting

La gouvernance DLP ne se limite pas à bloquer des actions : elle exige une capacité d'investigation et de reporting.

• Activity Explorer et Content Explorer : disponibles à des degrés variables, mais leur pleine puissance (historique étendu, filtrage avancé) nécessite Purview Suite ou E5.
• Alertes DLP agrégées avancées : Business Premium se limite aux alertes de base, restreintes aux charges de travail effectivement licenciées. Les alertes agrégées et corrélées — essentielles pour détecter des patterns d'exfiltration — sont réservées aux offres supérieures.
• DLP Analytics : indisponible en Business Premium.

Mise en œuvre : vérifier la couverture DLP de votre tenant

Avant de décider d'un changement de licence, il est utile d'auditer l'état réel des politiques DLP actives dans votre tenant et les charges de travail qu'elles couvrent.

Module requis : ExchangeOnlineManagement (version 3.x minimum) Permission minimale : rôle Compliance Administrator ou Security Administrator dans Microsoft 365 Installation :

1Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser -Force

Le script suivant liste toutes les politiques DLP actives, leurs charges de travail cibles et leur mode d'application (TestWithNotifications, TestWithoutNotifications, Enable) :

1# Connexion au Security & Compliance Center
2# Requiert le rôle Compliance Administrator ou Security Administrator
3Connect-IPPSSession -UserPrincipalName admin@contoso.com
4 
5# Récupération de toutes les politiques DLP avec leurs propriétés clés
6$dlpPolicies = Get-DlpCompliancePolicy -ErrorAction Stop
7 
8if ($dlpPolicies.Count -eq 0) {
9    Write-Warning "Aucune politique DLP trouvée dans ce tenant."
10    return
11}
12 
13# Construction du rapport
14$report = foreach ($policy in $dlpPolicies) {
15 
16    # Récupération des règles associées à chaque politique
17    $rules = Get-DlpComplianceRule -Policy $policy.Name -ErrorAction SilentlyContinue
18 
19    [PSCustomObject]@{
20        NomPolitique      = $policy.Name
21        Etat              = $policy.Mode          # Enable / TestWithNotifications / TestWithoutNotifications
22        Activee           = $policy.Enabled
23        # Charges de travail couvertes
24        Exchange          = $policy.ExchangeLocation.Count -gt 0
25        SharePoint        = $policy.SharePointLocation.Count -gt 0
26        OneDrive          = $policy.OneDriveLocation.Count -gt 0
27        Teams             = $policy.TeamsLocation.Count -gt 0
28        Endpoint          = $policy.OnPremisesScannerDlpLocation.Count -gt 0
29        # Nombre de règles et SIT utilisés
30        NombreRegles      = $rules.Count
31        SITUtilises       = ($rules | ForEach-Object { $_.ContentContainsSensitiveInformation.Name } | Sort-Object -Unique) -join "; "
32    }
33}
34 
35# Affichage formaté dans la console
36$report | Format-Table -AutoSize
37 
38# Export CSV pour archivage ou analyse
39$exportPath = "$env:USERPROFILE\Desktop\DLP_Audit_$(Get-Date -Format 'yyyyMMdd_HHmm').csv"
40$report | Export-Csv -Path $exportPath -NoTypeInformation -Encoding UTF8
41Write-Host "Rapport exporté : $exportPath" -ForegroundColor Green

Valeur de retour attendue : un tableau listant chaque politique avec ses charges de travail actives (valeur True/False), son mode et les types d'informations sensibles utilisés. Les politiques en mode TestWithNotifications ou TestWithoutNotifications ne bloquent aucune action — vérifiez qu'aucune politique critique n'est restée en mode test.

Vérifier les licences utilisateurs pour Endpoint DLP

Endpoint DLP nécessite que chaque appareil onboardé soit associé à un utilisateur disposant d'une licence Purview Suite ou E5. Le script suivant vérifie l'attribution des plans de service DLP pertinents sur vos utilisateurs :

1# Module requis : Microsoft.Graph.Users et Microsoft.Graph.Identity.SignIns
2# Installation
3Install-Module Microsoft.Graph -Scope CurrentUser -Force
4 
5# Connexion avec le scope minimum requis
6Connect-MgGraph -Scopes "User.Read.All", "Organization.Read.All"
7 
8# Plan de service correspondant à Information Protection for Office 365 - Premium (E5/Purview Suite)
9$targetServicePlan = "MIP_S_CLP2"
10 
11# Récupération de tous les utilisateurs licenciés
12$users = Get-MgUser -All -Property DisplayName, UserPrincipalName, AssignedLicenses, AssignedPlans
13 
14$licenseReport = foreach ($user in $users) {
15    $hasEndpointDLP = $user.AssignedPlans | Where-Object {
16        $_.ServicePlanId -eq $targetServicePlan -and $_.CapabilityStatus -eq "Enabled"
17    }
18 
19    [PSCustomObject]@{
20        Utilisateur        = $user.DisplayName
21        UPN                = $user.UserPrincipalName
22        EndpointDLP_Active = [bool]$hasEndpointDLP
23    }
24}
25 
26# Affichage du résumé
27$licensed   = ($licenseReport | Where-Object { $_.EndpointDLP_Active }).Count
28$unlicensed = ($licenseReport | Where-Object { -not $_.EndpointDLP_Active }).Count
29Write-Host "Utilisateurs avec Endpoint DLP : $licensed" -ForegroundColor Green
30Write-Host "Utilisateurs sans Endpoint DLP  : $unlicensed" -ForegroundColor Yellow
31 
32$licenseReport | Where-Object { -not $_.EndpointDLP_Active } |
33    Export-Csv -Path "$env:USERPROFILE\Desktop\UsersWithoutEndpointDLP.csv" -NoTypeInformation -Encoding UTF8

Dépannage des erreurs courantes

Arbitrage : quelle offre pour quel profil d'organisation ?

Points clés à retenir

• Business Premium couvre Exchange, SharePoint et OneDrive DLP — suffisant pour une protection de base, insuffisant dès que Teams ou les endpoints entrent en jeu.
• Endpoint DLP et Teams DLP sont les deux capacités qui motivent le plus souvent le passage à Purview Suite ou E5.
• Les capacités Edge DLP et Network Data Security sont en PAYG même en E5 — intégrez ce coût dans vos estimations budgétaires.
• Copilot DLP (protection des prompts + blocage sur contenus étiquetés) exige Purview Suite ou E5 et une licence Microsoft 365 Copilot active.
• Les alertes DLP en Business Premium sont restreintes aux charges de travail licenciées de l'utilisateur source — un angle mort à documenter dans votre analyse de risque.
• Avant toute décision de licence, auditez vos politiques existantes avec Get-DlpCompliancePolicy : vous éviterez de payer pour des capacités déjà partiellement couvertes ou non encore déployées.

Si votre organisation s'apprête à déployer Microsoft 365 Copilot ou à étendre le travail hybride sur des postes non managés, le passage à Purview Suite représente le point d'entrée le plus rationnel — E5 n'étant justifié que si vous avez simultanément besoin de l'ensemble des capacités de conformité Microsoft (eDiscovery Premium, Insider Risk Management, Communication Compliance).