Microsoft Purview : une plateforme unifiée pour la donnée
Microsoft Purview rassemble sous un même plan de contrôle la sécurité de la donnée, la conformité réglementaire et la gouvernance du patrimoine informationnel. L'objectif affiché : couvrir la donnée où qu'elle réside, qu'elle soit stockée on-premises, dans un environnement multi-cloud, dans des applications SaaS tierces ou nativement dans Microsoft 365.
Cette approche répond à un problème concret pour les équipes IT et sécurité : la fragmentation des outils de conformité et de protection multiplie les angles morts. Purview propose un référentiel commun plutôt qu'une collection d'outils disjoints. Voici comment s'organise cette plateforme, ses flux techniques, ses implications de licence et les points de vigilance à connaître avant tout déploiement.
Les trois piliers fonctionnels de Purview
L'architecture de Purview repose sur trois colonnes fonctionnelles complémentaires. Elles correspondent à trois questions distinctes : que dois-je protéger, que dois-je prouver, et que dois-je comprendre de mon patrimoine de données.
Data Security : protéger l'information sensible
Ce premier pilier regroupe les capacités de protection active :
- Data Loss Prevention (DLP) sur Windows, macOS, périphériques USB, réseau et cloud
- Microsoft Defender for Cloud Apps, le CASB (Cloud Access Security Broker) de la suite
- Protection de l'information via étiquetage de sensibilité et chiffrement
- Insider Risk Management pour détecter les comportements à risque en interne
- Adaptive Protection, qui ajuste dynamiquement les politiques selon le niveau de risque d'un utilisateur
- Data Security Posture Management (DSPM), pour évaluer en continu l'exposition des données sensibles
Data Compliance : prouver la conformité
Ce deuxième pilier structure la capacité de l'organisation à démontrer sa conformité :
- eDiscovery en versions Standard et Premium, pour les investigations et litiges
- Records Management, la gestion des enregistrements réglementaires
- Gestion du cycle de vie des données (rétention, suppression, archivage)
- Communication Compliance, pour surveiller les échanges internes et externes
- Compliance Manager, qui centralise les évaluations réglementaires et les scores de conformité
- Privileged Access Management, pour encadrer les accès à privilèges élevés
Data Governance : cartographier le patrimoine de données
Le troisième pilier adresse une question préalable à toute politique de sécurité : où sont réellement les données sensibles. Il repose sur le Data Map, le Data Catalog unifié, l'estimation du domaine de données, les glossaires métier et les moteurs de classification automatique.
Bon à savoir
Architecture technique et flux opérationnels
Côté architecture, Purview s'appuie sur des connecteurs vers les sources de données Microsoft 365, les environnements on-premises, le multi-cloud (Azure, AWS, Box notamment) et les bases de données métier. Deux flux méritent une attention particulière lors d'un déploiement :
- Le flux DLP Endpoint : il s'articule avec Microsoft Defender for Endpoint et le moteur de politiques central. Les événements détectés sur le poste (copie vers USB, impression, upload cloud) transitent vers le moteur de règles avant application de l'action (blocage, avertissement, audit seul).
- Le workflow DLP classique : création ou import des étiquettes de sensibilité, configuration des paramètres d'étiquetage, publication des politiques, puis application effective de la protection sur les contenus concernés.
- Le flux CASB (Defender for Cloud Apps) : découverte des applications cloud utilisées (shadow IT), application de politiques d'accès conditionnel, puis génération d'alertes en cas de comportement anormal.
Ces flux ne sont pas indépendants : une étiquette de sensibilité mal configurée en amont dégrade la précision des alertes CASB et des règles DLP en aval. Un audit des règles existantes avant migration ou extension du périmètre reste indispensable.
Licences Microsoft 365 E3 et E5 : quel périmètre pour quel coût
Le choix de licence conditionne directement le périmètre fonctionnel disponible. En pratique, la majorité des capacités avancées de sécurité et de conformité de Purview sont réservées à Microsoft 365 E5, tandis que Microsoft 365 E3 couvre un socle plus restreint.
| Pilier | Capacités clés | Positionnement licence |
|---|---|---|
| Data Security | DLP endpoint et cloud, Defender for Cloud Apps (CASB), étiquetage et chiffrement, Insider Risk Management, Adaptive Protection, DSPM | Essentiellement Microsoft 365 E5 |
| Data Compliance | eDiscovery Standard et Premium, Records Management, cycle de vie, Communication Compliance, Compliance Manager, Privileged Access Management | eDiscovery Standard en E3, le reste majoritairement en E5 |
| Data Governance | Data Map, Data Catalog unifié, glossaires métier, classification, estimation du domaine de données | Add-on Microsoft Purview facturé selon la capacité de traitement |
Attention
Pour les organisations déjà sous Microsoft 365 E3, l'activation de DLP avancé, d'Insider Risk Management ou de Communication Compliance nécessite soit un passage à E5, soit l'achat d'add-ons de conformité E5 à la carte.
IA générative, Copilot et protection des données
L'intégration de l'intelligence artificielle change la donne pour la gouvernance. Purview intègre désormais une brique dédiée à la protection des données pour l'IA et les agents, dont l'enjeu est double :
- Garantir que Microsoft 365 Copilot et les agents génératifs respectent les étiquettes de sensibilité déjà posées sur les contenus
- Empêcher qu'une réponse générée n'expose des informations auxquelles l'utilisateur final n'a normalement pas accès (respect des permissions sous-jacentes)
Ce point est critique : un déploiement Copilot sans classification préalable des contenus sensibles revient à ouvrir une porte d'accès non maîtrisée à des données protégées. La classification et l'étiquetage ne sont donc plus de simples exercices de conformité, mais un prérequis technique à tout déploiement d'IA générative sécurisé.
Feuille de route de déploiement et bonnes pratiques
Le cycle de vie de la gouvernance, tel que représenté dans l'architecture Purview, suit une logique circulaire autour de la donnée : découverte, classification, étiquetage, protection, surveillance, audit. Ce cycle se répète en continu, pas en une seule passe.
Pour un déploiement par phases, l'ordre suivant limite les faux positifs et les blocages utilisateurs :
- Cartographier le patrimoine via le Data Map avant toute politique de protection
- Déployer les étiquettes de sensibilité en mode audit seul, sans blocage
- Activer les politiques DLP en mode simulation, puis analyser les rapports
- Basculer progressivement en mode application (blocage effectif)
- Étendre vers Insider Risk Management et Adaptive Protection une fois le socle DLP stabilisé
Astuce
Pour approfondir la configuration technique, la documentation officielle reste la référence à jour : vue d'ensemble de Microsoft Purview et principes de la DLP sur Microsoft Learn.
Points clés à retenir
- Purview structure la gouvernance autour de trois piliers complémentaires : Data Security, Data Compliance, Data Governance
- La gouvernance (cartographie, classification) doit précéder l'activation des politiques de sécurité pour éviter les faux positifs
- La majorité des capacités avancées restent réservées à Microsoft 365 E5, avec un socle plus limité en E3
- Le Data Map et le Data Catalog relèvent souvent d'une facturation à la capacité, distincte de l'abonnement E3/E5
- L'usage de Copilot et des agents IA impose une classification préalable des contenus pour éviter toute exposition de données sensibles
- Un déploiement progressif (audit avant blocage) limite les frictions utilisateurs et les incidents de faux positifs
Avant d'étendre le périmètre Purview à l'ensemble de l'organisation, un audit des licences en place et des politiques DLP existantes reste l'étape la plus rentable pour éviter les mauvaises surprises de coût comme de couverture.
