La Confédération appelée à renforcer la sauvegarde de ses données sur Microsoft 365
L’administration fédérale utilise Microsoft 365 sur 54'000 postes de travail. Le Contrôle fédéral des finances salue la mise en place de la plateforme dans les règles de l’art et la qualité de la gestion des changements. Il relève toutefois des améliorations nécessaires en matière de surveillance de la sécurité et de sauvegarde des données.
Le niveau de sécurité de Microsoft 365 (M365) au sein de l’administration fédérale peut encore être amélioré. C’est ce qui ressort d’un rapport d’audit du Contrôle fédéral des finances (CDF). L’organe de surveillance a examiné la manière dont la Confédération assure la sécurité des données et des informations dans M365, ainsi que sa capacité à tirer pleinement parti des fonctionnalités supplémentaires de la plateforme.
L’audit s’est déroulé entre février et avril 2026, quelques mois seulement après l’achèvement de la migration de 54'000 postes de travail de l’administration fédérale vers Microsoft 365. Lancé en octobre 2024, ce déploiement avait déjà concerné quelque 15'000 postes en février 2025.
Une plateforme bien déployée, mais des risques à surveiller
La responsabilité de M365 au sein de l’administration fédérale incombe au secteur Transformation numérique et gouvernance de l’informatique (TNI) de la Chancellerie fédérale. L’exploitation technique relève de l’Office fédéral de l’informatique et de la télécommunication (OFIT).
Le CDF souligne que l’OFIT a «mis en place la plateforme conformément aux directives d’architecture de la Chancellerie fédérale et aux bonnes pratiques de Microsoft». Il salue également la gestion des changements, notamment les processus de déploiement des mises à jour de sécurité et d’introduction de nouvelles fonctionnalités. Cette gestion s’appuie sur des équipes spécialisées chargées d’évaluer les modifications à venir, ainsi que sur un comité de pilotage réunissant des représentants de différents services. Ce dernier approuve les changements présentant les risques les plus élevés et dispose d’un droit de veto sur les autres modifications.
L’audit met néanmoins en évidence «certaines limites». Il n’est pas possible de contrôler intégralement toutes les mises à jour fonctionnelles. Microsoft peut notamment déployer certaines modifications sans les annoncer au préalable dans son Message Center. «Ces risques résiduels sont inhérents au système et devraient continuer à être surveillés dans le cadre de l’amélioration continue», observe l’organe de contrôle, sans formuler de recommandation spécifique sur ce point.
Concernant le niveau de sécurité, le CDF le juge adapté aux restrictions actuellement imposées à l’utilisation de M365. Les collaborateurs de la Confédération ne peuvent en effet y traiter que des informations non classifiées. L’administration fédérale a par ailleurs mis en place un système de classification et de marquage des données selon leur niveau de protection, ainsi que des mesures de Data Loss Prevention (DLP) destinées à empêcher la divulgation non autorisée d’informations.
L’accès de Microsoft aux données fédérales est par ailleurs jugé «restreint et journalisé». Les collaborateurs du groupe technologique ne peuvent accéder aux données des clients que «dans des cas absolument exceptionnels». Ces accès nécessitent une autorisation préalable de l’OFIT.
Sur le plan technique, Microsoft conserve toutefois la possibilité d’accéder aux données de ses clients en tant que fournisseur de services cloud. L’entreprise s’engage néanmoins contractuellement à ne traiter ces données qu’à des fins définies, notamment pour l’exploitation, le support et la sécurité.
Des licences plus coûteuses pour renforcer la sécurité
Le CDF examine également le choix des licences M365 par la Confédération. L’administration a délibérément opté pour les licences E5, plus coûteuses que les licences E3 également proposées par Microsoft. Ces licences offrent des fonctionnalités de sécurité supplémentaires, notamment «une protection avancée des terminaux, une gestion des menaces basée sur le cloud, des contrôles d’accès fondés sur les risques ainsi que des possibilités étendues de surveillance et de protection des données sensibles», énumère l’organisation.
La Confédération a déjà déployé plusieurs composants essentiels de l’offre E5. Elle bénéficie ainsi d’une amélioration tangible de sa sécurité, qui contribue à réduire les cyberrisques auxquels elle est exposée, selon le rapport.
Des lacunes dans la surveillance et la sauvegarde des données
Malgré ces constats positifs, plusieurs points restent à améliorer, selon le rapport. Le secteur TNI est notamment invité à renforcer le suivi de la conformité en collaboration avec l’OFIT. Cette recommandation concerne en particulier l’exploitation du Service Trust Portal (STP) de Microsoft. Sur ce portail, le fournisseur documente ses processus internes à des fins d’audit et met à disposition des rapports de contrôle. Or, ces ressources ne sont pas systématiquement analysées par l’administration fédérale. Le CDF préconise ainsi de définir «quels contenus du STP doivent être surveillés, par qui et selon quelles modalités», notamment en matière de périmètre, de fréquence et de responsabilités.
Une autre recommandation concerne l’automatisation de la configuration des environnements M365, appelés tenants. Selon le CDF, l’OFIT ne gère actuellement ces environnements que de manière partiellement automatisée. L’organe de contrôle préconise notamment de recourir davantage à Desired State Configuration (DSC), un outil permettant de comparer les paramètres de M365 à une configuration de référence et de corriger les écarts détectés. Il recommande également de définir la fréquence de contrôle des écarts par rapport aux normes de sécurité et les mesures correctives à appliquer.
La sauvegarde des données constitue un autre point faible. Le CDF estime qu’elle «n’a pas encore atteint le niveau souhaité». La Confédération a certes mis en place un système à plusieurs niveaux, associant la corbeille intégrée à M365 à une solution de sauvegarde complète hébergée dans les centres de données fédéraux. La console d’administration de cette dernière est toutefois hébergée aux Etats-Unis, ce qui contrevient aux exigences internes de la Confédération.
Pour remédier à cette situation, la Confédération a décidé de remplacer provisoirement cette solution par le service M365 Backup, avant de passer à une nouvelle solution hébergée en Europe. Le projet correspondant est en cours de réalisation, précise le CDF. Cette solution provisoire accroît toutefois la dépendance de la Confédération à Microsoft. En cas de perte de connexion à M365, aucune sauvegarde ne serait plus disponible, avertit l’organe de contrôle.
L’OFIT est donc appelé à mettre en place, en concertation avec le secteur TNI, une solution de sauvegarde locale dans les meilleurs délais et à tester régulièrement la restauration des données. Dans sa prise de position rédigée après l’audit, l’OFIT indique avoir entre-temps mis en place une telle solution et l’avoir déployée en production.
La gestion des clés de chiffrement fait elle aussi l’objet d’améliorations. Selon le CDF, la Confédération prévoit d’introduire des clés de chiffrement gérées par le client (Customer Managed Keys, CMK). Celles-ci apporteront une protection supplémentaire, au moins pour les données stockées. Une troisième phase pourrait ensuite permettre de renforcer le chiffrement des documents et autres objets au moyen de Microsoft Information Protection.
Ces mesures permettront de limiter davantage les possibilités d’accès de Microsoft aux données. L’organe de contrôle prend acte de l’objectif de la Confédération de pouvoir, à terme, traiter également des données classifiées au niveau «INTERNE» dans M365.
Des formations pour mieux exploiter M365
Le bilan est plus contrasté concernant l’adoption des fonctionnalités de M365. Selon le CDF, certaines unités administratives exploitent largement les nouvelles fonctionnalités collaboratives, tandis que d’autres n’y recourent que de manière sélective. Ces disparités s’expliquent davantage par des facteurs organisationnels que par des obstacles techniques, indique le rapport.
Pour les utilisateurs finaux, le système de classification et de marquage des documents introduit avec M365 implique notamment un changement important des habitudes de travail. L’interdiction de stocker dans le cloud, sans mesures de protection supplémentaires, des données classifiées au niveau «INTERNE» ou supérieur constitue un autre obstacle à l’adoption des services M365. La situation est d’autant plus complexe que les règles encadrant le traitement de ces données sont encore en cours de révision.
«Sans accompagnement ciblé ni instructions pratiques concrètes, les collaborateurs reviennent à leurs méthodes de travail habituelles», constate le CDF.
L’organe de contrôle rappelle qu’une offre de formation et une bibliothèque de ressources pédagogiques existent déjà. Il estime qu’il incombe principalement aux différentes unités administratives de former leurs collaborateurs afin de favoriser une utilisation accrue des fonctionnalités collaboratives.
Le CDF recommande enfin à l’OFIT d’analyser régulièrement les rapports d’utilisation générés par M365 et de les utiliser pour suivre et encourager l’adoption de la plateforme.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
