Audit et traçabilité des actions dans SharePoint et Teams

Microsoft 365 enregistre en continu des milliers d'événements : accès à un fichier, modification de permissions, création de partages, ajout de membres… Ces journaux d'activité constituent la mémoire de l'organisation. Teams Governor récupère automatiquement ces événements pour les projets gérés, selon la cadence de collecte de votre offre, et les rend accessibles par projet, sans naviguer dans les complexités de Microsoft Purview.

Fonctionnalité clé de Teams Governor : Les journaux d'audit de SharePoint et Teams sont alimentés par les tâches de collecte configurées, avec une cadence hebdomadaire par défaut. Les utilisateurs autorisés peuvent demander un recalcul ; sa fin et la fraîcheur des données doivent être vérifiées. Les événements disponibles des 90 derniers jours sont visualisables directement dans le menu « Activités » de la page de propriétés de chaque projet.

Qu'enregistre l'audit Microsoft 365 ?

Le journal d'audit unifié de Microsoft 365, accessible via Microsoft Purview, consolide les événements de l'ensemble des services : SharePoint, Teams, OneDrive, Exchange, Microsoft Entra ID, et bien d'autres. Teams Governor puise dans cette source pour extraire et afficher les événements SharePoint et Teams spécifiquement liés à vos projets.

Le journal Microsoft 365 peut contenir de nombreux événements. Dans Teams Governor, les vues exploitées portent sur les fichiers, les partages et les utilisateurs ; ne les assimilez pas à un historique exhaustif de tous les changements du tenant :

• Accès aux fichiers : qui a consulté, téléchargé, modifié ou supprimé un document — visualisé dans l'onglet « Fichiers ».
• Partages : création de liens de partage, ajout d'accès à des tiers, partage avec des invités — visualisé dans l'onglet « Partages ».
• Autorisations actuelles : le rapport de site identifie les permissions uniques et les liens ; il est distinct du journal historique.
• Membres, paramètres, canaux et administration du tenant : utilisez les outils Microsoft appropriés pour une investigation complète ; les grilles Teams Governor n’en garantissent pas la restitution détaillée.

Niveaux d'audit Microsoft 365 : Microsoft 365 propose deux niveaux — Audit (Standard) inclus dans la plupart des licences, et Audit (Premium) (anciennement Advanced Audit), disponible avec Microsoft 365 E5 ou l'add-on correspondant. L'audit Premium augmente la durée de rétention des journaux et donne accès à des événements supplémentaires à haute valeur ajoutée. La disponibilité des événements dépend des licences, de l’activation de l’audit, des autorisations et des limites de collecte. Teams Governor ne garantit pas un suivi exhaustif de tous les événements Microsoft 365. [1]

Rétention des données : Les journaux d'audit bruts dans Microsoft Purview sont conservés 180 jours en Audit Standard et jusqu'à 1 an (ou 10 ans avec extension) en Audit Premium. [2] Teams Governor affiche les événements des 90 derniers jours.

Accéder aux activités via Teams Governor

Teams Governor centralise et simplifie l'accès aux journaux d'audit de vos projets SharePoint et Teams. Plus besoin de naviguer dans les menus complexes de Microsoft Purview ou de rédiger des requêtes PowerShell : les événements pris en charge sont collectés et présentés par projet, dans le périmètre autorisé.

Fonctionnement automatique

La collecte planifiée d’audit alimente les projets éligibles selon la configuration de l’environnement. Elle cible les événements disponibles des 90 derniers jours sur les fichiers, les partages et les utilisateurs. Consultez les dates de collecte : ni une cadence planifiée ni une demande de rafraîchissement ne garantissent un résultat immédiat.

Les utilisateurs autorisés peuvent demander un recalcul depuis Informations > Actualiser les propriétés. Le traitement est asynchrone : attendez sa fin et vérifiez les horodatages. Recharger une grille ne garantit pas à lui seul une nouvelle collecte d’audit.

Consulter les activités d'un projet

1. Ouvrez la page « Propriétés » d'un projet dans Teams Governor.
2. Accédez au menu « Activités » en haut à droite de la page.
3. Vous disposez de plusieurs onglets d'analyse :
4. – « Fichiers » — Graphiques et liste des accès, créations, modifications et suppressions de fichiers sur 7, 30 et 90 jours.
5. – « Partages » — Suivi détaillé des partages créés (avec utilisateurs internes, invités externes, liens anonymes, etc.) sur les 3 périodes.
6. – « Utilisateurs » — Nombre d'utilisateurs actifs et ayant accédé au site sur 7, 30 et 90 jours.
7. Filtrez les données par type d'action (accès, création, modification, suppression, partage) ou par période (7 jours, 30 jours, 90 jours) selon vos besoins.
8. Consultez le détail de chaque événement : qui l'a déclenché, quand, sur quel fichier ou dossier.

Fenêtre de données : Les activités affichées couvrent les 90 derniers jours. Cette période est suffisante pour la plupart des cas d'usage de gouvernance et d'investigation. Les données d'audit sources dans Microsoft Purview sont conservées plus longtemps (180 jours en Standard, jusqu'à 1 an en Premium).

Avantages par rapport à Microsoft Purview

Ressources complémentaires — Microsoft Purview et PowerShell

Bien que Teams Governor couvre la majorité des besoins de gouvernance quotidienne, Microsoft Purview reste la source de vérité complète pour les investigations approfondies et la conformité réglementaire.

Via le portail Microsoft Purview

Le portail Microsoft Purview (purview.microsoft.com) offre une interface de recherche complète dans les journaux d'audit. Il est possible de filtrer par type d'activité, utilisateur, plage de dates, ressource ciblée, et d'exporter les résultats au format CSV pour une analyse approfondie.

1. Accédez à Microsoft Purview > Audit.
2. Sélectionnez une plage de dates (maximum 90 jours par requête en Standard).
3. Filtrez par activité (ex. : « Utilisateur s'est connecté », « Fichier consulté »).
4. Filtrez par utilisateur, fichier ou site si nécessaire.
5. Cliquez sur Rechercher et exportez les résultats.

Via PowerShell (Search-UnifiedAuditLog)

La cmdlet Search-UnifiedAuditLog du module Exchange Online PowerShell permet d'interroger les journaux programmatiquement. Elle est particulièrement utile pour des extractions automatisées ou des analyses planifiées.

Search-UnifiedAuditLog `
  -StartDate (Get-Date).AddDays(-30) `
  -EndDate (Get-Date) `
  -RecordType SharePointFileOperation `
  -Operations FileAccessed, FileModified `
  -ResultSize 1000

Via l'API de gestion Office 365

L'API de gestion Office 365 permet de récupérer les contenus d’audit disponibles via des abonnements, notifications et requêtes, avec des délais de disponibilité. Elle peut être utilisée par les SIEM pour une intégration continue. [3]

Cas d'usage concrets — Détecter et prévenir les écarts de gouvernance

L'onglet « Activités » de Teams Governor vous permet de repérer les comportements qui sortent de vos règles de gouvernance. Voici quelques exemples concrets.

Détecter un partage externe non autorisé

Allez à l'onglet « Partages » de votre projet. Filtrez pour voir les partages des 7 derniers jours. Les événements collectés de partage externe peuvent y apparaître après la collecte, avec :

• La date et l'heure du partage
• Qui a créé le lien
• Le type de partage (invitation directe, lien anonyme, lien sécurisé)
• Qui a accès (nom ou adresse e-mail du tiers)

Vous pouvez ensuite révoquer l'accès si le partage n'est pas conforme à vos règles.

Retracer les actions sur un fichier sensible

L'onglet « Fichiers » montre les accès collectés à vos documents : qui les a ouverts, modifiés, supprimés et quand. En cas de soupçon de fuite ou d'accès non autorisé, vous reconstituez la chronologie disponible sur la période collectée.

Exemple : un document confidentiel est soupçonné d'avoir été diffusé. Depuis le projet concerné, « Activités » > « Fichiers » indique qui l'a consulté ou modifié sur la période couverte par la collecte.

Surveiller les élévations de privilèges

Le rapport des autorisations uniques permet de vérifier les droits actuels recensés. Pour retracer une élévation de privilèges ou une modification de groupe, consultez les journaux Microsoft correspondants ; le rapport Teams Governor ne constitue pas à lui seul un historique complet de ces changements.

Supervision des équipes Teams

Les indicateurs Teams et le suivi des traitements de gouvernance complètent les activités disponibles. Pour une chronologie exhaustive des créations, changements de membres, canaux ou paramètres, utilisez l’audit Microsoft. L’assistant /audit, réservé à Premium, interroge les données autorisées sans modifier les projets.

Cas d'usage avancés — Au-delà des activités quotidiennes

Teams Governor offre une vue rapide sur les activités récentes (7, 30, 90 jours). Pour des besoins d'investigation approfondie, d'archivage long terme ou de conformité réglementaire très stricte, combinez Teams Governor avec Microsoft Purview et Microsoft Sentinel :

• Investigations avancées : Utilisez Microsoft Purview pour des requêtes sur des périodes antérieures à 90 jours ou avec des filtres granulaires. Teams Governor aide à prioriser les vérifications à partir de ses rapports ; Purview approfondit l'investigation historique.
• Conformité réglementaire : choisissez les outils et la conservation des preuves avec les équipes juridiques et sécurité, selon vos obligations et licences. Teams Governor ne fournit pas de certification réglementaire ni d’alimentation automatique de Compliance Manager.
• SIEM et alertes temps réel : Microsoft Sentinel peut ingérer les journaux d'audit bruts et déclencher des alertes en temps réel. Teams Governor complète cet écosystème en regroupant les données au niveau du projet.
• Actions de gouvernance : les transitions de cycle de vie et les exécutions de tâches planifiées sont historisées dans Teams Governor, ce qui facilite leur rapprochement avec les événements SharePoint et Teams.

Architecture recommandée : Teams Governor pour la gouvernance quotidienne et les tableaux de bord, Microsoft Purview pour les investigations approfondies et la rétention long terme, Microsoft Sentinel pour la détection d'anomalies en temps réel et les alertes proactives.

Traçabilité et exigences de conformité

Les exigences de traçabilité et d'audit deviennent de plus en plus strictes. Teams Governor facilite les revues de gouvernance à partir des données collectées. Ces rapports ne constituent ni une preuve exhaustive de conformité ni une certification.

Pour aller plus loin

• Vue d'ensemble des solutions d'audit Microsoft Purview — Microsoft Learn
• Stratégies de rétention des journaux d'audit — Microsoft Learn
• Référence de l'API de gestion des activités Office 365 — Microsoft Learn
• Microsoft Purview Compliance Manager — Microsoft Learn
• Rechercher dans le journal d'audit — Microsoft Learn
• Repérage avancé des menaces (Microsoft Defender XDR) — Microsoft Learn