Cloud & Collaboration : Microsoft 365, Google Workspace et NAS

1. Cadrage et responsabilités

• Classer données, propriétaires, durées de conservation et contraintes réglementaires
• Inventorier comptes, groupes, domaines, alias, applications OAuth et partages externes
• Identifier localisation, sous-traitants, réversibilité et export
• Définir RPO/RTO : synchronisation et corbeille ne remplacent pas toujours une sauvegarde
• Choisir les licences à partir des fonctions de sécurité réellement nécessaires

Le fournisseur sécurise sa plateforme ; l’entreprise reste responsable de la configuration de ses identités, droits, appareils, partages et données. Ce modèle de responsabilité partagée doit figurer dans la documentation d’exploitation.

2. Identités et administration

• MFA pour tous, avec méthodes résistantes au phishing pour les comptes sensibles lorsque disponibles
• Au moins deux comptes d’administration de secours contrôlés, surveillés et non utilisés au quotidien
• Rôles administratifs minimaux et comptes nominatifs
• Processus arrivée, changement de poste et départ
• Revue périodique des invités, applications tierces, délégations et accès externes

Tester la récupération avant un incident : perte du téléphone MFA, domaine expiré, administrateur indisponible ou compromission d’un compte.

3. Microsoft 365

• Vérifier les domaines et protéger le compte qui gère le DNS
• Structurer groupes, équipes et sites SharePoint selon les propriétaires métier
• Utiliser OneDrive pour l’espace individuel et SharePoint/Teams pour les données collectives
• Configurer méthodes d’authentification, accès conditionnel selon licences et journalisation
• Évaluer la migration avec l’outil officiel avant la copie

Ne pas transformer automatiquement chaque ancien partage SMB en une seule bibliothèque SharePoint. Les chemins longs, types de fichiers, volumes, permissions imbriquées et applications qui utilisent des lecteurs réseau doivent être analysés.

4. Google Workspace

• Utiliser des Drive partagés pour les données d’équipe afin que l’entreprise, et non un salarié, en reste propriétaire
• Limiter la création et le partage externe selon les besoins
• Structurer groupes et unités organisationnelles avant les règles
• Activer validation en deux étapes et surveiller les applications OAuth
• Tester les outils de migration sur un groupe pilote

5. NAS local ou hybride

• Comptes nominatifs reliés à l’annuaire si possible
• Droits par groupes et partages séparés par finalité
• Mises à jour, alertes disque, onduleur et supervision
• Accès distant via VPN ou passerelle, jamais interface d’administration directement publiée
• Snapshots locaux complétés par une sauvegarde indépendante hors site

6. Méthode de migration

1. Inventorier et supprimer les données sans propriétaire selon validation métier.
2. Cartographier les droits source et définir le modèle cible.
3. Analyser incompatibilités de noms, tailles, versions et applications.
4. Copier un lot pilote et faire valider utilisateurs, droits et performances.
5. Effectuer une copie initiale, puis un delta avant la bascule.
6. Geler la source, basculer, contrôler les comptes et conserver un retour arrière en lecture seule.
7. Documenter les écarts, former les utilisateurs et surveiller les partages.

7. Sauvegarde, réversibilité et contrôle