Le scénario est toujours le même. Un audit sérieux, un rapport solide, une liste d'actions priorisées. Les actions sont menées. Tout le monde passe à autre chose. Dix-huit mois plus tard, nouvel audit, et l'on retrouve une partie des mêmes écarts — parfois exactement les mêmes.
Ce n'est pas un problème d'exécution. C'est que la sécurité d'une configuration n'est pas un état atteint, c'est un état maintenu, et que rien n'était en place pour le maintenir.
Ce qui bouge, et pourquoi
Un environnement Microsoft 365 change en permanence, et pour de bonnes raisons.
Les gens. Un administrateur ajoute une exception pour débloquer une situation un vendredi soir. Elle n'est jamais retirée. Un prestataire obtient un accès pour une migration ; la migration se termine, l'accès reste.
Les projets. Un nouvel outil SaaS est branché sur la messagerie. Un partage externe est ouvert pour un appel d'offres. Un connecteur est créé pour une filiale.
L'éditeur. Microsoft modifie régulièrement ses valeurs par défaut, ses services et ses paramètres. La plupart de ces changements vont dans le sens de la sécurité — mais ils ne s'appliquent pas toujours aux tenants existants, et certains modifient un comportement sur lequel vous comptiez.
L'organisation elle-même. Une acquisition apporte un annuaire, des domaines, des habitudes. Une réorganisation redistribue des rôles.
Aucun de ces événements n'est une faute. Tous déplacent la configuration par rapport à l'état constaté dans le rapport.
Pourquoi l'audit périodique ne peut pas répondre
Ce n'est pas une critique de l'audit : c'est une limite de forme.
Il mesure un instant. Un rapport daté du 15 mars décrit le 15 mars. Il ne dit rien du 16, et surtout rien du 20 septembre.
Il ne voit pas la trajectoire. Un tenant qui vient de se dégrader et un tenant stable depuis deux ans donnent le même instantané. Ce sont pourtant deux situations très différentes, et c'est la deuxième information qui intéresse un assureur ou un client qui vous audite.
Il arrive trop tard. Entre l'apparition d'un écart et le prochain audit, il peut s'écouler dix-sept mois. C'est la durée pendant laquelle la porte reste ouverte sans que personne ne le sache.
Il coûte cher à répéter. C'est précisément pour cela qu'on ne le répète pas souvent — et le raisonnement se mord la queue.
Ce que change une mesure continue
Le déplacement n'est pas technologique, il est temporel. La même mesure, répétée, produit trois informations que l'instantané ne donne pas.
La détection. Un écart apparu lundi est signalé lundi, pas dix-sept mois plus tard. Sur les changements sensibles — un rôle à privilèges attribué, une règle de redirection créée, une politique désactivée — c'est la différence entre un incident évité et un incident subi.
La qualification. Tous les changements ne se valent pas. Un partage externe ouvert sur un dossier de communication n'est pas un partage ouvert sur les ressources humaines. Une surveillance qui alerte sur tout n'est plus consultée au bout de trois semaines ; l'enjeu réel est le tri, pas la détection.
La preuve. C'est l'usage que nos clients citent en premier, et celui que nous n'avions pas anticipé. Un historique daté des écarts et des corrections répond directement aux questionnaires clients, aux dossiers d'assurance et aux demandes de justification. Il transforme un coût de conformité en actif réutilisable.
Ce que ça ne remplace pas
La surveillance de configuration ne remplace ni la détection d'incidents, ni un SOC, ni un test d'intrusion. Elle répond à une question différente : l'environnement est-il configuré comme nous avons décidé qu'il devait l'être, aujourd'hui ?
Elle ne remplace pas non plus l'audit initial. Il faut bien un point de départ : un état des lieux complet, une priorisation, une remédiation. La surveillance vient après, et elle sert précisément à ce que ce travail ne soit pas à refaire dans dix-huit mois.