Bundle Minimum Viable de Conformité (MVC) nLPD pour PME suisses de 5 à 25 utilisateurs. Quatre guides de déploiement et d'exploitation sur Microsoft 365 Business Premium + Purview Suite.
| Champ | Valeur |
|---|---|
| Licence | Microsoft 365 Business Premium + Purview Suite |
| Tenant | [tenant].onmicrosoft.com — à remplacer |
| Client | [Nom du client] — à remplacer |
| Version | 1.2 — 2026 |
⚠️ ATTENTION — Personnalisation obligatoire Remplacez
[domaine],[tenant]et[tenant].sharepoint.compar les informations réelles du client. L’Annexe I est pré-remplie pour Axonix SA (POC demo.ch) ; adaptez-la au client avant remise.
Ce guide est conçu pour un consultant qui installe une protection Minimum Viable de Conformité (MVC) dans une PME suisse de 5 à 25 personnes. Objectif : une session de 4 à 6 heures, client autonome à la fin.
Qu’est-ce que le MVC ? Le Minimum Viable de Conformité est l’ensemble minimal de mesures techniques défendables devant le Préposé fédéral à la protection des données (PFPDT). Il ne vise pas la perfection technique mais la capacité de démontrer une démarche proportionnée et documentée. Pour une PME de 5 à 25 personnes sans IT dédié, c’est le point de départ réaliste et maintenable.
Piliers MVC couverts :
| Pilier | Ce que ça apporte |
|---|---|
| MFA (tous les comptes) | Première barrière contre la compromission de compte |
| Blocage partage externe SharePoint | Fermeture du vecteur de fuite via liens SharePoint |
| Audit (traçabilité PFPDT) | Journal de toutes les actions sur les données, 1 an |
| 2 étiquettes (Interne + Confidentiel) | Classification + chiffrement AES-256 des données sensibles |
| Auto-labelling service | Détection et étiquetage automatique des fichiers SharePoint existants |
| DLP Exchange | Détection et traçabilité des envois de données sensibles |
| Rétention automatique | Conservation 10 ans des données RH et Finances (CO art. 958f) |
| Break-glass RMS | Accès de secours aux fichiers chiffrés en cas d’urgence |
ℹ️ INFO — Hors périmètre MVC IRM, Endpoint DLP, Managed Environments, eDiscovery, Communication Compliance, DSPM for AI. Ces fonctionnalités peuvent être déployées progressivement après le socle MVC.
| N° | Étape | Action |
|---|---|---|
| 1 | Navigateur | Microsoft Edge ou Google Chrome. Évitez Firefox. |
| 2 | URL | https://purview.microsoft.com (ou https://compliance.microsoft.com, redirige automatiquement). |
| 3 | Connexion | Compte admin M365 (Global Admin ou Compliance Admin). |
| ⚠️ | Accès refusé | « Vous n’avez pas accès » → problème de rôles, allez à la section 0.3. |
| N° | Étape | Action |
|---|---|---|
| 1 | Ouvrir | Démarrer → Windows PowerShell → clic droit → Exécuter en tant qu’administrateur. Le titre affiche « Administrateur ». |
| 2 | Autoriser les scripts | Set-ExecutionPolicy RemoteSigned -Scope CurrentUser → O → Entrée. |
Entra ID (entra.microsoft.com → Rôles et administrateurs)
| Rôle Entra ID | Pourquoi |
|---|---|
| Administrateur de la sécurité | Signaux de risque dans Purview |
| Administrateur de mise en conformité | Politiques Purview |
→ Rôles et administrateurs → cherchez le rôle → + Ajouter des attributions → votre compte.
Exchange Online (admin.exchange.microsoft.com → Rôles → Organization Management)
+ Ajouter des membres → votre compte. Attendez 5 à 10 minutes avant de continuer.
🚨 IMPORTANT Sans Organization Management, la commande PowerShell d’audit s’exécute sans erreur mais ne fait rien.
Purview RBAC (Paramètres → Rôles et étendues → Groupes de rôles)
| Groupe Purview | Accès |
|---|---|
| Compliance Administrator | Labels, DLP, rétention, politiques |
| Content Explorer Content Viewer | Voir le contenu des fichiers |
| Content Explorer List Viewer | Voir la liste des fichiers |
admin.microsoft.com → Utilisateurs actifs → votre compte → Licences et applications → vérifiez que Microsoft Purview Suite est coché. Si absent : cochez et Enregistrer les modifications.
Requis pour que les étiquettes de type Groupes et sites fonctionnent.
Install-Module Microsoft.Graph -Scope CurrentUser
Connect-MgGraph -Scopes "Directory.ReadWrite.All"
$t = Get-MgBetaDirectorySettingTemplate -All | Where-Object { $_.DisplayName -eq "Group.Unified" }
New-MgBetaDirectorySetting -BodyParameter @{ templateId = $t.Id; values = @(@{ name = "EnableMIPLabels"; value = "True" }) }
→ Déconnectez-vous et reconnectez-vous au portail Purview avant de continuer.
🚨 IMPORTANT — Priorité absolue Sans MFA, Purview est un château de cartes. Un mot de passe volé donne accès à toutes les données sensibles.
| N° | Étape | Action |
|---|---|---|
| 1 | Accès | admin.microsoft.com → Utilisateurs actifs → Authentification multifacteurs (bouton en haut de la liste). |
| 2 | Activer | Sélectionnez tous les utilisateurs → Activer → Confirmer. |
| 3 | Alternative recommandée | entra.microsoft.com → Protection → Accès conditionnel → stratégie MFA pour Tous les utilisateurs (permet des exclusions ciblées). |
Cette étape ferme le principal vecteur de fuite non surveillé : les liens SharePoint vers l’extérieur.
⚠️ ATTENTION Vérifiez au préalable qu’aucun site SharePoint actif ne dépend du partage externe.
admin.sharepoint.com→ Sites actifs → colonne Partage externe : identifiez les sites Activé et validez avec le client avant de bloquer.
| N° | Étape | Action |
|---|---|---|
| 1 | Accès | https://admin.sharepoint.com → Stratégies → Partage. |
| 2 | Partage externe | Curseur SharePoint → Uniquement les personnes de votre organisation. Faites de même pour OneDrive. |
| 3 | Enregistrer | Cliquez sur Enregistrer. |
ℹ️ INFO Ce paramètre est un plafond global : aucun site ne peut être partagé en externe même si un administrateur essaie de l’activer site par site. Les envois de pièces jointes par email ne sont pas affectés et restent surveillés par la DLP Exchange (Partie 3).
🚨 IMPORTANT — À faire AVANT les étiquettes Sans audit actif, vous n’avez aucune trace en cas d’incident nLPD.
Install-Module -Name ExchangeOnlineManagement -Force
Connect-ExchangeOnline
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
Get-AdminAuditLogConfig | FL UnifiedAuditLogIngestionEnabled
→ Résultat attendu : UnifiedAuditLogIngestionEnabled : True
Disconnect-ExchangeOnline -Confirm:$false
✅ CONSEIL Vérification dans Purview : Purview → Audit (menu gauche) → Rechercher → bandeau vert = audit actif. Si bouton Démarrer l’enregistrement visible → cliquez dessus.
| Ordre | Étiquette | Rôle |
|---|---|---|
| 1 | 1 - Interne | Sans chiffrement. Étiquette par défaut pour tous les documents internes. |
| 2 | 2 - Confidentiel | Avec chiffrement AES-256. Pour AVS, salaires, médical, contrats, données bancaires. |
ℹ️ INFO SIT = Types d’informations sensibles dans l’interface Purview. Propagation : attendez 15 à 30 minutes après création avant de configurer les étiquettes.
Détecte les numéros AVS suisses au format exact 756.XXXX.XXXX.XX en 4 langues nationales + anglais.
| N° | Étape | Action |
|---|---|---|
| 1 | Navigation | Purview → Protection des données → Classifieurs → Types d’informations sensibles → + Créer un type d’informations sensibles |
| 2 | Page 1 : Nommer | Nom : AVS-Suisse-PME | Description : Détection numéro AVS suisse 756.XXXX.XXXX.XX, 4 langues nationales + anglais. → Suivant |
| 3 | Page 2 : Modèle | + Ajouter un modèle → Niveau de confiance : Moyen → + Ajouter un élément principal → Expression régulière → ID : regex-AVS-Suisse → collez : 756\\.\\d{4}\\.\\d{4}\\.\\d{2} → Correspondance de chaîne → Terminé |
| 4 | Page 2 : Mots-clés | + Ajouter des éléments de soutien → Liste de mots-clés → ID : recherche-AVS-Suisse → saisissez un mot-clé par ligne (voir Annexe C) → Terminé |
| 5 | Page 3 : Tester | Suivant → testez avec 756.1234.5678.94 → vérifiez la détection → Suivant → Créer |
| ⚠️ | Propagation | Attendez 15 à 30 minutes avant de configurer les règles qui utilisent ce SIT. |
ℹ️ INFO
756.1234.5678.94est un numéro de test avec checksum EAN-13 valide. Utilisez-le pour tester AVS-Suisse-PME et le SIT natif Swiss Social Security Number AHV simultanément.
Détecte les données médicales RH (arrêts maladie, certificats, incapacité de travail) en 4 langues nationales + anglais.
| N° | Étape | Action |
|---|---|---|
| 1 | Navigation | Purview → Protection des données → Classifieurs → Types d’informations sensibles → + Créer un type d’informations sensibles |
| 2 | Page 1 : Nommer | Nom : Medical-RH-Suisse | Description : Détection données médicales RH, 4 langues nationales + anglais. → Suivant |
| 3 | Page 2 : Modèle | + Ajouter un modèle → Niveau de confiance : Moyen → + Ajouter un élément principal → Liste de mots-clés → ID : medical-rh-suisse → saisissez un mot-clé par ligne (voir Annexe C) → Terminé |
| 4 | Page 3 : Tester | Suivant → testez avec « arrêt maladie » → vérifiez la détection → Suivant → Créer. Attendez 15 à 30 minutes avant de continuer. |
| N° | Étape | Action |
|---|---|---|
| 1 | Navigation | Purview → Protection des données → Étiquettes de confidentialité → + Créer une étiquette |
| 2 | Page 1 : Nommer | Nom : 1 - Interne | Description : Document à usage interne uniquement. | Couleur : Bleu → Suivant |
| 3 | Page 2 : Étendue | Cochez : Fichiers et autres ressources de données, Emails, Réunions → Suivant |
| 4 | Page 3 : Protection | Sélectionnez Aucune protection → Suivant |
| 5 | Finaliser | Laissez les pages suivantes par défaut → Créer une étiquette → Ne créez pas encore de stratégie → Terminer. |
ℹ️ INFO — Groupes mail-enabled requis pour le chiffrement RMS Azure Rights Management exige que les groupes assignés aient une adresse email. En tenant cloud pur (sans AD on-prem) :
Connect-ExchangeOnline New-DistributionGroup -Name "GRP-Confidentiel-Purview" -Alias "grp-confidentiel-purview" -Type Security -PrimarySmtpAddress "grp-confidentiel-purview@[domaine]" Add-DistributionGroupMember -Identity "GRP-Confidentiel-Purview" -Member utilisateur@[domaine]En environnement hybride (AD on-prem) : créez le groupe dans AD et attendez la synchronisation Entra Connect.
| N° | Étape | Action |
|---|---|---|
| 1 | Navigation | Purview → Protection des données → Étiquettes de confidentialité → + Créer une étiquette |
| 2 | Page 1 : Nommer | Nom : 2 - Confidentiel | Description : Données personnelles sensibles (AVS, salaires, médical, contrats, IBAN). | Couleur : Bordeaux → Suivant |
| 3 | Page 2 : Étendue | Cochez : Fichiers et autres ressources de données, Emails, Réunions → Suivant |
| 4 | Page 3 : Protection | Sélectionnez Contrôler l’accès + Appliquer le marquage de contenu → Suivant |
| 5 | Contrôle d’accès | Configurer les paramètres | Attribuer maintenant | Expiration : Jamais | Hors connexion : 30 jours | + Attribuer des autorisations → ajoutez (1) GRP-Confidentiel-Purview, (2) admin@[domaine], (3) Tous les utilisateurs authentifiés | Niveau : Éditeur (Co-auteur) → Enregistrer |
| 6 | Marquage | Filigrane : CONFIDENTIEL (40, diagonal, rouge) | En-tête : CONFIDENTIEL — Usage interne uniquement | Pied : Document protégé nLPD, Ne pas diffuser → Suivant |
| 7 | Auto-labelling client | Activez le toggle → + Ajouter une condition → Le contenu contient | Groupe : Donnees-Sensibles | Opérateur : OU | Ajoutez : AVS-Suisse-PME (min 1, Moyen) + IBAN (min 1, Élevé) + Medical-RH-Suisse (min 2, Moyen) → Ajouter → Suivant |
| 8 | Finaliser | Pages suivantes par défaut → Créer une étiquette → Ne créez pas encore de stratégie → Terminer. |
| ⚠️ | Propagation | Attendez 15 à 30 minutes avant de configurer la DLP et l’auto-labelling service. |
⚠️ ATTENTION — Deux mécanismes d’auto-labelling distincts L’étape 7 configure l’auto-labelling côté client (ouverture dans Word ou Outlook). Les fichiers déjà présents dans SharePoint ne sont pas couverts. La section 2.4 configure l’auto-labelling côté service. Les deux mécanismes sont complémentaires.
ℹ️ INFO — Accès des destinataires externes Destinataire avec compte Microsoft → déchiffrement automatique. Destinataire sans compte Microsoft (Gmail, AFC, caisse AVS) → code à usage unique par email, valable 15 minutes, saisi dans le navigateur. Informez le client de cette friction potentielle avant la mise en production.
| N° | Étape | Action |
|---|---|---|
| 1 | Navigation | Purview → Protection des données → Stratégies → Stratégies de publication d’étiquettes → + Publier l’étiquette |
| 2 | Étiquettes | Sélectionnez : 1 - Interne, 2 - Confidentiel → Ajouter → Suivant |
| 3 | Unités admin | Laissez Répertoire complet → Suivant |
| 4 | Utilisateurs | Laissez Tous utilisateurs et groupes → Suivant |
| 5 | Paramètres | Cochez : (1) Les utilisateurs doivent fournir une justification pour abaisser le niveau | (2) Obliger les utilisateurs à appliquer une étiquette à leurs courriers et documents → Suivant |
| 6 | Défauts | Étiquette par défaut documents et e-mails : 1 - Interne. Laissez le reste par défaut → Suivant |
| 7 | Nom | Nom : Politique-Labels-[client] → Suivant |
| 8 | Soumettre | Vérifiez le résumé puis cliquez sur Envoyer. Propagation : jusqu’à 24 heures. |
| N° | Étape | Action |
|---|---|---|
| 1 | Navigation | Purview → Protection des données → Stratégies → Stratégies d’étiquetage automatique → + Créer une stratégie d’étiquetage automatique |
| 2 | Catégorie | Faites défiler la liste → sélectionnez Personnaliser → Suivant |
| 3 | Nommer | Nom : Auto-Label-Confidentiel | Description : Détection automatique AVS, IBAN, médical dans SharePoint et OneDrive. → Suivant |
| 4 | Étiquette | Cliquez sur choisir une étiquette → sélectionnez 2 - Confidentiel → Appliquer → Suivant |
| 5 | Emplacements | Activez : Sites SharePoint (Tous les sites), Comptes OneDrive (Tous les utilisateurs), Courrier Exchange (Tous les utilisateurs) → Suivant |
| 6 | Règles | Sélectionnez Règles communes → Suivant → + Nouvelle règle |
| 7 | Règle AVS | Nom : Règle-Donnees-Sensibles | Le contenu contient → + Ajouter → AVS-Suisse-PME (Moyen, min 1) + IBAN (Élevé, min 1) + Medical-RH-Suisse (Moyen, min 2) → Enregistrer |
| 8 | Mode | Sélectionnez Exécuter la stratégie en mode de simulation → Suivant → Créer une stratégie |
ℹ️ INFO Après 24 à 48 heures de simulation : Purview → Stratégies d’étiquetage automatique → cliquez sur
Auto-Label-Confidentiel→ Afficher les résultats de simulation. Si résultat correct → cliquez sur Activer la stratégie.
🚨 IMPORTANT — Obligatoire avant mise en production Sans compte Break-glass configuré, un départ conflictuel ou une corruption du tenant peut entraîner une perte irréversible des données chiffrées.
Étape 1 — Installer le module et se connecter (Windows PowerShell 5.1 uniquement) :
Install-Module -Name AIPService -Force
Connect-AipService
Étape 2 — Activer la fonctionnalité Super User et désigner le compte de secours :
Enable-AipServiceSuperUserFeature
Add-AipServiceSuperUser -EmailAddress admin@[domaine]
Étape 3 — Vérifier et désactiver après configuration :
Get-AipServiceSuperUser
Disable-AipServiceSuperUserFeature
⚠️ ATTENTION Réactivez le Super User uniquement en cas d’urgence réelle. Chaque activation est tracée dans les journaux d’audit Purview. Stockez les identifiants du compte de secours dans un coffre-fort physique.
ℹ️ INFO Dans ce MVC, l’email est le seul canal légitime d’envoi de données vers l’extérieur (SharePoint est bloqué). Les deux règles partent en simulation 2 à 4 semaines avant activation.
⚠️ ATTENTION — Prérequis Les SIT (section 2.1) doivent être créés et propagés (30 minutes) avant de créer cette politique.
| N° | Étape | Action |
|---|---|---|
| 1 | Navigation | Purview → Protection contre la perte de données → Stratégies → + Créer une stratégie → Personnalisé → Personnalisé → Suivant |
| 2 | Nommer | Nom : DLP-PME-Surveillance → Suivant |
| 3 | Emplacements | Activez uniquement : Courrier Exchange (Tous les utilisateurs). Désactivez SharePoint, OneDrive, Teams. → Suivant |
| 4 | Paramètres | Sélectionnez Créer ou personnaliser des règles DLP avancées → Suivant |
| 5 | Règles | Cliquez + Créer une règle. Créez les 2 règles détaillées ci-dessous. |
| 6 | Mode | Page Mode : Exécuter en mode simulation → Suivant |
| 7 | Soumettre | Vérifiez et cliquez Soumettre. |
| Paramètre | Configuration |
|---|---|
| Nom de la règle | Avertir-Donnees-Sensibles |
| Condition 1 | Le contenu contient → OU : AVS-Suisse-PME (Moyen, min 1) + IBAN (Élevé, min 1) + Medical-RH-Suisse (Moyen, min 2) |
| Condition 2 | Du contenu est partagé avec des personnes extérieures à mon organisation |
| Actions | Aucune (avertissement seulement) |
| Notifications utilisateur | Activez les conseils de stratégie → message : Ce document contient des données sensibles. Vérifiez que le destinataire est autorisé. |
| Remplacements | Activez + exigez justification. |
| Rapport d’incident | Niveau Moyen. Alerte email : admin@[domaine]. |
→ Cliquez sur Enregistrer. Puis + Créer une règle pour la règle suivante.
| Paramètre | Configuration |
|---|---|
| Nom de la règle | Avertir-IBAN-Externe |
| Condition 1 | Le contenu contient → IBAN (confiance Élevée, min 1) |
| Condition 2 | Du contenu est partagé avec des personnes extérieures à mon organisation |
| Actions | Aucune (avertissement seulement en phase simulation) |
| Notifications utilisateur | Activez les conseils de stratégie → message : Ce document contient un IBAN. Toute transmission externe est enregistrée conformément à la nLPD. Assurez-vous d’avoir l’accord du responsable. |
| Remplacements | Activez + exigez justification → la justification est enregistrée dans l’Activity Explorer. |
| Rapport d’incident | Niveau Élevé. Alerte email : admin@[domaine]. |
→ Cliquez sur Enregistrer.
ℹ️ INFO Après 2 à 4 semaines : consultez l’Activity Explorer → si les faux positifs sont acceptables → modifiez la politique → Mode → Activer immédiatement.
🚨 IMPORTANT Sans politique de rétention configurée, le registre des activités de traitement (Annexe I) indique « 10 ans (CO art. 958f) » sans mesure technique correspondante. C’est une incohérence documentaire immédiatement visible en audit PFPDT.
| N° | Étape | Action |
|---|---|---|
| 1 | Navigation | Purview → Gestion du cycle de vie des données → Stratégies de rétention → + Nouvelle stratégie de rétention |
| 2 | Nommer | Nom : Retention-RH-10ans | Description : Rétention documents RH, 10 ans CO art. 958f. → Suivant |
| 3 | Unités admin | Répertoire complet → Suivant |
| 4 | Type | Sélectionnez Statique → Suivant |
| 5 | Emplacements | Activez uniquement Sites SharePoint → Modifier → saisissez https://[tenant].sharepoint.com/sites/RH → cliquez + → Terminé. Désactivez tous les autres emplacements. → Suivant |
| 6 | Paramètres | Conserver les éléments pendant une période spécifique → 10 ans → Démarrer la période fondée sur : Lorsque les éléments ont été modifiés en dernier lieu → À la fin : Supprimer automatiquement les éléments → Suivant → Soumettre. |
Même procédure que 4.1 avec les adaptations suivantes :
| Paramètre | Valeur |
|---|---|
| Nom | Retention-Finances-10ans |
| Description | Rétention documents Finances, 10 ans CO art. 958f. |
| URL SharePoint | https://[tenant].sharepoint.com/sites/Finances |
| Durée et action | 10 ans → Supprimer automatiquement |
Get-AdminAuditLogConfig | FL UnifiedAuditLogIngestionEnabled
→ Résultat attendu : True. Alternative : Purview → Audit → Rechercher → bandeau vert.
Ouvrez Word sur un PC utilisateur. Ruban → Sensibilité. Les 2 étiquettes doivent être présentes. Si absent : propagation jusqu’à 24 heures.
Dans Word, tapez 756.1234.5678.94. Attendez 30 secondes. L’étiquette 2 - Confidentiel doit s’appliquer automatiquement.
Envoyez par email à une adresse externe un document contenant 756.1234.5678.94. Le message d’avertissement doit apparaître dans Outlook avant l’envoi.
Purview → Audit → Rechercher. Aujourd’hui. Activités : Fichier accédé. Des entrées doivent correspondre à vos tests.
Dans SharePoint, tentez de partager un fichier avec une adresse externe. Le partage doit être refusé : Votre organisation ne permet pas le partage avec des personnes extérieures.
| Élément à valider | Statut | |
|---|---|---|
| ☐ | MFA activé sur tous les comptes | à valider |
| ☐ | Partage externe SharePoint bloqué au niveau tenant | à valider |
| ☐ | Audit actif (True dans PowerShell) | à valider |
| ☐ | SITs AVS-Suisse-PME et Medical-RH-Suisse créés et propagés | à valider |
| ☐ | Étiquettes 1 - Interne et 2 - Confidentiel créées et publiées | à valider |
| ☐ | Auto-labelling service activé en mode simulation (section 2.4) | à valider |
| ☐ | Politiques de rétention RH et Finances créées (section 4) | à valider |
| ☐ | DLP-PME-Surveillance créée en mode simulation (2 règles) | à valider |
| ☐ | Break-glass RMS configuré (section 2.5) | à valider |
| ☐ | Étiquettes visibles dans Word sur un PC utilisateur (Test 2) | à valider |
| ☐ | Détection AVS fonctionnelle avec 756.1234.5678.94 (Test 3) | à valider |
| ☐ | Avertissement DLP déclenché sur envoi externe (Test 4) | à valider |
| ☐ | Partage SharePoint externe refusé (Test 6) | à valider |
| ☐ | Registre des activités (Annexe I) remis et adapté au client | à valider |
| Terme | Définition |
|---|---|
| MVC (Minimum Viable de Conformité) | Ensemble minimal de mesures techniques défendables devant le PFPDT. Ne vise pas la perfection technique mais la capacité de démontrer une démarche proportionnée et documentée. |
| SIT | Détecteur de motifs qui cherche des numéros AVS, IBAN, etc. dans les documents. |
| Étiquette de sensibilité | Marqueur appliqué à un document qui indique son niveau de confidentialité et active les protections associées (chiffrement, filigrane). |
| Auto-labelling client | S’applique quand l’utilisateur ouvre un document dans Word ou Outlook. Configuré lors de la création de l’étiquette (section 2.2). |
| Auto-labelling service | Analyse asynchrone des fichiers déjà présents dans SharePoint et OneDrive par Purview. Configuré via une stratégie dédiée (section 2.4). |
| Chiffrement AES-256 / Azure RMS | Technologie qui verrouille le contenu d’un document. Sans la clé, le fichier est illisible même s’il est volé ou copié sur une clé USB. |
| DLP (Data Loss Prevention) | Politique qui surveille et peut bloquer les envois de données sensibles par email ou partage. |
| Rétention Purview | Politique qui définit la durée de conservation des documents et déclenche leur suppression automatique à l’échéance. |
| Break-glass RMS | Procédure de secours permettant à un compte désigné d’accéder aux fichiers chiffrés en cas d’urgence. |
| Audit log | Journal qui enregistre toutes les actions sur les données. Obligatoire nLPD art. 24. |
| PFPDT | Préposé fédéral à la protection des données. Autorité de contrôle suisse nLPD. |
| nLPD | Nouvelle loi fédérale sur la protection des données (en vigueur depuis septembre 2023). |
| Réf. | Action à valider | Statut |
|---|---|---|
| [0.3] | Rôles Entra ID (Sécurité + Conformité) attribués | ☐ |
| [0.3] | Organization Management Exchange attribué | ☐ |
| [0.3] | Compliance Administrator Purview attribué | ☐ |
| [0.4] | Licence Purview Suite attribuée au compte admin | ☐ |
| [0.5] | EnableMIPLabels activé (PowerShell) | ☐ |
| [0.6] | MFA activé sur TOUS les comptes (pas seulement admin) | ☐ |
| [0.7] | Partage externe bloqué au niveau tenant SharePoint | ☐ |
| [1] | Audit actif : UnifiedAuditLogIngestionEnabled = True | ☐ |
| [2.1] | SIT AVS-Suisse-PME créé et propagé (30 min) | ☐ |
| [2.1] | SIT Medical-RH-Suisse créé et propagé (30 min) | ☐ |
| [2.2] | Groupe GRP-Confidentiel-Purview créé (mail-enabled) | ☐ |
| [2.2] | Étiquette 1 - Interne créée | ☐ |
| [2.2] | Étiquette 2 - Confidentiel créée (chiffrement + auto-labelling client) | ☐ |
| [2.3] | Les 2 étiquettes publiées (Politique-Labels-[client]) | ☐ |
| [2.4] | Stratégie Auto-Label-Confidentiel créée et simulée | ☐ |
| [2.5] | Break-glass RMS configuré (Super User RMS désigné) | ☐ |
| [3] | DLP-PME-Surveillance créée (2 règles, mode simulation) | ☐ |
| [4] | Retention-RH-10ans créée (SharePoint RH) | ☐ |
| [4] | Retention-Finances-10ans créée (SharePoint Finances) | ☐ |
| [5] | Test 1 : Audit actif vérifié | ☐ |
| [5] | Test 2 : Étiquettes visibles dans Word | ☐ |
| [5] | Test 3 : Détection AVS avec 756.1234.5678.94 fonctionnelle | ☐ |
| [5] | Test 4 : Avertissement DLP sur envoi externe déclenché | ☐ |
| [5] | Test 6 : Partage SharePoint externe refusé | ☐ |
| [I] | Registre des activités adapté et remis au client | ☐ |
ℹ️ INFO — Astuce copier-coller Copiez les mots-clés dans un document Word vierge, Ctrl+H : Rechercher « / » → Remplacer par
^p. Vous obtenez la liste prête à coller dans Purview, un mot-clé par ligne.
Expression régulière : 756\\.\\d{4}\\.\\d{4}\\.\\d{2} |
Niveau de confiance : Moyen | min : 1 |
| Langue | Mots-clés |
|---|---|
| Français | AVS / numéro AVS / No. AVS / N° AVS / assurance vieillesse / assurance sociale / numéro d’assurance |
| Allemand | AHV / AHV-Nummer / AHV-Nr / Altersvorsorge / Sozialversicherung / Versicherungsausweis / AHV-Ausweis |
| Italien | AVS / numero AVS / No. AVS / assicurazione vecchiaia / assicurazione sociale / numero d’assicurazione |
| Romanche | numer AVS / AVS / assicuranza da vegliadetgna / assicuranza sociala / document d’assicuranza / attest d’assicuranza |
| Anglais | AHV number / AVS number / Swiss social security / social security number CH / Swiss insurance number |
| Niveau de confiance : Moyen | min : 2 |
| Langue | Mots-clés |
|---|---|
| Français | arrêt maladie / certificat médical / incapacité de travail / congé maladie / aptitude au travail / inapte au travail / convalescence / accident de travail / maladie professionnelle |
| Allemand | Krankmeldung / ärztliches Zeugnis / Arbeitsunfähigkeit / Krankheitsfall / Arbeitsunfähigkeitszeugnis / Genesungsurlaub / Berufsunfall / Berufskrankheit / arbeitsunfähig |
| Italien | certificato medico / incapacità lavorativa / congedo malattia / idoneità al lavoro / inidoneità al lavoro / convalescenza / infortunio professionale / malattia professionale |
| Anglais | sick leave / medical certificate / incapacity to work / fit for work / unfit for work / occupational accident / occupational disease / sick note / medical leave |
| Romanche | annunzia da malsogna / certificat medical / incapacità da lavurar / congedi da malsogna / abilita da lavurar / nun abel da lavurar / convalescenza / accident da lavur / malsogna professiunala |
| Point | En production |
|---|---|
| Compte admin dans le chiffrement | Supprimez admin@[domaine] des autorisations de chiffrement. Gérez l’accès via le rôle Super User RMS uniquement. |
| DLP mode simulation | Après 2 à 4 semaines : modifiez la politique → Mode → Activer immédiatement. Vérifiez l’Activity Explorer avant. |
| Noms des groupes | Remplacez par les groupes réels du client. Créez-les mail-enabled via Exchange Online. |
| Registre des activités | Complétez l’Annexe I avec les activités réelles du client. Supprimez les références à Axonix SA et demo.ch. |
| Auto-labelling service | Vérifiez les résultats de simulation après 48h avant d’activer. |
| Rétention | Remplacez les URLs SharePoint par les URLs réelles des sites RH et Finances du client. |
| Break-glass RMS | Utilisez un compte cloud-only dédié (non nominatif). Stockez les identifiants dans un coffre-fort physique. |
| MFA | Préférez l’Accès conditionnel Entra pour permettre des exclusions ciblées. |
ℹ️ INFO Appliquez uniquement les adaptations correspondant au secteur du client.
✅ CONSEIL — Aucune adaptation requise. Déployez le MVC tel quel.
Points de rupture : chiffrement RMS vers AFC et banques (ces institutions refusent les flux OTP Microsoft), rétention globale SharePoint (viole le principe de minimisation nLPD art. 6).
Adaptation 1 — Étiquette 3 - Externe-Fiduciaire
| Paramètre | Configuration |
|---|---|
| Nom | 3 - Externe-Fiduciaire |
| Chiffrement RMS | Aucun |
| Marquage visuel | Filigrane : CONFIDENTIEL — USAGE EXTERNE AUTORISÉ | En-tête : Transmission autorisée nLPD |
| Usage | Bilans, déclarations fiscales, décomptes TVA, documents bancaires |
Adaptation 2 — Affiner la rétention
Purview → Stratégies de rétention → modifiez Retention-RH-10ans et Retention-Finances-10ans → Condition : appliquer uniquement aux éléments portant les étiquettes 2 - Confidentiel et 3 - Externe-Fiduciaire.
Option — SIT IDE/UID
| Paramètre | Valeur |
|---|---|
| Nom | IDE-UID-Suisse |
| Expression régulière | CHE-\\d{3}\\.\\d{3}\\.\\d{3} |
| Niveau de confiance | Moyen, min : 1 |
| Mots-clés | IDE / UID / numéro IDE / numéro UID / Unternehmens-Identifikationsnummer / numero IDI |
⚠️ ATTENTION — Ne pas appliquer la section 0.7 (blocage tenant SharePoint) pour ce secteur.
| N° | Étape | Action |
|---|---|---|
| 1 | Partage externe SharePoint | Curseur SharePoint → Personnes spécifiques. Curseur OneDrive → Personnes spécifiques. |
| 2 | Type de lien par défaut | Liens des fichiers et des dossiers → sélectionnez Personnes spécifiques. Permission par défaut : Consultation. |
| 3 | Paramètres supplémentaires | Paramètres de partage externe supplémentaires → cochez L’accès invité expirera automatiquement → 30 jours. |
| 4 | Enregistrer | Cliquez sur Enregistrer. |
| 5 | Restreindre par site | Pour les sites RH et Finances : admin.sharepoint.com → Sites actifs → site → Paramètres → Partage → Uniquement les personnes de votre organisation. |
Adaptation — Étiquette 3 - Juridique-Externe (sans chiffrement RMS)
| Paramètre | Configuration |
|---|---|
| Nom | 3 - Juridique-Externe |
| Chiffrement RMS | Aucun |
| Marquage visuel | Filigrane : CONFIDENTIEL — TRANSMISSION AUTORISÉE | En-tête : Document juridique — Destinataire unique |
| Usage | Pièces de procédure, actes notariés, correspondance inter-cabinets, transmissions aux greffes |
✅ CONSEIL — Pour les transmissions via Justitia.swiss : utilisez le portail directement. Réservez l’étiquette
3 - Juridique-Externeaux transmissions par email.
Adaptation 1 — Exclure les sites créatifs de l’auto-labelling service
Dans Auto-Label-Confidentiel → Emplacements → Sites SharePoint → saisissez uniquement les URLs des sites RH et Finances. Excluez les sites créatifs (Projets, BAT, Assets).
Adaptation 2 — Exclure les comptes créatifs de la DLP Exchange
Dans DLP-PME-Surveillance → Emplacements → Courrier Exchange → Exclure → ajoutez les comptes des créatifs et chargés de projet.
⚠️ ATTENTION — Compensez par une charte informatique signée interdisant l’envoi de données personnelles depuis les comptes créatifs. Documentez ce choix dans le registre des activités (Annexe I).
Adaptation — Étiquette 3 - Patient-Externe (sans chiffrement RMS)
| Paramètre | Configuration |
|---|---|
| Nom | 3 - Patient-Externe |
| Chiffrement RMS | Aucun |
| Marquage visuel | En-tête : Document médical personnel — Confidentiel | Pied : Ne pas transmettre à des tiers |
| Usage | Résultats d’analyses, ordonnances, rappels de consultation, factures patients |
✅ CONSEIL — Flux HIN : pour les échanges interprofessionnels (médecin → hôpital), utilisez HIN Mail directement. Le MVC Purview couvre les données internes et les communications patients uniquement.
| Secteur | Blocage SharePoint | RMS externe | Auto-labelling | DLP | Complexité |
|---|---|---|---|---|---|
| PME générique | ✅ Bloquer | ✅ OTP | ✅ Tous sites | ✅ Tous comptes | Aucune |
| Fiduciaire | ✅ Bloquer | ⚠️ Étiquette ext. | ✅ Tous sites | ✅ Tous comptes | Faible |
| Architectes | ⚠️ Partage contrôlé | ✅ OTP | ✅ Tous sites | ✅ Tous comptes | Modérée |
| Avocats | ✅ Bloquer | ⚠️ Étiquette ext. | ✅ Tous sites | ✅ Tous comptes | Faible |
| Communication | ✅ Bloquer | ✅ OTP | ⚠️ Sites ciblés | ⚠️ Comptes ciblés | Faible |
| Cabinet médical | ✅ Bloquer | ⚠️ Étiquette ext. | ✅ Tous sites | ✅ Tous comptes | Faible |
⚠️ ATTENTION — Exemple pré-rempli Remplacez Axonix SA, demo.ch et admin@demo.ch par les données réelles du client.
Informations générales de l’organisation
| Champ | À compléter |
|---|---|
| Raison sociale | [Nom de la société] |
| Responsable du traitement (art. 5 let. j nLPD) | [Nom, Prénom, Fonction] |
| DPO / Conseiller en protection des données | [Nom, Prénom ou Externe / Pas de DPO désigné] |
| Date de dernière mise à jour | [JJ/MM/AAAA] |
Activité 1 : Gestion des ressources humaines et de la paie
| Champ | Valeur — Axonix SA |
|---|---|
| Finalité | Administrer les contrats de travail, calculer et verser les salaires, gérer les absences. |
| Personnes concernées | Employés actifs et anciens employés. |
| Catégories de données | Numéro AVS, coordonnées, salaire, évaluations, données médicales (certificats), IBAN. |
| Destinataires | Fiduciaire, caisse AVS, assureur LAA, assureur maladie, Microsoft (sous-traitant). |
| Conservation | 10 ans après fin du contrat (CO art. 958f). |
| Base légale | Exécution du contrat de travail (art. 31 al. 2 let. a nLPD). |
| Mesures techniques | Étiquette 2 - Confidentiel (AES-256, Azure RMS). DLP-PME-Surveillance. Retention-RH-10ans. MFA actif. |
Activité 2 : Comptabilité et gestion financière
| Champ | Valeur — Axonix SA |
|---|---|
| Finalité | Tenir la comptabilité, gérer paiements fournisseurs et encaissements clients. |
| Personnes concernées | Fournisseurs, clients (contacts de facturation), employés (notes de frais). |
| Catégories de données | IBAN, coordonnées de facturation, montants, références de contrats. |
| Destinataires | Fiduciaire, banque, AFC, administrations fiscales cantonales, Microsoft (sous-traitant). |
| Conservation | 10 ans (CO art. 958f). |
| Base légale | Obligation légale (CO art. 957 ss). |
| Mesures techniques | Étiquette 2 - Confidentiel. Règle DLP Avertir-IBAN-Externe (justification obligatoire). Retention-Finances-10ans. MFA actif. |
Activité 3 : Gestion de la relation client
| Champ | Valeur — Axonix SA |
|---|---|
| Finalité | Exécuter les contrats de prestation, suivi commercial, facturation. |
| Personnes concernées | Contacts clients (personnes physiques, contexte B2B principalement). |
| Catégories de données | Nom, coordonnées professionnelles, historique des commandes et contrats. |
| Conservation | Durée du contrat + 5 ans (prescription CO art. 127). |
| Base légale | Exécution du contrat (art. 31 al. 2 let. a nLPD). |
| Mesures techniques | Étiquette 1 - Interne. Accès restreint par site SharePoint. DLP-PME-Surveillance. |
→ Ajoutez ici les activités supplémentaires spécifiques au client.
← Retour au guide Purview · 🏠 Retour au portail principal
ℹ️ Références, structuration et aide à la rédaction assistées par IA, avec validation humaine finale.