Il y a un CISO qui a enfin gagné le débat interne : l’hygiène des données ne peut pas seulement reposer sur l’équipe sécurité. Les propriétaires des données, ceux qui ont créé le fichier, partagé le lien ou nommé le site SharePoint, sont les seuls à détenir le contexte d’affaires nécessaire pour décider ce qui doit rester, être déplacé ou supprimé. Ils doivent être dans la boucle et le CISO a raison d’insister sur ce point.

Alors le projet atterrit sur le bureau de l’équipe TI et TI fait ce qu’il a toujours fait avec les flux de travail transversaux : il se tourne vers le système de billeterie. ServiceNow, Jira ou toute autre plateforme ITSM déjà intégrée au tenant. Le DSPM signale un fichier risqué, un billet est ouvert, le propriétaire de la donnée à risque reçoit une assignation, un formulaire est rempli, le cas est clos. Sur le papier, ça ressemble à un processus propre. En pratique, ça se transforme rapidement en cimetière de billets ouverts.

Les décisions que seul le propriétaire de la donnée peut prendre

Trois catégories de décisions sont au cœur de tout programme d’hygiène des données. Toutes trois nécessitent un contexte qui ne vit qu’avec la personne qui a créé ou utilise encore la donnée. Aucune d’entre elles ne peut être résolue par l’équipe TI, de sécurité ou juridique sans revenir à la source.

Révision des accès

Le site SharePoint créé il y a trois ans pour un projet désormais terminé compte encore quinze personnes dans sa liste de permissions, dont plusieurs ont changé de rôle ou ont quitté l’entreprise. Ni l’équipe TI ni l’équipe de sécurité ne peuvent dire lesquelles ont encore une raison légitime d’y figurer. Seul le propriétaire du site peut répondre à cette question, et à l’échelle d’un tenant typique, il existe des milliers de listes de permissions que personne ne révise à une cadence significative.

Révocation des partages

C’est la crise la plus silencieuse dans la plupart des tenants M365. Les partages « Toute personne ayant le lien » s’accumulent par milliers, les liens externes vers des fournisseurs, des partenaires et d’anciens employés ne sont jamais révoqués, et une organisation de taille moyenne aura couramment des dizaines de milliers de liens de partage externes actifs. Chacun est une surface d’attaque. Et la seule personne qui peut dire si un partage est toujours nécessaire, c’est celle qui l’a créé.

Archivage et fin de vie

Des fichiers non touchés depuis cinq ans sont toujours indexés, toujours découverts et font toujours partie de chaque injonction judiciaire et de chaque périmètre de violation. Le juridique n’autorisera pas une suppression massive sans contexte, l’équipe TI ne déplacera pas les données en stockage froid sans le consentement du propriétaire des données, alors les fichiers restent là où ils sont, tandis que les coûts de stockage et l’exposition continuent d’augmenter. La décision est triviale au niveau du fichier et paralyse en agrégat, ce qui explique précisément pourquoi elle n’est jamais prise. Multipliée sur des millions de fichiers et des dizaines de milliers de partages, c’est la charge de travail qui doit être distribuée.

La question est de savoir si les billets constituent le bon mécanisme pour la distribuer. Ce n’est pas le cas et voici pourquoi.

Pourquoi les billets échouent à cette tâche

Les billets sortent les utilisateurs de leur travail et les redirigent vers un portail séparé, où ils doivent s’authentifier à nouveau, déchiffrer une description rédigée par quelqu’un de l’équipe sécurité et remplir un formulaire avant que le cas puisse être clos. Chaque étape est une friction et une raison de remettre la tâche à la semaine prochaine, puis au mois suivant, puis jamais.

Une notification bien conçue fait l’inverse : elle connecte avec les utilisateurs dans Teams ou Outlook, liée à un fichier ou un partage spécifique dont ils se souviennent avoir créé et demande une seule décision claire. Pas de portail. Pas de changement de contexte. Pas de traduction du jargon des politiques en réalité d’affaires. L’attention est la ressource rare ici et les billets la gaspillent.

Le problème d’échelle est immédiat. Un seul scan DLP et d’accès sur un tenant de taille moyenne fera couramment remonter des millions de fichiers et des dizaines de milliers de partages externes. Si chacun devient un ticket, vous ne gérez pas un programme d’hygiène : vous exécutez une attaque par déni de service contre votre propre service desk. Chaque billet est un lot de travail pour les TI : trié, routé, relancé, escaladé, suivi par rapport à un SLA. À trente secondes par billet, cinquante mille billets représentent environ un quart d’une année-personne à temps plein de surcharge, avant qu’un seul partage n’ait été révoqué.

Les notifications, elles, orientent directement le travail vers la personne la plus proche des données. L’équipe TI consulte le tableau de bord. Les tendances. Le risque qui diminue semaine après semaine. Les billets font de l’équipe TI le goulot d’étranglement. Les notifications font de l’équipe TI le chef d’orchestre.

Il y a aussi la question de l’engagement, qui n’est pas une métrique accessoire. Les utilisateurs tolèrent les systèmes de billets. La conformité arrive quand quelqu’un relance trois fois, pas parce que le propriétaire de la donnée se sentait impliqué dans le résultat. Une notification traite le propriétaire comme un partenaire qui détient le contexte, pas comme un répondant qui coche une case de plus dans sa boîte de réception. Cette différence est l’écart entre un programme qui produit une réduction mesurable du risque et un qui produit un rapport trimestriel auquel personne ne se fie.

La vraie question

Le CISO qui a insisté sur la responsabilité partagée avait raison. La question de suivi, celle qui détermine si le programme survit au contact de la réalité, est de savoir si la chaîne d’outils correspond vraiment à cette ambition.

Vous pouvez router le travail via un système conçu pour les tâches TI, géré par l’équipe TI, escaladé à les TI et clos par eux encore. Ou vous pouvez le router par la couche où les utilisateurs travaillent déjà chaque jour, à une cadence qu’ils peuvent absorber, dans un format qu’ils ne percevront même pas comme une charge de travail supplémentaire.