Gouvernance des journaux d’audit de Teams : guide complet pour Microsoft 365

By Mirko Peters · 2026-03-12 · Updated 2026-03-24

Maîtrisez la gouvernance des journaux d’audit de Teams dans Microsoft 365. Ce guide complet couvre l’audit, la gestion des journaux et la surveillance des activités Teams.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Teams Governance Sprawl with Enforced Decisions

Si votre mission consiste à garantir le bon fonctionnement de Microsoft Teams et à le tenir à l’écart des ennuis, vous devez absolument maîtriser la gouvernance des journaux d’audit. Les journaux d’audit enregistrent pratiquement tout ce qui se produit dans votre environnement Teams : qui a fait quoi, quand et comment. Que vous soyez préoccupé par la conformité, que vous dépanniez des comportements étranges ou que vous cherchiez à détecter d’éventuelles menaces de sécurité, les journaux d’audit sont votre principal filet de sécurité. Les ignorer revient à ignorer l’alarme incendie d’une pizzeria.

Ce guide passe en revue tout ce que vous devez savoir sur la gouvernance des journaux d’audit de Teams. Nous expliquerons les bases de ce que sont les journaux d’audit, vous montrerons comment les configurer, vous apprendrons à explorer les données et vous guiderons pas à pas dans des situations réelles pour rester conformes et sécurisés. Vous apprendrez à repérer les activités suspectes, à respecter les règles de conformité, parfois fastidieuses, et à exploiter des outils plus avancés (scripts PowerShell, API ou alertes automatisées), que beaucoup ignorent mais sur lesquels les professionnels s’appuient.

De la création de stratégies à la surveillance quotidienne, nous vous accompagnons, que vous gériez une petite association ou une entreprise réglementée de grande envergure. Considérez ce guide comme votre feuille de route pour transformer le chaos de Teams en ordre, bâtir la confiance, réduire les risques et éviter que votre organisation ne fasse les gros titres pour de mauvaises raisons. Entrons maintenant dans les détails que les guides de vos concurrents survolent ou expédient à la hâte, afin que vous puissiez aborder avec assurance aussi bien les certitudes que les inconnues de la gouvernance de Microsoft Teams.

Gouvernance des journaux d’audit de Teams : 8 faits surprenants

La gouvernance des journaux d’audit de Teams met en évidence de nombreuses actions inter-services : des événements survenus dans SharePoint, OneDrive et Exchange et liés à Teams (comme les modifications de fichiers ou les invitations à des réunions) apparaissent dans la piste d’audit Teams. Une action effectuée dans un service peut ainsi figurer dans vos investigations d’audit Teams.
Vous pouvez suivre l’activité des utilisateurs invités : les actions des invités et des utilisateurs externes dans Teams (adhésions, accès aux fichiers, modifications d’appartenance) sont enregistrées, ce qui rend la gouvernance de la collaboration externe auditable.
Le contenu des messages n’est pas stocké dans les enregistrements d’audit : les entrées capturent les métadonnées (qui, quoi, quand, où), mais n’incluent généralement pas le texte intégral des messages. Cela distingue les analyses forensiques des investigations fondées uniquement sur les métadonnées.
Certaines actions courantes des utilisateurs sont étonnamment détaillées : la modification ou la suppression de messages, les réactions et la restauration de conversations sont toutes journalisées, ce qui permet une analyse fine du comportement des utilisateurs dans le cadre de la gouvernance des journaux d’audit de Teams.
La durée de conservation et les licences ont leur importance : la journalisation d’audit de base dispose d’une fenêtre de conservation par défaut (généralement 90 jours), sauf si vous avez configuré l’audit avancé ou une conservation étendue. La gouvernance à long terme exige donc une planification explicite et les licences appropriées.
La suppression d’une équipe ou d’un canal n’efface pas son historique d’audit : les entrées relatives aux activités antérieures à la suppression restent disponibles, ce qui facilite la gouvernance et la conformité après la suppression de ressources.
Les données d’audit peuvent être exportées vers un SIEM et des flux de travail automatisés : vous pouvez diffuser ou exporter les journaux d’audit Teams via des API vers des systèmes de gestion des informations et des événements de sécurité (SIEM), ou automatiser les alertes. La gouvernance devient ainsi proactive plutôt que purement réactive.
Certains événements peuvent être retardés ou regroupés : si de nombreux événements d’audit Teams apparaissent rapidement, certaines activités peuvent mettre plusieurs heures à figurer dans le journal d’audit. Il convient donc d’ajuster vos attentes en matière de surveillance en temps réel dans le cadre de la gouvernance des journaux d’audit de Teams.

Comprendre la gouvernance des journaux d’audit dans Microsoft Teams

Prenons un instant de recul avant d’entrer dans le vif du sujet technique, car comprendre ce que sont les journaux d’audit (et ce que la gouvernance signifie réellement pour Teams) est la première étape. Lorsque vous gérez Microsoft Teams dans une entreprise ou un organisme réglementé, il ne s’agit pas seulement de savoir qui a écrit à qui. Un enjeu bien plus vaste est en jeu : la sécurité des données, la transparence et la nécessité de garder votre organisation à l’écart des ennuis juridiques.

Les journaux d’audit jouent le rôle de caméra de surveillance numérique. Ils documentent les activités et les modifications dans l’ensemble de votre environnement Teams, vous donnant le déroulé précis nécessaire pour comprendre ce qui se passe et le prouver si besoin. Mais collecter les données ne fait que la moitié du travail : la gouvernance structure ces journaux grâce à des stratégies et des contrôles. Avec une gouvernance appropriée, vous décidez de ce qui est surveillé, pendant combien de temps et qui est responsable du suivi.

Pour les responsables informatiques et métiers, mettre en place un plan solide de gouvernance des journaux d’audit vous aide à réagir aux incidents, à satisfaire aux contrôles de conformité et à garder les données confidentielles là où elles doivent être. Il ne s’agit pas seulement de cocher des cases : il s’agit d’instaurer de l’ordre, de fixer des attentes claires et d’utiliser les pistes d’audit pour prendre des décisions en toute confiance. Dans les sections suivantes, nous nous concentrerons sur ce que les journaux d’audit enregistrent et sur les orientations stratégiques à adopter pour les gérer efficacement. Pour en savoir plus sur la manière dont la gouvernance de Teams peut transformer le chaos du travail en collaboration assurée, consultez cette analyse approfondie.

Qu’est-ce qu’un journal d’audit Microsoft Teams

Un journal d’audit Microsoft Teams est un registre chronologique des actions et événements survenant dans votre environnement Teams. Il enregistre des données telles que les connexions des utilisateurs, les publications de messages, le partage de fichiers, la création d’équipes ou de canaux et les modifications d’appartenance. En substance, il constitue un historique d’activité détaillé qui indique qui a fait quoi, quand et depuis où.

Ces journaux d’audit aident les organisations à suivre tout ce qui compte, des menaces de sécurité et violations de stratégies jusqu’au dépannage de problèmes et au respect des obligations légales. Dans Microsoft 365, différents services produisent leurs propres journaux d’audit, mais les journaux Teams se concentrent spécifiquement sur les actions collaboratives et les modifications effectuées dans Teams lui-même. Ce niveau de suivi est essentiel pour le reporting de conformité et pour garantir la responsabilité sur l’ensemble de votre environnement Teams.

Stratégies de gouvernance clés pour la gestion des journaux d’audit Teams

Aligner les stratégies d’audit sur les objectifs de gouvernance de l’entreprise : Définissez des stratégies de journalisation d’audit qui soutiennent votre cadre de gouvernance Teams global et les besoins métiers. Déterminez les activités Teams à surveiller en priorité, comme les actions d’administration, l’accès aux canaux sensibles ou le partage externe. Assurez-vous qu’elles sont alignées sur les objectifs de sécurité et les exigences de conformité.
Imposer une propriété claire et une attribution des rôles : Attribuez clairement la responsabilité de la revue des journaux d’audit et de l’application des stratégies. Précisez qui gère la configuration, qui examine régulièrement les journaux et qui agit sur les problèmes détectés. Évitez de créer une « illusion de contrôle » en veillant à ce que les responsables disposent de l’autorité et des ressources nécessaires pour apporter des modifications, plutôt que de se contenter de suivre des indicateurs, comme évoqué dans cet épisode de podcast.
Intégrer la gestion des journaux à la conformité globale : Reliez les contrôles des journaux d’audit Teams à la gestion des risques, aux politiques juridiques et informatiques plus larges de votre organisation. Cette intégration garantit que les preuves d’audit sont disponibles pour les contrôles réglementaires, la réponse aux incidents et les enquêtes.
Prévoir une revue continue et des mises à jour des stratégies : La gouvernance n’est pas une tâche ponctuelle. Planifiez des audits périodiques de votre processus de gestion des journaux, mettez à jour les règles de surveillance et affinez ce qui est enregistré en fonction des nouveaux risques ou des normes de conformité. Adaptez vos plans à mesure que votre environnement Teams se développe et que la réglementation évolue.
Tout documenter : Conservez des registres détaillés des stratégies de journaux d’audit, des procédures de revue et des réponses aux incidents. Une documentation rigoureuse facilite la conformité, accélère les enquêtes et assure la continuité lorsque les rôles ou les équipes évoluent.

Accéder aux journaux d’audit Teams et les rechercher

Une fois vos journaux d’audit en cours d’enregistrement, le défi suivant consiste à accéder rapidement et de façon fiable à l’information dont vous avez besoin. Cette section porte sur l’aspect pratique de la recherche dans les journaux d’audit Teams au sein de Microsoft 365. Vous aurez intérêt à comprendre à la fois les méthodes de recherche (pour ne pas vous noyer dans les données) et les différents centres d’administration où ces journaux sont stockés et consultés.

L’accès aux journaux d’audit est soumis à des autorisations, pour des raisons de sécurité. La bonne combinaison de filtres de recherche, qu’il s’agisse de rechercher un utilisateur, une action ou une date précise, peut faire la différence entre résoudre un problème rapidement et se perdre dans le bruit. Nous verrons comment utiliser les requêtes textuelles, le filtrage des événements et des outils de recherche plus spécialisés dans les sections suivantes.

Pour les administrateurs informatiques et les responsables de la conformité, l’utilisation du Centre d’administration Microsoft 365 ou du portail d’administration Teams est une routine, mais en exploiter tout le potentiel pour l’examen des journaux relève d’une autre démarche. Les détails qui suivent vous aideront à trouver les chemins de navigation les plus rapides, à attribuer les bons rôles et à structurer vos recherches, tant pour la supervision au quotidien que pour les urgences d’audit.

Méthodes de recherche dans les journaux d’audit Microsoft Teams

Recherches par mots-clés : Saisissez des mots-clés, des noms d’utilisateur ou des noms de ressources pour retrouver des événements liés à des personnes ou à des équipes. La combinaison de termes de recherche permet de restreindre rapidement les résultats lors d’investigations ou d’enquêtes internes.
Filtres de plage de dates et d’heures : Utilisez des filtres temporels pour restreindre les journaux d’audit à la seule période que vous examinez. Cela réduit la taille des résultats et améliore leur pertinence, en particulier lors de l’analyse d’incidents potentiels ou de périodes de conformité.
Filtrage par type d’événement et par action : Filtrez selon des activités précises de Teams, comme « canal supprimé », « message publié » ou « fichier téléchargé ». Vous pouvez ainsi cibler les actions à haut risque sans parcourir des données moins pertinentes.
Recherche par adresse IP et par localisation : Recherchez les entrées de journal déclenchées par certaines adresses IP ou certaines zones géographiques. C’est utile pour détecter un accès depuis des lieux inattendus, susceptible de révéler un comportement suspect ou une violation de la conformité.
Création de requêtes avancées : Utilisez les générateurs de recherche avancés ou personnalisés dans Microsoft Purview ou dans les portails Sécurité. Ces outils permettent de combiner plusieurs filtres (utilisateur, action, appareil, etc.) et d’enregistrer les recherches pour les investigations ou audits récurrents.
Export et création de rapports des résultats de recherche : Exportez les résultats filtrés pour une analyse approfondie dans Excel, Power BI ou des plateformes SIEM. Les exports structurés sont essentiels pour les revues forensiques, les synthèses de conformité et la conservation d’une piste d’audit défendable.

Utiliser le Centre d’administration Microsoft 365 pour accéder aux journaux d’audit

Navigation : Connectez-vous au Centre d’administration Microsoft 365, accédez au portail de conformité ou de sécurité et sélectionnez « Audit » ou « Journaux d’audit » dans le volet de navigation. Ce point central offre un accès unifié aux journaux de Teams et des autres services Microsoft 365.
Autorisations : L’accès aux journaux d’audit est réservé aux utilisateurs disposant de rôles spécifiques, tels qu’Administrateur de la conformité, Administrateur de la sécurité ou Administrateur général. Attribuez ces rôles via Azure Active Directory ou dans les paramètres du Centre d’administration, selon les besoins.
Tableau de bord et planification : Utilisez les tableaux de bord du portail pour un aperçu immédiat des événements récents des journaux, et configurez des rapports planifiés pour automatiser les revues récurrentes. Les tableaux de bord peuvent souvent afficher les tendances, le nombre d’alertes et les synthèses d’activité des utilisateurs pour des contrôles rapides de l’état.
Accès délégué : Pour les organisations appliquant une séparation stricte des tâches, configurez un accès délégué afin que la revue des journaux d’audit puisse être effectuée sans accorder de droits d’administration complets. Cela limite les risques tout en assurant une couverture adéquate pour la supervision et les investigations.

Activer et configurer la journalisation d’audit de Teams

Avant de pouvoir tirer parti des journaux d’audit de Teams, vous devez vous assurer qu’ils sont bien collectés et configurés de manière adaptée à votre organisation. L’activation de la journalisation d’audit est l’étape initiale indispensable de tout programme de conformité ou de sécurité. Heureusement, Microsoft rend le démarrage d’une journalisation de base relativement simple, tandis que des options de configuration avancées sont disponibles pour les besoins complexes.

Dans cette section, nous examinerons les approches simples à l’aide des portails d’administration, ainsi que des options plus techniques avec PowerShell. Bien que l’audit soit souvent activé par défaut pour les locataires Microsoft 365, il est préférable de vérifier et d’adapter la configuration à vos besoins spécifiques. Vous voudrez également confirmer les autorisations, configurer des exports récurrents et vous assurer que la documentation est prête pour toute revue de conformité.

Pour ceux qui préfèrent automatiser ou personnaliser chaque détail (ou qui aiment simplement affiner les paramètres), PowerShell ouvre des possibilités que l’interface graphique ne permet pas. Nous présenterons ci-dessous les bonnes pratiques pour les deux approches, manuelle et automatisée, en mettant l’accent sur une journalisation robuste et fiable dès le premier jour.

Comment activer la journalisation d’audit dans Teams et Microsoft 365

Vérifier l’état par défaut de l’audit : Dans la plupart des nouveaux locataires Microsoft 365, l’audit est activé par défaut. Ne vous fiez pas à cela aveuglément : rendez-vous dans le portail de conformité ou de sécurité pour confirmer l’état dans la section Audit.
Attribuer les autorisations requises : Seuls les utilisateurs disposant des rôles Administrateur de la sécurité, Administrateur de la conformité ou Administrateur général peuvent activer ou gérer les journaux d’audit. Vérifiez que vos responsables informatiques ou conformité disposent de ces rôles pour contrôler les fonctionnalités d’audit.
Activer la journalisation d’audit via le portail : Dans le portail Microsoft Purview (Conformité), accédez à l’onglet Audit et sélectionnez « Démarrer l’enregistrement de l’activité des utilisateurs et des administrateurs ». Suivez les instructions pour confirmer et activer l’audit pour Teams et le reste de Microsoft 365.
Activer la journalisation d’audit via PowerShell : Pour les administrateurs avancés ou les actions en masse sur le locataire, exécutez des commandes PowerShell telles que Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true dans Exchange Online PowerShell afin d’activer la journalisation unifiée.
Vérifier l’activité du journal d’audit : Testez la configuration en déclenchant quelques actions types dans Teams (par exemple, publier un message ou créer un canal), puis recherchez ces événements dans les journaux d’audit pour confirmer qu’ils sont bien enregistrés.
Documenter et communiquer : Consignez chaque étape suivie pour activer la journalisation d’audit, y compris les autorisations attribuées, les paramètres modifiés et tout dépannage effectué. Conservez captures d’écran et notes à des fins de documentation de conformité.
Résoudre les problèmes courants : Si des journaux sont manquants ou ne sont pas à jour, vérifiez les licences (les niveaux E1, E3 et E5 influencent la rétention et les types de journaux), les délais de déploiement des fonctionnalités ou les erreurs de configuration des rôles. Utilisez les ressources du support Microsoft ou les tableaux de bord d’intégrité du locataire pour le dépannage.

Configuration avancée du journal d’audit avec PowerShell

Se connecter à Exchange Online PowerShell : Ouvrez une session PowerShell et connectez-vous à Exchange Online à l’aide de Connect-ExchangeOnline pour accéder à l’ensemble des applets de commande de configuration du journal d’audit.
Personnaliser les paramètres d’audit : Utilisez des applets de commande telles que Set-MailboxAuditBypassAssociation ou Set-Mailbox pour affiner les événements Teams à journaliser, les utilisateurs inclus ou exclus, ainsi que les conditions particulières applicables aux comptes sensibles.
Automatiser les exportations du journal d’audit : Planifiez par script des exportations des journaux d’audit vers un stockage local ou cloud à l’aide de Search-UnifiedAuditLog combiné à une logique d’export. C’est particulièrement utile pour l’archivage à long terme ou pour alimenter des outils SIEM.
Interroger des événements spécifiques : Affinez vos requêtes pour extraire les événements liés à Teams, comme le partage de fichiers ou les élévations de privilèges administratives, avec l’applet de commande Search-UnifiedAuditLog et ses paramètres de filtrage.
Intégrer à l’automatisation de la gouvernance : Combinez vos scripts PowerShell avec Power Apps ou Power Automate pour déclencher des workflows à partir de l’activité du journal d’audit (par exemple, envoyer une alerte ou lancer une revue). Pour une gestion avancée du cycle de vie de Teams, envisagez d’utiliser l’API Graph, comme décrit dans ce guide sur la gouvernance automatisée de Teams.
Gérer le dépannage et la sécurité : Lorsque les scripts échouent ou que les journaux semblent incomplets, vérifiez l’état de service, les périmètres des rôles et les paramètres de session PowerShell. Appliquez les bonnes pratiques Microsoft pour la gestion sécurisée des identifiants dans les scripts d’automatisation.

Stratégies de rétention des journaux d’audit et de conformité pour Teams

Une fois la journalisation d’audit de Teams opérationnelle, la question suivante consiste à déterminer combien de temps conserver ces enregistrements, et selon quelles règles. La rétention ne se résume pas à une question de stockage : elle constitue un élément essentiel de la conformité, de la protection de la vie privée et de la gestion des risques. Les obligations varient selon les organisations, qu’il s’agisse du RGPD, de la loi Sarbanes-Oxley (SOX) ou d’exigences propres à un secteur d’activité. Comprendre ce qui détermine la rétention des journaux d’audit est donc indispensable.

Cette section présente les stratégies de rétention par défaut pour les journaux de Teams, les facteurs qui permettent de personnaliser ces durées et la manière dont les normes de conformité s’intègrent à la gouvernance de Teams. Vous verrez comment les niveaux de licence (E1, E3, E5), les contraintes géographiques et les exigences légales influencent ce que vous pouvez configurer ou ce que vous êtes tenu d’appliquer. Nous verrons également comment aligner les stratégies de journalisation sur les réglementations, tout en facilitant les audits et en tenant compte des coûts et des incidences sur la vie privée d’une conservation prolongée des données.

Une fois les options et les raisons de la rétention des journaux d’audit bien comprises, vous serez mieux armé pour répondre aux questions délicates de votre responsable conformité, de votre service juridique ou des autorités de contrôle, et pour faire des choix qui gardent votre environnement sécurisé, efficient et conforme à la réglementation.

Comprendre les durées de rétention des journaux d’audit dans Teams

Par défaut, les données du journal d’audit de Teams sont conservées pendant 90 jours dans la plupart des offres Microsoft 365 (E1/E3), tandis que les licences E5 ou le module complémentaire de conformité avancée de Microsoft 365 prolongent cette rétention à 180 jours, voire davantage. Les durées réelles peuvent varier selon la stratégie appliquée et la région réglementaire.

Les paramètres de rétention dépendent des besoins de conformité, des coûts de stockage et de la politique interne : il faut trouver un équilibre entre ces facteurs pour chaque cas d’usage. Conserver les journaux plus longtemps facilite les enquêtes et les audits, mais accroît les enjeux de stockage et de vie privée. Ajustez ces paramètres à mesure que vos risques de conformité et vos exigences légales évoluent.

Exigences de conformité et normes applicables aux journaux d’audit

Conformité RGPD : Veillez à ce que les journaux d’audit ne conservent que les données personnelles nécessaires, respectent les demandes d’accès et de suppression des personnes concernées et définissent des durées de conservation explicites. Examinez régulièrement les journaux pour vérifier la minimisation des données et la conformité en matière de confidentialité.
HIPAA et normes relatives aux données de santé : Pour les organisations qui traitent des informations de santé, les journaux d’audit doivent enregistrer les accès aux dossiers, les modifications et les divulgations afin de satisfaire aux exigences de la HIPAA. Protégez l’accès aux journaux d’audit par des contrôles d’accès basés sur les rôles stricts, et mettez en place des mesures permettant de détecter toute altération.
Sarbanes-Oxley (SOX) : Les journaux doivent documenter les principales opérations financières, les actions d’administration et les modifications du système. Conservez-les pendant des durées conformes aux obligations réglementaires et assurez-vous qu’ils sont accessibles pour la vérification de la piste d’audit.
Stratégies internes et régionales : Adaptez la durée de conservation des journaux d’audit de Teams aux stratégies propres à votre organisation (par exemple en matière de souveraineté des données ou de réglementations sectorielles). Veillez à respecter les règles nationales (par exemple les lois des États américains ou les directives européennes), telles que décrites dans les cadres de confidentialité de Microsoft, y compris ceux mentionnés pour de nouveaux outils comme Copilot dans cet aperçu de la confidentialité et de la conformité.
Liste de contrôle des bonnes pratiques : Examinez régulièrement les autorisations, testez l’export et l’intégration des journaux d’audit, tenez à jour une documentation claire de la réponse aux incidents, et vérifiez les paramètres des journaux d’audit au moins une fois par trimestre. Soyez prêt à répondre rapidement aux demandes de contrôle de conformité et aux investigations grâce à des enregistrements clairs et à jour.

Surveiller les activités de Teams et la sécurité à l’aide des journaux d’audit

Une fois la journalisation d’audit activée et configurée, votre tâche suivante consiste à vous assurer que vous utilisez réellement ces journaux pour surveiller ce qui compte, à la fois pour le suivi opérationnel et pour la sécurité proactive. Les journaux d’audit de Teams sont une mine d’or pour suivre les activités des utilisateurs et des administrateurs, repérer les violations potentielles de stratégies et détecter les menaces de sécurité avant qu’elles ne deviennent de véritables catastrophes.

Surveiller à l’aide des journaux d’audit signifie que vous ne réagissez pas seulement aux problèmes passés : vous mettez en place des garde-fous, configurez des alertes et prenez une longueur d’avance sur les risques. Que vous ayez besoin de répondre aux équipes juridiques, aux enquêtes RH ou aux professionnels de la sécurité informatique, il est essentiel de savoir exactement quelles activités de Teams sont suivies et comment affiner votre surveillance.

Cette partie du guide explore tout, depuis les types d’activités consignées dans les journaux de Teams jusqu’à la configuration de règles de surveillance sur mesure et l’adoption de méthodes plus intelligentes de détection des anomalies. Nous vous montrerons comment des stratégies de journalisation bien conçues peuvent repérer rapidement les problèmes, protéger les données sensibles de l’entreprise et vous permettre de dormir un peu plus sereinement, même lorsque vos utilisateurs travaillent à distance ou à toute heure.

Activités de Teams surveillées dans le journal d’audit

Publication et modification de messages : Enregistre lorsque les utilisateurs envoient, modifient ou suppriment des messages dans les conversations ou les canaux de Teams. Ces informations sont essentielles lors des enquêtes RH ou de conformité portant sur une communication inappropriée.
Gestion des équipes et des canaux : Consigne la création, la modification, le renommage ou la suppression d’équipes ou de canaux. Cela permet aux administrateurs de détecter la prolifération non autorisée d’équipes ou les suppressions accidentelles qui affectent la continuité de l’activité.
Modifications des membres d’un utilisateur ou d’un groupe : Suit les utilisateurs ajoutés ou retirés des équipes, des canaux ou des groupes. Information clé pour les équipes informatiques, RH ou sécurité qui doivent confirmer la recertification des accès ou examiner des tendances d’accès inhabituelles.
Partage et accès aux fichiers : Surveille les importations, les téléchargements et les modifications d’autorisations dans les bibliothèques de documents SharePoint connectées à Teams. Les alertes permettent de repérer les fuites de données potentielles ou les tentatives d’exfiltration.
Intégrations d’applications et utilisation des bots : Enregistre les actions liées à l’intégration d’applications tierces, de bots ou de connecteurs personnalisés. Ce suivi est particulièrement important pour les organisations qui contrôlent l’accès à des systèmes métier critiques ou qui automatisent des flux de travail.
Actions d’administration et de conformité : Enregistre des événements tels que les modifications de stratégies, l’octroi d’autorisations ou les mises à jour de la configuration de conformité. Ces événements permettent de constituer des pistes d’audit solides pour prouver la conformité ou retracer les causes profondes lors d’incidents.

Des journaux d’audit de Teams correctement documentés permettent aux services RH, juridiques et de sécurité de examiner les actions des utilisateurs, d’enquêter sur les problèmes et d’appuyer les certifications de conformité.

Configurer les stratégies d’activité pour les journaux d’audit de Teams

Stratégies de surveillance du comportement des utilisateurs : définissez des règles d’alerte sur les activités inhabituelles, comme les échecs de connexion répétés ou les suppressions massives de canaux, afin de détecter rapidement les actions à risque.
Stratégies d’accès aux données : créez des stratégies signalant le téléchargement et le partage de fichiers contenant des documents sensibles de l’entreprise, en concentrant la réponse sur les accès à fort impact.
Stratégies relatives aux opérations sensibles : définissez des déclencheurs pour des actions telles que l’attribution de nouveaux rôles d’administrateur ou les modifications importantes des paramètres de Teams.
Ajustement personnalisé des stratégies : adaptez les notifications et les réponses en fonction de la charge de travail, des rôles des utilisateurs ou des profils de risque, afin que votre surveillance soit précise et non envahissante.

Détection d’anomalies dans les données du journal d’audit de Teams

Analyse automatisée de référence : utilisez les outils de sécurité intégrés à Microsoft 365 ou des solutions tierces pour établir un schéma « normal » de l’activité Teams, comme les heures de connexion moyennes, le volume de messages et les emplacements d’accès.
Détection des valeurs aberrantes et des schémas suspects : configurez des règles (ou utilisez des modèles d’IA/ML) pour repérer les événements inhabituels, comme les connexions d’utilisateurs depuis de nouveaux pays, les déplacements anormaux de fichiers ou les pics de suppressions d’équipes et de canaux, qui peuvent révéler des menaces internes ou des comptes compromis.
Outils et assistance par l’IA : exploitez Microsoft Sentinel, Microsoft Defender for Cloud Apps ou Security Copilot pour détecter les menaces avancées en croisant les journaux de Teams avec d’autres sources de données. Pour aller plus loin, découvrez comment l’IA redéfinit les opérations de sécurité dans cet article consacré à Microsoft Security Copilot.
Alertes et intégration aux flux de travail : lorsque des anomalies sont détectées, des flux de travail automatisés peuvent alerter l’équipe informatique ou déclencher des actions de confinement. Intégrez les alertes à vos playbooks de réponse afin que les équipes ne soient pas prises au dépourvu lorsqu’une activité suspecte apparaît.
Affinage continu des stratégies : ajustez les seuils de détection d’anomalies en fonction des retours d’expérience et des investigations réelles, afin de réduire les faux positifs et d’améliorer la détection des vrais positifs.

Définir des stratégies de sécurité des applications pour la conformité du journal d’audit de Teams

Contrôles des autorisations des applications : créez des stratégies limitant les applications et les bots pouvant se connecter à Teams, en restreignant les autorisations selon les besoins métier et les risques.
Journalisation des activités critiques : assurez-vous que les journaux d’audit enregistrent les installations d’applications, les modifications de configuration et les octrois de consentement, car ils peuvent constituer des portes d’entrée pour une exposition accidentelle ou intentionnelle des données.
Exemples d’application des stratégies : bloquez l’intégration d’applications spécifiques tant qu’elles ne respectent pas les normes de conformité, et configurez des alertes sur les élévations d’autorisations afin de repérer les modifications à risque dans les paramètres des applications tierces.
Optimisation de la sécurité : examinez régulièrement les applications autorisées et mettez à jour les stratégies pour combler les lacunes à mesure que de nouvelles intégrations et menaces apparaissent.

Outils d’audit avancés et intégration des données

Pour aller plus loin dans la gouvernance de l’audit de Teams, les organisations avancées utilisent des API et des plateformes de sécurité afin d’optimiser l’accès aux données du journal d’audit, leur corrélation et leur analyse. Qu’il s’agisse d’automatiser les exports, d’intégrer la surveillance aux opérations du SOC ou d’appliquer des contrôles sur plusieurs applications cloud, ces outils offrent une échelle et une souplesse que les portails d’administration de base ne peuvent tout simplement pas égaler.

La puissance des API telles que l’API Office 365 Management Activity permet de récupérer en masse les journaux de Teams et des autres services Microsoft 365, de transmettre les données à des plateformes SIEM ou d’interroger l’historique des journaux à la demande. Associées à Microsoft Defender ou à des outils similaires, elles vous permettent de surveiller les menaces de manière proactive, d’appliquer des stratégies complexes et de réagir plus rapidement aux risques potentiels.

Les sections suivantes détaillent des façons concrètes dont ces intégrations fonctionnent en environnement réel, de l’authentification et de la récupération sécurisée des données jusqu’à l’exploitation de Defender pour la détection avancée des menaces. Nous nous concentrerons à la fois sur les étapes techniques et sur la valeur métier que ces intégrations apportent, pour que votre écosystème Teams garde une longueur d’avance sur les nouveaux défis de conformité et de sécurité.

Utiliser l’API Office 365 Management Activity pour accéder au journal d’audit

Principes de base et configuration de l’API : l’API Office 365 Management Activity offre un accès programmatique aux journaux d’audit de Teams et de Microsoft 365. Activez l’API dans votre centre d’administration, authentifiez-vous avec les identifiants d’une application Azure AD, puis définissez les paramètres de collecte des journaux (par exemple, le type de contenu, la plage de dates ou le type d’événement).
Exportation des données et automatisation : utilisez l’API pour automatiser les exportations à grande échelle des données d’audit, que ce soit pour le stockage à des fins de conformité, l’investigation après incident ou l’analyse de sécurité avancée. Planifiez des extractions récurrentes pour alimenter automatiquement vos lacs de données, vos outils SIEM ou vos archives de sauvegarde.
Surveillance de l’activité en temps réel : intégrez l’API à des tableaux de bord personnalisés, à des applications de supervision ou à des workflows afin de fournir des mises à jour quasi instantanées aux équipes opérationnelles et de sécurité. Cela accélère les cycles de détection et d’investigation des incidents.
Intégration aux outils d’analyse et de reporting : transmettez directement les journaux d’audit exportés via l’API vers Power BI, vers des portails de reporting personnalisés ou vers des plateformes d’analyse tierces. Les organisations avancées exploitent cette intégration pour mettre en évidence les tendances, établir des références de comportement des utilisateurs et réagir plus rapidement aux anomalies.
Avantages par rapport à l’accès par le portail : les méthodes fondées sur l’API permettent des requêtes plus fines, des transferts de données en masse et une automatisation plus rapide que les exportations manuelles depuis le portail. Elles permettent également de gérer à grande échelle un contrôle d’accès sécurisé et basé sur les rôles.
Points de vigilance : planifiez soigneusement les modèles d’authentification et d’autorisations, documentez l’utilisation de l’API et surveillez les problèmes de limitation de débit (throttling) ou de quotas pendant les périodes de forte activité.

Intégrer Microsoft Defender for Cloud Apps à la gouvernance des journaux d’audit de Teams

Ingestion des journaux d’audit : Microsoft Defender for Cloud Apps (anciennement MCAS) ingère nativement les journaux d’audit de Teams et analyse les données afin de détecter les activités suspectes et les violations de stratégie.
Configuration des stratégies : utilisez Defender pour définir des stratégies précises pour Teams et déclencher des alertes en temps réel en cas d’utilisation risquée d’applications, de tentatives d’exfiltration de données ou de comportements non conformes.
Réponse avancée aux incidents : Defender permet d’appliquer des mesures de confinement automatisées ou manuelles, comme le blocage de session ou la suspension d’utilisateur, sur la base de renseignements sur les menaces liés aux événements de Teams.
Bénéfice : cette intégration améliore la rapidité et la précision des investigations de sécurité et permet aux équipes SOC de passer de la détection à la remédiation. Pour un regard axé sur l’IA sur ces opérations, découvrez cette discussion sur Security Copilot en action.

Interpréter les données des journaux d’audit pour obtenir des informations exploitables

La collecte des journaux d’audit ne représente que la moitié du travail : la réelle valeur réside dans l’interprétation de ces journaux et dans la décision de la réponse à apporter. Au premier abord, les journaux d’audit peuvent sembler écrasants, remplis de détails bruts qui n’ont guère de sens si l’on ne sait pas quoi rechercher. Cette section vous aide à passer des données brutes à des informations réellement utiles, pour transformer les journaux en décisions métier pertinentes.

Il ne s’agit pas seulement de vérifier que vos journaux existent, mais de comprendre quels événements comptent vraiment. Vous apprendrez à hiérarchiser les événements en fonction du risque ou de l’impact métier, ce qui réduit la fatigue liée aux alertes et concentre votre attention sur ce qui nécessite réellement une action. Tout aussi important, vous découvrirez comment documenter les constats, définir les mesures correctives et renforcer votre playbook de gouvernance à partir de ce que révèlent vos journaux.

Les sous-sections suivantes approfondiront à la fois l’art et la science de l’évaluation des risques, de la classification des événements et du lien entre ce que vous apprenez dans les journaux d’audit et des améliorations concrètes et exploitables. C’est ainsi que les organisations passent d’un état de vulnérabilité à un état de résilience, en s’appuyant sur leurs propres données pour renforcer la conformité et la sécurité à chaque analyse des journaux.

Hiérarchiser les événements des journaux d’audit selon le risque et l’impact métier

Emplacements de connexion inhabituels : signalez les connexions provenant d’adresses IP nouvelles ou étrangères, car elles peuvent révéler des comptes compromis ou des violations de stratégie.
Élévations de privilèges : surveillez de près les événements au cours desquels des utilisateurs se voient attribuer de nouveaux droits d’administration, car ils précèdent souvent des modifications importantes de configuration ou des activités non autorisées.
Accès à des données à forte valeur : mettez en évidence les téléchargements ou les partages impliquant des fichiers confidentiels ou des informations sensibles de l’entreprise.
Actions ou suppressions en masse : donnez la priorité aux incidents où un grand nombre d’équipes, de canaux ou de fichiers sont créés ou supprimés de manière inattendue.
Violations de stratégie ou défaillances de conformité : concentrez-vous rapidement sur les schémas qui enfreignent les normes internes ou légales, comme le partage externe non approuvé ou les intégrations d’applications non autorisées.

Élaborer des plans de gouvernance exploitables à partir des constats des journaux d’audit

Identifier les faiblesses : Examinez les synthèses des journaux d’audit pour repérer les schémas récurrents, les lacunes de surveillance ou les comportements utilisateurs à risque inattendus (par exemple, des connexions répétées en dehors des heures de bureau ou une utilisation non gérée d’applications).
Proposer des mesures correctives : Pour chaque constat, définissez les actions correctives à mener, comme modifier les autorisations, activer l’authentification multifacteur ou mettre à jour les stratégies de contrôle d’accès. Attribuez chaque action à un responsable identifié, avec une échéance précise.
Documenter et communiquer les risques : Consignez chaque constat issu des journaux d’audit, son niveau de risque évalué, la mesure corrective proposée et l’action retenue. Partagez les rapports avec les parties prenantes concernées au sein de l’IT, de la conformité, du service juridique ou des RH.
Affiner les stratégies de gouvernance : Exploitez vos enseignements pour ajuster les documents de gouvernance existants. Par exemple, mettez à jour les stratégies d’utilisation de Teams ou redéfinissez les intégrations tierces autorisées, à partir des incidents réels révélés par vos journaux.
Tester et valider les changements : Une fois les nouveaux contrôles ou améliorations de processus mis en place, réexaminez les journaux d’audit pour vérifier leur efficacité et démontrer des résultats concrets. Répétez l’opération autant que nécessaire pour faire évoluer la gouvernance et la rendre durablement résiliente.
Boucler la boucle : Intégrez les enseignements tirés dans la formation du personnel et dans les futurs playbooks de réponse aux incidents, afin que les constats issus de vos journaux d’audit alimentent une amélioration continue, plutôt que de rester une démarche « ponctuelle et sans suite ».

Corrélation et intégration des journaux d’audit multiplateformes

Maintenant que vous donnez du sens aux données d’audit de Teams, il est temps de voir plus grand : comment relier ces journaux aux informations issues de SharePoint, d’Exchange, voire d’outils tiers ? Dans les environnements de travail hybrides et multiplateformes d’aujourd’hui, la corrélation des journaux d’audit entre services devient la norme en matière de gestion des risques et de conformité.

Cette section traite de l’intégration des journaux d’audit de Teams dans les systèmes de supervision centralisés, et de leur combinaison avec les journaux d’autres charges de travail, pour mener des investigations plus approfondies et obtenir une visibilité plus large. Les organisations dotées de solutions SIEM (Security Information and Event Management) robustes peuvent, par exemple, détecter des menaces qui passeraient inaperçues si les journaux étaient cloisonnés. Pensez à un e-mail d’hameçonnage reçu dans Exchange qui conduit à un partage de fichiers suspect dans Teams.

Les éléments qui suivent détaillent les étapes concrètes pour alimenter les SIEM avec les données d’audit de Teams, ainsi que les bonnes pratiques de suivi de l’activité des utilisateurs à travers la pile Microsoft 365. Vous verrez comment une supervision globale renforce non seulement la sécurité, mais rend aussi la gouvernance et la réponse aux incidents bien plus efficaces, en évitant le risque de corrélations manquées ou d’une surveillance fragmentée.

Intégrer les journaux d’audit de Teams aux solutions SIEM

Configurer les connecteurs : Utilisez les connecteurs Office 365 ou spécifiques à Teams pour transmettre directement les flux de journaux d’audit vers des plateformes SIEM telles que Microsoft Sentinel, Splunk ou QRadar. Veillez à configurer une ingestion en temps réel ou quasi réel.
Mettre en correspondance les événements Teams : Normalisez les événements Teams selon le schéma de votre SIEM. Traduisez les actions Microsoft (création de canal, partage de fichiers, etc.) en champs de journal familiers, pour une analyse et des alertes efficaces.
Affiner les alertes et les détections de menaces : Créez dans le SIEM des règles ou requêtes personnalisées pour surveiller les comportements Teams à haut risque (comme les modifications de privilèges, les téléchargements massifs de fichiers ou le partage externe vers des domaines non approuvés). Combinez ces signaux avec ceux provenant d’autres plateformes pour renforcer la détection des menaces.
Agréger les journaux pour les investigations : Centralisez les journaux de Teams, SharePoint et Exchange afin que les équipes d’investigation numérique puissent retracer les attaques, les infractions à la conformité ou les failles de processus à travers la pile Microsoft 365.
Surveiller et dépanner l’intégration : Vérifiez régulièrement l’état des connecteurs, la couverture des journaux dans le SIEM et l’exactitude des correspondances d’événements, afin de garantir la fiabilité et l’efficacité du système intégré.

Suivre l’activité des utilisateurs à travers les services Microsoft 365

Configurer une requête unifiée sur les journaux : Utilisez le journal d’audit unifié de Microsoft 365 pour regrouper les données d’activité de Teams, SharePoint et Exchange dans une supervision centralisée.
Corrélation multiplateforme : Créez des requêtes analytiques qui suivent les actions d’un utilisateur à travers les services (par exemple, un utilisateur reçoit un fichier sensible dans Teams, puis le téléverse dans SharePoint) afin de mener des investigations de bout en bout.
Bonnes pratiques de surveillance : auditez régulièrement la couverture des journaux unifiés, définissez des limites d’autorisation pour protéger la confidentialité et utilisez des outils automatisés pour signaler les comportements critiques entre plateformes. Pour en savoir plus sur les différences entre Teams et SharePoint en matière d’utilisation des tableaux de bord et de flux de travail inter-plateformes, consultez ce guide comparatif des tableaux de bord.

Automatiser la gouvernance des journaux d’audit et l’application des stratégies

Soyons honnêtes : l’examen manuel des journaux d’audit ne passe pas à l’échelle. À mesure que votre environnement Teams se développe et que les menaces gagnent en sophistication, l’automatisation devient essentielle pour détecter rapidement les risques et appliquer la gouvernance sans surcharger vos équipes informatiques et de sécurité.

La gouvernance automatisée des journaux d’audit repose sur des alertes d’événements en temps réel, des stratégies de surveillance adaptatives et des analyses avancées pour maintenir vos contrôles à un niveau élevé. Cette section explique comment passer de vérifications manuelles réactives à une supervision proactive, fondée sur des stratégies, afin de ne pas simplement rattraper le retard, mais d’être prêt à repérer et à traiter les incidents au fur et à mesure qu’ils surviennent.

Nous verrons comment configurer des alertes automatisées pour les activités critiques, et comment exploiter les outils d’apprentissage automatique capables de détecter les anomalies bien plus rapidement et plus précisément qu’un humain seul. Laissez l’automatisation combler l’écart entre les exigences de conformité et la réalité opérationnelle, avec moins de bruit et davantage de sérénité.

Mettre en place des alertes automatisées pour les événements critiques des journaux d’audit

Configurer les alertes natives via le portail Sécurité et conformité : définissez des stratégies d’alerte dans le portail Microsoft Purview ou dans le Centre d’administration Teams pour les événements à forte gravité (par exemple, une élévation de privilèges administrateur, un partage externe de fichiers confidentiels ou des suppressions massives).
Exploiter l’automatisation PowerShell : utilisez des scripts PowerShell planifiés avec le Planificateur de tâches Windows ou Azure Automation pour analyser les journaux d’audit récents à la recherche de schémas prédéfinis et envoyer une notification immédiate aux équipes informatiques ou de sécurité en cas de déclenchement.
Intégrer des solutions tierces : connectez les journaux d’audit Teams à des plateformes d’alerte externes ou à des SIEM, afin de disposer d’alertes flexibles et inter-plateformes adaptées aux flux de réponse de votre organisation.
Définir les chemins d’escalade et de réponse : associez les alertes à des playbooks de réponse aux incidents spécifiques, afin que les équipes sachent exactement quoi faire lorsqu’une alerte se déclenche pour un événement Teams critique.
Revoir et affiner les règles en continu : évaluez régulièrement les stratégies d’alerte qui débouchent sur des incidents exploitables, ajustez les seuils et supprimez les règles bruyantes ou redondantes qui provoquent une fatigue liée aux alertes.

Utiliser l’apprentissage automatique pour détecter les anomalies dans les journaux d’audit Teams

Adopter des plateformes de sécurité fondées sur l’apprentissage automatique : déployez des solutions comme Microsoft Defender XDR ou Azure Sentinel, qui intègrent des modèles de ML capables de repérer des schémas d’activité Teams suspects, tels que des heures de connexion inhabituelles, des pics de messages ou un abus de privilèges.
Établissement d’une référence comportementale : entraînez les systèmes de ML à identifier le comportement « normal » des utilisateurs, des équipes et des administrateurs, puis utilisez ces références pour détecter les valeurs aberrantes susceptibles de révéler des menaces ou des violations de stratégie.
Identification automatisée des menaces : les outils de ML signalent des scénarios d’attaque complexes, comme un accès coordonné par plusieurs comptes, un mouvement latéral entre Teams et SharePoint ou de discrètes tentatives d’exfiltration de données, que des règles statiques pourraient manquer.
Priorisation et suppression des alertes : utilisez la classification par ML pour filtrer les faux positifs et concentrer les ressources de réponse sur les événements réellement à haut risque ou anormaux, qui nécessitent une vérification humaine.
Mettre à jour et améliorer les modèles au fil du temps : réinjectez les résultats d’incidents validés dans les systèmes de ML pour réentraîner les modèles, réduire le bruit et améliorer la précision à mesure que de nouvelles menaces et de nouveaux comportements apparaissent dans votre environnement Teams.

Points clés et bonnes pratiques pour la gouvernance des journaux d’audit Teams

Garder une longueur d’avance dans la gouvernance des journaux d’audit Teams ne consiste pas à courir après chaque alerte, mais à fixer de bonnes règles de base et à rester attentif à ce qui se passe. Commencez par concevoir des stratégies de gouvernance claires qui définissent le « quoi » et le « pourquoi » de la journalisation d’audit, de l’accès et de la gestion des équipes. Il s’agit ensuite de faire en sorte que tout le monde partage la même vision des rôles, des responsabilités et des comportements conformes, dès le premier jour.

Ne vous contentez pas d’activer la journalisation d’audit en pensant que le travail est terminé. Prenez le temps de configurer la rétention des journaux et les contrôles d’accès en fonction de l’appétence au risque de votre entreprise et de ses besoins de conformité. Examinez, classez et hiérarchisez les événements d’audit pour ne pas être noyé sous le bruit : si un événement à haut risque apparaît, vous voulez une alerte réellement pertinente. Créer des alertes personnalisées et une application automatisée des stratégies pour vos scénarios les plus critiques vous épargnera plus de maux de tête que le meilleur café.

Ne regardez pas uniquement Teams : une gouvernance globale consiste à relier vos journaux d’audit Teams à des outils plus larges, comme les plateformes SIEM et le journal d’audit unifié de Microsoft 365. Le suivi inter-services affine votre visibilité et vous aide à repérer des schémas à risque qui pourraient passer inaperçus si vous ne surveillez qu’un seul système à la fois. Si vous êtes ambitieux, testez le machine learning ou l’automatisation pour détecter des anomalies subtiles que vous ne verriez pas vous-même.

Enfin, considérez vos revues de journaux d’audit comme un moteur d’action. Exploitez ce que vous apprenez pour améliorer votre cadre de gouvernance, élaborer de nouvelles mesures de remédiation et renforcer votre documentation de conformité. Pour plus d’idées afin de réduire le chaos et de maîtriser la prolifération de Teams, découvrez ces stratégies pratiques sur l’automatisation de la gestion de Teams et sur la création de cadres de gouvernance qui remplacent le chaos par une collaboration sereine.

Questions fréquentes : portail Microsoft Purview et gouvernance du journal d’audit Microsoft 365

Quel est le rôle du journal d’audit Microsoft 365 dans la gouvernance des journaux d’audit Teams ?

Le journal d’audit Microsoft 365 collecte des enregistrements d’audit de l’ensemble des services Microsoft, y compris les journaux d’audit de Microsoft Teams, SharePoint et Exchange. Pour la gouvernance des journaux d’audit Teams, il fournit des enregistrements d’audit centralisés pour les activités de Microsoft Teams (événements dans Microsoft Teams). Vous pouvez ainsi rechercher dans les journaux d’audit, consulter les entrées d’audit et générer des rapports de journal d’audit pour démontrer votre conformité et enquêter sur les incidents.

Comment rechercher dans les journaux d’audit les activités de Microsoft Teams ?

Vous pouvez rechercher dans les journaux d’audit via le portail Microsoft Purview ou le Centre de conformité, en choisissant la solution d’audit et en spécifiant des filtres pour les activités de Microsoft Teams, les plages de dates et les comptes utilisateur. Le portail permet de rechercher des types d’entrées de journal d’audit, tels que les réunions, les événements de messages, l’accès aux fichiers dans les sites Teams et d’autres événements de Microsoft Teams, afin de localiser des données du journal d’audit et d’enregistrer l’activité des utilisateurs et des administrateurs.

Combien de temps les enregistrements d’audit sont-ils conservés et quelles sont les stratégies de rétention des journaux d’audit ?

Les enregistrements d’audit sont conservés selon les stratégies de rétention des journaux d’audit configurées dans Microsoft Purview, ainsi que selon les paramètres de rétention associés pour Microsoft 365 ou Office 365. Les durées de conservation par défaut varient selon la licence (par exemple, Microsoft 365 E5 ou le module complémentaire E5 eDiscovery et audit) et selon la durée de rétention de l’audit que vous configurez. Vérifiez les stratégies de rétention des journaux d’audit dans les paramètres d’audit de Purview afin de vous assurer qu’elles répondent à vos exigences de gouvernance.

Puis-je consulter des rapports de journal d’audit et exporter des données d’audit à partir des événements Teams ?

Oui. Vous pouvez consulter les rapports de journal d’audit dans le portail Microsoft Purview et exporter les résultats de la recherche dans les journaux d’audit au format CSV pour une analyse approfondie. Les rapports de journal d’audit incluent des enregistrements d’audit des activités et peuvent présenter les événements de Microsoft Teams, ce qui permet de disposer d’un journal d’audit des événements Microsoft pouvant être intégré à des SIEM ou utilisé lors d’enquêtes.

Faut-il une licence spécifique pour accéder aux journaux d’audit de Microsoft Teams et aux fonctionnalités d’audit avancées ?

L’audit de base est disponible pour de nombreux abonnements Microsoft 365, mais les fonctionnalités avancées, comme la rétention étendue et certains détails des enregistrements d’audit, peuvent nécessiter une licence Microsoft 365 E5 Compliance ou le module complémentaire E5 eDiscovery et audit. Consultez les recommandations de licences sur Microsoft Learn pour déterminer si vous avez besoin de Microsoft 365 E5 ou d’un module complémentaire pour accéder aux journaux d’audit Microsoft, aux rapports de journal d’audit et aux stratégies de rétention d’audit étendue.

Quel est le lien entre Microsoft Entra, Microsoft Entra ID et la gouvernance des journaux d’audit Teams ?

Microsoft Entra et Microsoft Entra ID (anciennement Azure AD) fournissent des événements d’identité et d’accès qui sont enregistrés sous forme d’enregistrements d’audit et peuvent être corrélés aux activités de Microsoft Teams dans les journaux d’audit. Pour une gouvernance complète, combinez les journaux de Microsoft Entra, les événements Teams et ceux d’autres services Microsoft afin d’afficher les corrélations d’audit entre les services Microsoft et de comprendre les activités effectuées par les utilisateurs et les administrateurs.

Où puis-je consulter les entrées du journal d’audit relatives aux fichiers SharePoint consultés via Teams ?

Les fichiers partagés ou stockés dans Teams sont souvent hébergés dans SharePoint ; ces événements d’accès génèrent des enregistrements d’audit visibles dans les journaux d’audit de Microsoft 365. Utilisez la recherche d’audit de Purview pour afficher les entrées du journal d’audit relatives à l’accès aux fichiers SharePoint, filtrez par sites Teams ou par utilisateurs spécifiques, et incluez des termes tels que view audit ou view audit log pour retrouver les activités des utilisateurs et des administrateurs liées aux fichiers ouverts ou modifiés via Teams.

Comment m’assurer que mon organisation respecte les bonnes pratiques en matière de paramètres d’audit et de gouvernance ?

Définissez des paramètres d’audit clairs et des stratégies de rétention, documentez la durée de conservation des données d’audit dont vous avez besoin, activez l’audit pour l’ensemble des services Microsoft 365 et passez régulièrement en revue les rapports du journal d’audit ainsi que les enregistrements d’audit des activités. Utilisez le portail Microsoft Purview pour rechercher dans les journaux, exporter et archiver les données du journal d’audit, et combinez les résultats avec les stratégies de Microsoft Entra, des sites Teams et des groupes Microsoft 365 afin de mettre en place un programme de gouvernance solide et défendable.