Microsoft Compliance Manager

Microsoft Compliance Manager est un outil du portail de conformité Microsoft Purview qui aide les organisations à évaluer, surveiller et améliorer leur niveau de conformité par rapport aux référentiels réglementaires. Il fournit un score de conformité — une mesure numérique indiquant dans quelle mesure les contrôles de votre organisation sont alignés sur les exigences des normes sélectionnées. Compliance Manager est disponible pour les organisations disposant d’abonnements Microsoft 365 ou Azure.

Vous pouvez accéder à Compliance Manager depuis le portail de conformité Microsoft Purview, à l’adresse compliance.microsoft.com. Le tableau de bord d’accueil affiche votre score global de conformité, une ventilation par catégorie (protection des données, contrôle des accès, gestion des incidents) et une liste d’évaluations. Il n’est pas nécessaire d’être spécialiste de la conformité pour utiliser cet outil : il vous guide pas à pas à travers les exigences de chaque norme.

Dans Compliance Manager, une évaluation représente une analyse de votre organisation par rapport à un référentiel réglementaire spécifique (par exemple, ISO 27001, GDPR, HIPAA). Chaque évaluation contient un ensemble de contrôles issus de la réglementation, ainsi que des actions gérées par Microsoft (contrôles pris en charge par Microsoft pour vous) et des actions gérées par le client (contrôles que vous devez mettre en œuvre vous-même). Vous pouvez créer simultanément des évaluations pour plusieurs réglementations.

Le score de conformité est un pourcentage (de 0 à 100 %) qui indique dans quelle mesure les contrôles de votre organisation sont mis en œuvre par rapport aux évaluations que vous avez créées. Des points sont attribués pour :

• Actions gérées par Microsoft — créditées automatiquement lorsque les contrôles de Microsoft sont en place
• Actions gérées par le client — créditées lorsque vous indiquez qu’une action est mise en œuvre et que vous téléversez éventuellement des preuves

Un score plus élevé indique une meilleure couverture des contrôles, mais ne garantit pas la conformité réglementaire effective.

Les actions d’amélioration sont des étapes précises que vous pouvez suivre pour améliorer votre score de conformité. Chaque action comprend une description de ce qu’il faut mettre en œuvre, la réglementation correspondante, le nombre de points attribués, des conseils de mise en œuvre (souvent accompagnés de liens vers la documentation Microsoft) et un champ permettant d’indiquer l’état de mise en œuvre. Les actions sont regroupées par catégories telles que Protéger les informations, Gérer les appareils et Contrôler les accès.

Pour les actions gérées par le client, Compliance Manager vous permet de téléverser des documents justificatifs — captures d’écran, rapports d’audit, documents de politique ou résultats de tests — démontrant que le contrôle est mis en œuvre. Cela crée une piste de preuves de conformité qui peut être partagée avec des auditeurs ou des inspecteurs. Les documents justificatifs sont stockés dans le portail Compliance Manager et peuvent être téléchargés à tout moment.

Compliance Manager inclut plus de 300 modèles de réglementation que vous pouvez utiliser pour créer des évaluations. Ces modèles couvrent aussi bien des normes internationales (ISO 27001, NIST CSF) que des réglementations propres à certains secteurs (PCI DSS, HIPAA) ou des lois régionales (GDPR, LGPD, CCPA). Les modèles premium couvrant des réglementations au-delà de Microsoft 365 nécessitent une licence supplémentaire (par exemple, Microsoft 365 E5 Compliance ou le module complémentaire Compliance Manager).

Pour chaque action d’amélioration, Compliance Manager suit :

• État de mise en œuvre — Non mise en œuvre, Mise en œuvre, Mise en œuvre alternative, Planifiée
• État du test — Non testé, Réussi, Échoué, Aucune évaluation
• Date du test — date à laquelle le dernier test a été effectué

Indiquer qu’une action est « Mise en œuvre » sans téléverser de preuves permet d’obtenir des points, mais peut être contesté lors d’un audit officiel : étayez toujours votre état avec des preuves concrètes.

Compliance Manager prend en charge la délégation basée sur les rôles : vous pouvez attribuer des actions d’amélioration précises à des membres individuels de l’équipe ou à des groupes. Cette fonctionnalité est utile dans les grandes organisations où différentes équipes sont responsables de différents domaines de contrôle (l’équipe de sécurité est responsable des contrôles d’accès, l’équipe RH de la formation aux politiques et l’équipe des opérations informatiques des contrôles de l’infrastructure). Les utilisateurs auxquels des actions sont attribuées reçoivent des notifications et peuvent mettre directement à jour l’état de leurs actions.

Compliance Manager et Azure Policy répondent à des aspects différents de la conformité :

• Compliance Manager — suit les contrôles organisationnels par rapport aux référentiels réglementaires ; se concentre sur les contrôles liés aux personnes et aux processus, ainsi que sur les contrôles techniques ; s’utilise depuis le portail de conformité Purview
• Azure Policy — applique et audite la configuration technique des ressources Azure ; automatise la conformité de l’infrastructure ; s’utilise depuis le portail Azure

Les deux sont nécessaires pour disposer d’un programme de conformité complet.

Compliance Manager vous permet d’exporter les résultats des évaluations vers Excel afin de les partager avec des auditeurs, des responsables ou des organismes de réglementation. L’exportation comprend la liste complète des contrôles, leur état, les résultats des tests et les liens vers les preuves. De nombreuses organisations utilisent cette exportation comme base de leur Déclaration d’applicabilité (SoA) — un document exigé par ISO 27001 qui répertorie tous les contrôles et leur état de mise en œuvre.

Testez votre compréhension des concepts de Microsoft Azure Fundamentals (AZ-900) abordés dans cette leçon.

Dans cette leçon, vous avez appris que Compliance Manager fournit un score de conformité et des actions d’amélioration associées à plus de 300 référentiels réglementaires ; que les actions gérées par Microsoft sont créditées automatiquement, tandis que les actions gérées par le client nécessitent que vous mettiez en œuvre et documentiez les contrôles ; et que des documents justificatifs peuvent être téléversés afin de constituer une piste d’audit. Nous allons maintenant découvrir les exigences propres à GDPR et leur mise en œuvre sur Azure.