Pour prouver qu'un paramètre Microsoft 365 n'a pas changé depuis votre dernier audit, il vous faut trois choses que la plateforme ne conserve pas pour vous : un instantané daté de la configuration, une trace de chaque changement entre deux instantanés, et une note indiquant qui a autorisé chacun d'eux. Les journaux seuls n'y suffiront pas. Microsoft Entra conserve les données d'audit et de connexion pendant 7 jours sur l'offre Free et 30 jours sur P1 et P2. Microsoft Purview Audit (Standard) conserve la plupart des enregistrements pendant 180 jours. Votre cycle de certification est de 365. L'écart entre ces chiffres, c'est la partie de l'année que vous ne pouvez pas prouver à partir de la plateforme seule.
Ce n'est pas une critique des valeurs par défaut. La rétention est dimensionnée pour l'investigation opérationnelle, où la fenêtre utile se compte en jours. L'assurance pose une autre question sur une durée plus longue, et combler l'écart est votre travail.
La question à laquelle personne ne se prépare
La plupart des équipes se préparent à la mauvaise évaluation. Elles capturent l'état actuel en images, confirment que l'authentification multifacteur est imposée aujourd'hui, et produisent un dossier soigné montrant un tenant en bonne santé.
Puis l'évaluateur pose une question d'une autre forme. Non pas « cette politique est-elle active » mais « l'est-elle depuis notre dernier échange, et si elle a été désactivée un jour, qui l'a désactivée et qui a jugé cela acceptable ». Vous êtes audité sur le fait que la configuration a tenu pendant toute la période.
Pour la plupart des tenants, personne ne le sait. Quelqu'un a peut-être ajouté une exclusion en février et l'a retirée en mars, et à l'automne plus rien ne s'en souvient. Le changement était légitime. C'est l'absence de trace qui constitue le constat.
Ce que la plateforme conserve, et pendant combien de temps
Trois fenêtres de rétention comptent, et elles ne sont pas les mêmes.
Journaux d'audit et de connexion Microsoft Entra. Sept jours sur Microsoft Entra ID Free, 30 jours sur P1 et P2. C'est là que vivent les changements d'annuaire : modifications de politiques d'accès conditionnel, attributions de rôles, consentements applicatifs. Les changements de rétention ne sont pas rétroactifs, passer de Free à P1 vous donne donc 30 jours à venir, pas 30 jours d'historique.
Microsoft Purview Audit (Standard). 180 jours par défaut, pas 90. Cela a changé le 17 octobre 2023, et beaucoup de documentation interne indique encore 90. Les enregistrements générés avant cette date conservent l'ancienne période de 90 jours ; les suivants bénéficient de 180 jours. C'est le journal d'audit unifié couvrant Exchange, SharePoint, OneDrive, Teams et davantage, un système distinct des journaux Entra.
Microsoft Purview Audit (Premium). La politique de rétention par défaut d'un an est plus étroite que son nom ne le laisse croire. Elle couvre les enregistrements Microsoft Entra, Exchange, SharePoint et OneDrive, et uniquement pour les utilisateurs disposant d'une licence Office 365 ou Microsoft 365 E5, d'une licence Microsoft Purview Suite, ou du module complémentaire E5 eDiscovery and Audit. Les utilisateurs non E5 et les invités restent à 180 jours, tout comme l'activité des autres charges de travail, sauf si une politique personnalisée en décide autrement.
Les journaux de la plateforme expirent selon un calendrier d'exploitation ; l'assurance fonctionne sur un calendrier de douze mois.
L'écart, déroulé avec de vraies dates
Prenez un tenant certifié le 14 octobre 2025 dont le renouvellement est prévu en octobre 2026. Le 12 octobre 2026, l'évaluateur demande si la politique imposant l'authentification multifacteur a été appliquée sans interruption depuis la délivrance du certificat, et si des exclusions ont été ajoutées. Remontez le temps depuis cette date sur Entra ID P1 :
- Le journal d'audit Entra répond jusqu'au 12 septembre 2026. Trente jours. Il montre toute modification de politique du dernier mois et son auteur.
- Purview Audit (Standard) répond jusqu'aux environs du 15 avril 2026. Six mois, moins de la moitié de l'année de certification.
- Purview Audit (Premium), si vous en disposez, répond jusqu'au 12 octobre 2025 pour les enregistrements Entra, mais uniquement pour les utilisateurs couverts par une licence de classe E5. Sur Business Premium ou un parc mixte, cette porte est fermée.
Ainsi, sur le tenant que la plupart des organisations exploitent, du 14 octobre 2025 à la mi-avril 2026 il n'existe aucune trace plateforme interrogeable : six mois de l'année de certification pendant lesquels la réponse à « cette politique était-elle appliquée » est un haussement d'épaules.
Un détail piège ceux qui s'y prennent tard. Dans Purview, la rétention appliquée à un enregistrement est décidée à son entrée dans la chaîne de traitement, une politique personnalisée plus longue créée en septembre n'étend donc pas les enregistrements générés en mars. La rétention se décide à l'avance, ou pas du tout.
La correspondance entre les paramètres Microsoft 365 et les mesures Cyber Essentials et ISO 27001 vous dit quels paramètres portent une mesure. Cet article porte sur la preuve qu'ils ont tenu.
Trois artefacts qui survivent aux journaux
L'instantané de configuration. Un export daté et lisible par une machine des paramètres qui portent vos mesures. Pas une capture d'écran : une capture prouve l'apparence d'une page, tandis qu'un export JSON d'une politique d'accès conditionnel prouve ce qu'elle contenait, exclusions comprises, et peut être comparé à la copie du mois dernier.
Le relevé de dérive. La différence entre deux instantanés consécutifs. Cela transforme un tas d'exports en argumentaire : voici le 1er mars, voici le 1er avril, voici les quatre choses qui ont changé. La dérive répond à « est-ce que cela a changé », la vraie question de l'évaluateur.
L'enregistrement d'autorisation. Pour chaque changement du relevé de dérive, qui l'a demandé, qui l'a approuvé, et au titre de quel ticket ou de quelle décision de risque. Les organisations ne l'ont presque jamais, et c'est lui qui transforme un constat en réponse propre.
Ceux-ci survivent à n'importe quelle période de rétention de journaux, parce que vous maîtrisez l'endroit où ils vivent. Stockez-les dans un emplacement immuable ou versionné avec des droits d'écriture restreints, et calculez leur empreinte.
Construire une référence défendable
Une référence doit être assez complète pour compter et assez restreinte pour être exécutée. Couvrez les paramètres dont dépendent vos mesures : les politiques d'accès conditionnel avec leurs exclusions, la politique de méthodes d'authentification, les attributions de rôles d'annuaire y compris les rôles éligibles, les paramètres d'accès inter-tenants, les profils de conformité des appareils, les paramètres de partage à l'échelle du tenant, et les applications détenant des permissions consenties. Un premier passage :
Connect-MgGraph -Scopes 'Policy.Read.All','Directory.Read.All','RoleManagement.Read.Directory'
$stamp = (Get-Date).ToString('yyyy-MM-dd')
$out = ".\baseline-$stamp"
New-Item -ItemType Directory -Path $out -Force | Out-Null
Get-MgIdentityConditionalAccessPolicy -All | ConvertTo-Json -Depth 12 | Set-Content "$out\conditional-access.json"
Get-MgPolicyAuthenticationMethodPolicy | ConvertTo-Json -Depth 12 | Set-Content "$out\auth-methods.json"
Get-MgDirectoryRole -All | ConvertTo-Json -Depth 8 | Set-Content "$out\directory-roles.json"
Get-ChildItem "$out\*.json" | Get-FileHash | Export-Csv "$out\hashes.csv" -NoTypeInformation
Deux règles comptent.
Exécutez-la selon un calendrier. Une référence non planifiée comporte des trous que vous ne pouvez pas expliquer, et un trou fait plus mauvais effet qu'un changement.
Fixez la cadence plus courte que votre plus courte rétention de journaux. Si le journal d'audit Entra conserve 30 jours et que vous prenez un instantané par trimestre, alors quand une différence apparaît vous ne pouvez pas savoir qui l'a faite, car l'entrée d'audit qui la nomme a expiré des semaines plus tôt. Prenez un instantané chaque semaine, ou tous les quinze jours au minimum, et chaque différence reste attribuable tant que le journal qui l'explique est encore vivant.
Transformer un relevé de dérive en preuve
Un différentiel vous dit ce qui a changé. Un évaluateur veut savoir qui l'a changé et qui a donné son accord. Relier les deux constitue tout l'exercice, et cela doit se produire à l'intérieur de la fenêtre de journalisation. Pour chaque objet modifié, extrayez l'entrée correspondante du journal d'audit Entra, qui consigne l'acteur à l'origine de l'action :
$since = (Get-Date).AddDays(-30).ToString('yyyy-MM-ddTHH:mm:ssZ')
Get-MgAuditLogDirectoryAudit -Filter "activityDateTime ge $since and category eq 'Policy'" -All |
Select-Object ActivityDateTime, ActivityDisplayName,
@{n='Actor';e={$_.InitiatedBy.User.UserPrincipalName}},
@{n='Target';e={$_.TargetResources[0].DisplayName}} |
Export-Csv ".\policy-changes-$((Get-Date).ToString('yyyy-MM-dd')).csv" -NoTypeInformation
Ajoutez ensuite ce que la plateforme ne peut pas connaître : la référence de changement et l'approbateur. Une ligne par changement suffit. Date, objet, ce qui a changé, qui l'a changé, ticket, approbateur. Ajoutée à un registre qui n'est jamais tronqué, cette ligne répond encore aux questions trois ans plus tard.
Quand un changement n'a ni ticket ni approbateur, consignez-le aussi. Un évaluateur est bien plus à l'aise avec « ceci n'était pas documenté, voici ce que nous avons fait ensuite » qu'avec un registre ne contenant aucune exception.
La dérive et l'hygiène des identités vont de pair, un partant qui a conservé une exclusion est donc une trouvaille fréquente ; la checklist d'offboarding couvre ce point.
Là où cela casse
Microsoft Entra ID Free. Sept jours n'est pas une fenêtre contre laquelle faire tourner un processus mensuel. Corrigez cela d'abord, en vous rappelant que la montée de version ne comble pas le passé.
Les invités et les utilisateurs non E5. Le comportement Premium par défaut s'arrête à la frontière de licence, un parc mixte a donc une position de rétention mixte. Sachez quels utilisateurs sont couverts avant de compter sur une année d'historique qui n'existe que pour une partie d'entre eux.
Des exports que personne ne peut interroger. Un dossier de PDF est un devoir rendu, pas une preuve. Si répondre à « qu'est-ce qui a changé en mars » suppose d'ouvrir les fichiers à la main, le processus sera abandonné.
L'accès délégué chez les fournisseurs de services managés. Quand un partenaire applique le changement, l'acteur dans le journal d'audit du client est une identité partenaire tandis que l'approbation vit dans le système du partenaire. Décidez quel côté détient l'enregistrement d'autorisation et comment le client l'obtient, car au renouvellement c'est le client qui est évalué. Cela relève du dossier de reporting mensuel.
Croire que le renouvellement est la seule échéance. Les questionnaires d'assurance, les revues de sécurité clients et les demandes d'assurance fournisseurs posent la même question.
La place d'EtherInsights
Prendre un instantané chaque semaine, le comparer et tenir un registre attribuable est facile à décrire et fastidieux à tenir à la main. EtherInsights existe en partie pour cette raison : il capture la configuration du tenant et l'état des identités, suit ce qui a bougé entre deux captures, et garde la trace interrogeable longtemps après que les journaux de la plateforme ont expiré, de sorte que la preuve pour un renouvellement est un rapport que vous relancez plutôt que quinze jours d'archéologie.
Pour les partenaires, la multiplication est le sujet, car la même question arrive de chaque client dans les mêmes quelques semaines chaque automne, et sécurité et conformité Microsoft 365 est l'endroit où posture et preuves se rejoignent. Notre checklist Cyber Essentials v3.3 couvre ce qu'il faut corriger ; celui-ci couvre comment prouver que cela l'est resté. Conformité ISO et préparation à l'audit reprend la piste de preuves plus large.
Découvrez la sécurité et la conformité Microsoft 365 pour voir comment références, dérive et enregistrement d'autorisation se rejoignent avant le prochain audit.