Réalisation · Énergie
Des dizaines d’agents en production bâtis par plus de 120 développeurs citoyens, aucun sans revue de sécurité
On a sécurisé et encadré Copilot Studio pour une société d’énergie, afin que plus de 120 créateurs bâtissent des agents sans exposer ses données.
- Secteur
- Énergie
- Créateurs
- 120+
- Licences
- Microsoft 365 E5
- Durée
- 4 mois, 2025
- Résidence des données
- Canada
La situation
78 %
des utilisateurs d’IA apportent leurs propres outils au travail
Microsoft Work Trend Index, 2024
97 %
des organisations victimes d’une brèche liée à l’IA n’avaient pas de contrôles d’accès adéquats
IBM Cost of a Data Breach, 2025
670 000 $ US
de plus par brèche quand l’IA non autorisée est répandue
IBM Cost of a Data Breach, 2025
- Copilot Studio est arrivé avec les licences Power Platform, et plus de 120 utilisateurs d’affaires voulaient créer des agents.
- L’équipe Power Platform pouvait exploiter la plateforme. Personne ne portait les questions de sécurité.
- À quelles données un agent accède-t-il, quels systèmes peut-il appeler, qui peut lui parler, et qui vérifie avant la mise en service ?
- Bloquer aurait poussé les agents hors de vue. Tout ouvrir aurait exposé les données.
L’architecture
Ce qu’on a mis en place
1. Un endroit dédié pour construire
Les créateurs ne construisent jamais dans l’environnement par défaut.
- Environnement par défaut verrouillé
- Productivité personnelle Dév., Test et Prod
- Promotion par les pipelines Power Platform, jamais à la main
2. Une page de gouvernance pour les connecteurs
Les connecteurs portent l’essentiel du risque. Chaque demande répond à six questions avant d’être autorisée :
- Pourquoi l’entreprise en a besoin
- Quelles données il touche, et leur étiquette de sensibilité
- Si des données quittent le locataire ou le Canada
- Comment il s’authentifie : utilisateur ou compte de service
- Qui en est responsable
- Dans quel environnement il est autorisé
3. Une revue avant la production
Chaque créateur peut construire. Rien n’atteint la production avant que l’admin Copilot et l’admin sécurité vérifient :
- L’authentification
- Les sources de connaissances
- L’étendue du partage
- Les connecteurs utilisés
- La sensibilité des données
4. Des règles d’identité et de données
- Entra ID sur chaque agent
- SharePoint d’abord, les autres sources selon le besoin
- Étiquettes de sensibilité Purview
- Teams et Microsoft 365 Copilot seulement
- Données hébergées au Canada
- Power Automate, connecteurs personnalisés et MCP au cas par cas
5. De la visibilité après la mise en service
- Defender for Cloud Apps surveille les agents et les invites
- Les journaux d’audit Purview alimentent Sentinel, le SIEM
- Un inventaire de chaque agent et de son responsable
6. Des créateurs qui connaissent les règles
- Un guide pour les créateurs
- Une formation pendant les revues, sur l’agent du créateur
Vérifié contre la liste de Microsoft
En février 2026, l’équipe de recherche de Microsoft Defender a listé les dix erreurs de configuration d’agents Copilot Studio les plus courantes. Cette conception en intercepte huit.
| Erreur de configuration | Où cette conception l’intercepte |
|---|---|
| Agent partagé avec toute l’organisation | L’étendue du partage est fixée à la revue |
| Aucune authentification requise | Entra ID obligatoire, vérifié à la revue |
| Actions HTTP Request risquées | Chaque connecteur passe par la page de gouvernance |
| Exfiltration de données par courriel | « Des données quittent-elles le locataire ? » est une réponse obligatoire |
| Agent exécuté avec les identifiants du créateur | Utilisateur ou compte de service déclaré par connecteur |
| Outils MCP configurés | MCP autorisé au cas par cas, par la page de gouvernance |
| Connexions, actions ou agents inactifs | L’inventaire des agents montre ce qui sert encore |
| Agent orphelin sans responsable | Chaque agent et connecteur a un responsable nommé |
Non couvertes : les identifiants codés en dur et l’orchestration générative sans instructions. Les deux sont les prochaines sur la liste de revue.
Ce qui a changé
- Des dizaines d’agents en production, tous passés par la revue
- Chacun avec un responsable, des connecteurs et un public connus
- Publiés seulement dans Teams et Microsoft 365 Copilot
- Des revues plus courtes : les questions difficiles avaient déjà une réponse
Ce qu’on a appris
Le gabarit de connecteur, conçu comme un contrôle, est devenu un outil de conception : les créateurs pensaient sécurité en construisant.
Si vous êtes dans la même situation
Si Copilot Studio est venu avec vos licences et que vos équipes veulent construire, voici ce qu’on apporte, adapté à votre taille et à vos données :
- Une stratégie d’environnements, avec l’environnement par défaut verrouillé et un pipeline vers la production
- La page de gouvernance des connecteurs, bâtie sur votre propre classification des données
- Une liste de vérification avant la production, et la composition du comité de revue
- Des règles d’identité, de sources de connaissances et d’étiquetage : Entra ID, SharePoint, Purview
- Une surveillance branchée sur ce que vous exploitez déjà : Defender for Cloud Apps, audit Purview, Sentinel
- Un guide pour les créateurs et une formation donnée pendant les revues
- Un inventaire des agents, avec un responsable pour chacun
Quatre mois pour plus de 120 créateurs. Une plus petite organisation a besoin des mêmes contrôles, avec un réviseur et une liste de vérification.
Vous ouvrez Copilot Studio à vos équipes ?
Dites-nous ce que vos équipes veulent construire. Nous vous dirons ce qu’il faut verrouiller en premier, et ce que ça demanderait.
Les outils
Construction et déploiement
- Microsoft Copilot Studio
- Power Platform environments
- Power Platform pipelines
Actions et intégrations
- Power Automate
- Custom connectors
- Model Context Protocol (MCP)
Identité et données
- Microsoft Entra ID
- SharePoint
- Microsoft Purview sensitivity labels
Surveillance
- Microsoft Defender for Cloud Apps
- Microsoft Purview Audit
- Microsoft Sentinel
Canaux
- Microsoft Teams
- Microsoft 365 Copilot
Sources
- Microsoft and LinkedIn, 2024 Work Trend Index: AI at Work Is Here. Now Comes the Hard Part (May 2024)
- IBM, Cost of a Data Breach Report 2025 (July 2025) Chiffres tels que rapportés dans l’annonce du rapport par IBM et concordants dans la couverture indépendante.
- Microsoft Defender Security Research Team, Detecting and mitigating common agent misconfigurations (February 2026)