Audit Google Workspace : quels points contrôler en priorité ?

Un audit utile doit permettre de répondre à trois questions : quelle situation a été observée, pourquoi mérite-t-elle une vérification et quelle action faut-il envisager ? Une liste d’indicateurs ne suffit pas si personne ne sait quoi en faire.

Pour une première revue Google Workspace, commencez par les comptes, les privilèges, l’authentification, les applications connectées et les accès aux données. Le dashboard et les contrôles MOZAYK Workspace aident à rassembler des constats. Leur interprétation doit tenir compte des droits disponibles, de la fraîcheur des informations et du fonctionnement de votre entreprise.

Définir le périmètre avant de lire les résultats

Identifiez l’organisation examinée, ses domaines et les services que vous voulez contrôler. Vérifiez les connexions nécessaires et les autorisations accordées à l’outil.

Un contrôle incomplet ne doit pas devenir un résultat rassurant par défaut. Si un espace Drive n’est pas accessible ou si une information ne remonte pas, notez cette limite et choisissez le moyen de compléter la revue.

Distinguez aussi une revue de configuration d’une investigation après incident. Rechercher des comptes anciens n’équivaut pas à rechercher toutes les traces d’une compromission. Le périmètre doit être compréhensible par la personne qui utilisera le résultat.

1. Examiner les comptes encore présents

Commencez par les comptes actifs, suspendus et ceux dont l’usage n’est plus clairement identifié. La dernière connexion aide à sélectionner des éléments à vérifier, mais ne doit pas devenir un critère de suppression automatique.

Rapprochez les résultats des départs, arrivées et changements de rôle connus. Une personne absente de l’entreprise peut avoir laissé un compte, des groupes et des données à reprendre. Un compte technique doit avoir un usage identifié et une personne qui en assume le suivi.

Pour chaque anomalie, précisez ce qui manque : confirmation du besoin, décision sur les données ou intervention sur un accès. Le guide des comptes Google Workspace inactifs détaille cette analyse.

2. Vérifier les privilèges d’administration

Demandez qui peut administrer quoi, et pourquoi. Les droits doivent correspondre aux tâches actuelles, pas simplement à celles exercées lors de la création du compte.

Une revue peut repérer un ancien intervenant toujours administrateur, un compte quotidien doté de pouvoirs très larges ou une responsabilité sans solution de reprise clairement organisée.

Google publie des checklists de sécurité pour les petites entreprises, notamment sur la protection des comptes sensibles. Utilisez-les comme référence complémentaire à l’état affiché dans votre outil.

L’objectif n’est pas de retirer tous les privilèges rapidement. Il est de conserver les accès nécessaires, d’éliminer ceux qui ne le sont plus et de préserver la continuité d’administration.

3. Contrôler la validation en deux étapes

Trois informations doivent être distinguées : la possibilité pour un utilisateur d’activer la validation en deux étapes, son état d’inscription et l’application d’une obligation.

Un simple indicateur ne permet pas toujours de conclure sur toutes les connexions possibles. Les méthodes utilisées, les règles appliquées au compte et d’éventuels services d’authentification externes peuvent demander une vérification complémentaire.

MOZAYK permet de repérer les états qui méritent une attention. Pour organiser la correction, suivez la méthode de contrôle du déploiement de la double authentification, puis confirmez la configuration dans Google.

4. Revoir les applications connectées

Une application autorisée il y a plusieurs mois peut ne plus être utilisée. Examinez son identité, son utilité, les personnes concernées et les données auxquelles elle a accès.

Google propose des contrôles d’accès pour les applications utilisant OAuth, avec des règles gérées dans la console. La documentation sur l’accès des applications aux données Workspace décrit ce périmètre.

Avant de bloquer un outil, vérifiez son rôle dans les processus de l’entreprise. Une action de sécurité mal préparée peut interrompre une activité légitime. Consignez le résultat de la revue : accès justifié, réduction à étudier ou retrait confirmé.

5. Examiner les accès Drive et les membres externes

Un partage à une personne externe identifiée et un accès ouvert à toute personne disposant d’un lien ne présentent pas le même contexte. Commencez par distinguer les mécanismes d’accès avant de qualifier le risque.

Demandez ensuite si le document doit encore être partagé, avec qui et à quel niveau. Certains échanges externes sont indispensables au travail ; ils doivent être compris et maîtrisés.

Les informations remontées par un outil doivent toujours être rattachées à leur périmètre. Une liste vide de liens publics ne prouve pas, à elle seule, que tout le contenu de l’organisation a été analysé. Le guide de revue des partages Google Drive propose une approche concrète.

6. Ajouter les contrôles de fonctionnement quotidien

La sécurité et la qualité d’administration se rejoignent dans plusieurs situations : départ mal finalisé, compte sans responsable ou application oubliée. Ajoutez aussi les licences à revoir, les évolutions de stockage et les opérations qui restent incomplètes.

Ces éléments ne sont pas tous des failles de sécurité. Ils peuvent relever d’un coût à examiner, d’une organisation à clarifier ou d’une action technique à terminer. Les présenter séparément facilite les décisions.

N’annoncez pas une correction terminée simplement parce qu’une action a été lancée. Vérifiez son résultat et les éventuels éléments qui n’ont pas été traités.

Transformer les constats en priorités

Vous pouvez utiliser une grille simple, à adapter au contexte :

Pour chaque ligne retenue, indiquez une personne responsable et une prochaine étape. Un responsable métier peut confirmer le besoin ; l’administrateur réalise ensuite l’action technique appropriée.

Comment utiliser le dashboard MOZAYK au fil du temps ?

Commencez par une première revue pour comprendre l’état initial. Lors des contrôles suivants, intéressez-vous aux changements : nouveau compte sensible, autorisation ajoutée, indicateur corrigé ou opération restée en attente.

Une exception justifiée doit conserver une explication et être réexaminée lorsque son contexte change. Écarter un constat dans l’outil n’élimine pas, à lui seul, la situation technique qui l’a produit.

Le dashboard devient ainsi un support de travail régulier. Il vous aide à choisir où regarder et à suivre les corrections réalisées dans le périmètre de l’application.

Obtenez une vue plus claire des points à examiner. Essayez MOZAYK Workspace pendant 30 jours gratuitement, sans carte bancaire. Pour une analyse approfondie de votre environnement et de son organisation, faites appel à un professionnel Google Workspace.