Google Drive : comment auditer et révoquer les partages externes dans votre entreprise

Dans la plupart des entreprises que nous accompagnons, des documents internes restent accessibles à l'extérieur bien après la fin d'un projet : un devis partagé par lien public, un dossier client ouvert à un ancien prestataire, un tableau RH envoyé sur une adresse Gmail personnelle. Google Drive facilite le partage, mais ne retire jamais un accès de lui-même. Cet article présente notre méthode pour auditer ces partages externes et les révoquer sans bloquer le travail des équipes.

Qu'est-ce qu'un partage externe dans Google Drive ?

Un partage externe est un accès à un fichier ou un dossier accordé à une personne qui ne fait pas partie de votre domaine Google Workspace. Il prend généralement trois formes :

• Le lien public : « Tous les utilisateurs disposant du lien » peuvent consulter, commenter ou modifier, sans s'identifier.
• Le partage nominatif externe : un client, un partenaire ou un fournisseur reçoit un accès sur son adresse professionnelle.
• Le partage vers un compte personnel : un collaborateur partage avec sa propre adresse Gmail, souvent pour travailler depuis chez lui.

Ces partages ne sont pas mauvais en soi. Le problème vient de leur accumulation et de l'absence de suivi.

Pourquoi les partages externes sont un risque pour les PME

Le risque principal n'est pas une attaque sophistiquée, mais l'oubli. Un lien public transféré par email peut circuler bien au-delà du destinataire initial. Un ancien prestataire conserve parfois l'accès à des dossiers stratégiques. Lors du départ d'un collaborateur, les fichiers qu'il possédait et partageait restent ouverts si personne ne vérifie. C'est pourquoi nous intégrons systématiquement ce contrôle à notre procédure d'offboarding Google Workspace.

Pour les données personnelles (RH, clients, santé), un partage non maîtrisé peut aussi poser une question de conformité au RGPD, puisque l'entreprise doit pouvoir justifier qui accède à quoi.

Étape 1 : faire l'inventaire des partages existants

Dans la console Google Admin, la rubrique Rapports, Audit et investigation, Événements de journal Drive permet de retrouver les modifications de visibilité et les partages vers l'extérieur. La profondeur d'historique et les outils d'investigation avancés varient selon l'édition Google Workspace : sur les offres Business Starter, la vision reste plus limitée que sur les éditions supérieures. Consultez notre comparatif des éditions Google Workspace pour connaître les différences.

Les journaux montrent surtout des événements, pas un état des lieux complet fichier par fichier. Pour obtenir une photographie de tous les fichiers actuellement ouverts à l'extérieur, il faut interroger l'API Drive ou utiliser un outil dédié.

Étape 2 : prioriser les fichiers sensibles

Tous les partages ne se valent pas. Nous traitons d'abord :

1. les fichiers en lien public modifiable ;
2. les documents RH, financiers, juridiques et les fichiers clients ;
3. les accès accordés à des comptes Gmail personnels ;
4. les accès d'anciens prestataires ou partenaires ;
5. les fichiers appartenant à des comptes de collaborateurs partis.

Les règles de protection contre la perte de données, présentées dans notre article sur la DLP Google Workspace pour Drive, complètent cette approche sur les éditions qui les proposent.

Étape 3 : révoquer les accès sans bloquer les équipes

Avant de couper un accès, nous vérifions avec le propriétaire du fichier qu'il n'est plus utile. Un partage encore nécessaire peut souvent être transformé : passage du lien public à un partage nominatif, droit de modification réduit à la lecture, ou ajout d'une date d'expiration sur l'accès lorsque l'édition le permet.

Pour les fichiers d'un compte supprimé ou suspendu, le transfert de propriété vers un responsable ou un Drive partagé évite de perdre des documents tout en reprenant la main sur leurs partages.

Étape 4 : régler les paramètres pour éviter la récidive

Dans la console Google Admin, section Drive et Docs, plusieurs réglages limitent les nouveaux risques :

• restreindre le partage externe aux domaines autorisés (liste blanche) ;
• afficher un avertissement lors d'un partage hors du domaine ;
• désactiver ou limiter les liens publics par défaut ;
• appliquer des règles différentes par unité organisationnelle (RH plus strict que commercial) ;
• privilégier les Drive partagés pour les dossiers d'équipe.

Ces réglages font partie des points que nous vérifions lors d'un audit de sécurité Google Workspace.

Automatiser le contrôle avec MOZAYK Workspace

Refaire cet inventaire à la main chaque trimestre est fastidieux. Nous utilisons MOZAYK Workspace pour détecter les partages externes sensibles et transférer la propriété des fichiers lors d'un départ, puis nous réalisons dans la console Google Admin les corrections qui ne sont pas disponibles dans l'application. Pour une vision plus large de l'outil, voir notre article sur la centralisation de l'administration Google Workspace.

Faire auditer vos partages Drive

Vous ne savez pas combien de fichiers de votre entreprise sont ouverts à l'extérieur ? Nous réalisons cet inventaire avec vous et vous aidons à fixer des règles adaptées à votre activité. Réservez un échange de 30 minutes offert.