Administering Information Security in Microsoft 365 (SC-401) — Questions d'entraînement et examen blanc

La certification SC-401 valide tes compétences en administration de la sécurité de l’information avec Microsoft Purview et les services Microsoft 365 associés. Elle couvre la classification des données, les étiquettes de confidentialité, les stratégies de prévention de la perte de données (DLP), la rétention, la gestion des risques internes et la protection des données utilisées par les services d’IA. Elle succède au SC-400, retiré par Microsoft le 31 mai 2025.

Elle s’adresse aux administrateurs de la sécurité de l’information qui protègent les données sensibles dans les environnements collaboratifs Microsoft 365. Il te faut de l’expérience dans la mise en place de stratégies de protection des données avec Microsoft Purview : configuration des stratégies DLP, des étiquettes de confidentialité, de la rétention et des solutions de conformité pour des organisations soumises à des exigences réglementaires.

Les trois domaines se partagent l’examen de façon presque parfaitement égale, chacun se situant entre 30 et 35 % : la protection des informations (classification, sensitivity labels), la prévention des pertes de données et la rétention, puis la gestion des risques, des alertes et des activités pèsent chacun environ un tiers.

Cet équilibre veut dire qu’aucun domaine ne peut être négligé. Les questions sur la priorité des sensitivity labels et sur l’auto-labeling comptent autant que la logique des règles DLP, et les modèles de stratégie insider risk comme le tri des alertes de sécurité de l’information pèsent tout autant. Si tu arrives d’une préparation SC-400, tu constateras que le contenu le plus récent se loge dans la gestion des risques plutôt que dans une section à part : protéger les données que consomment les services d’IA.

L’examen tire 40 à 60 questions d’un mélange de formats (choix unique, choix multiple, glisser-déposer, hot area) dans une fenêtre de 100 minutes. La plupart des items reposent sur des scénarios : on te présente une exigence de protection des données et on te demande de configurer la solution Microsoft Purview qui y répond, qu’il s’agisse d’une règle DLP, d’une stratégie de sensitivity label, d’un retention label ou d’un indicateur insider risk. Attends-toi à ce que la partie eDiscovery reste étroite : SC-401 teste la réalisation d’une recherche, pas le workflow de legal hold et de review set qui appartenait au SC-400.

Chaque domaine de l’examen SC-401 a assez de questions dans la banque pour être travaillé en profondeur. Un examen blanc te pose 50 questions d’affilée, sur le même chrono de 100 minutes que le jour de l’examen.

Le temps qu’il te faut dépend de ton expérience pratique. Le reste est fixé par l’éditeur : comment l’examen se déroule, quand tu peux le repasser et combien de temps la certification reste valable.

L’examen passe par Pearson VUE, soit en ligne avec un surveillant à distance, soit dans un centre d’examen agréé, et il est proposé en anglais, allemand, français, espagnol, portugais, japonais et chinois. La certification est valable un an, avec une évaluation de renouvellement gratuite sur Learn accessible six mois avant l’expiration ; le SC-400, auquel il succède, a été retiré le 31 mai 2025.

Les sensitivity labels obéissent à un ordre de priorité, et les stratégies d’auto-labeling s’appliquent à Exchange, SharePoint et Teams en interagissant entre elles plutôt qu’en s’empilant indépendamment : un label correctement configuré à un endroit peut très bien se faire évincer par un label plus prioritaire ailleurs. La logique des règles DLP soulève le même problème de superposition entre conditions, exceptions et actions, et les scénarios de DLP endpoint ajoutent un emplacement que la plupart des candidats n’ont jamais testé. Les stratégies de rétention et les retention labels interagissent au lieu de simplement se cumuler, les scopes statiques et adaptatifs ne se comportent pas de la même manière, et on confond souvent les modèles et indicateurs de stratégie insider risk avec des fonctionnalités de communication compliance qui leur ressemblent mais servent un autre objectif.