Microsoft 365 ou Google Workspace : comparatif sécurité

Dans la plupart des PME, le choix entre Microsoft 365 et Google Workspace se fait pour des raisons de confort : on garde Excel parce que la comptable y tient, ou on passe à Gmail parce que l'équipe vit dans le navigateur. La sécurité arrive ensuite, souvent au moment d'un questionnaire d'assurance ou d'un premier incident.

Or, côté sécurité, l'écart le plus important ne se situe pas entre Microsoft et Google, mais entre les forfaits. Comparer Business Premium à Google Workspace Business Standard, c'est comparer un forfait de sécurité à un forfait de productivité. Nous avons donc mis face à face deux forfaits de chaque éditeur, à des prix voisins.

Identité et accès : là où l'écart est le plus net

Les quatre forfaits permettent d'imposer l'authentification multifacteur, y compris avec des clés de sécurité et des passkeys, les méthodes qui résistent à l'hameçonnage. Chez Google, l'administrateur peut même exiger la clé de sécurité ou la passkey comme seule méthode de validation.

La différence se joue sur le contexte. Business Premium inclut Entra ID P1 et donc l'accès conditionnel : bloquer une connexion venant d'un appareil non géré, exiger un MFA plus fort pour les administrateurs, refuser les pays où vous n'avez personne. Business Standard se limite aux paramètres de sécurité par défaut, gratuits mais uniformes.

Chez Google, l'équivalent, Context-Aware Access, n'existe dans aucune édition Business. Il faut passer à une édition Enterprise, dont le prix est sur demande. Pour un cabinet de Laval qui veut interdire l'accès aux dossiers clients depuis un portable personnel, c'est un point décisif.

Appareils et postes de travail

Business Premium est le seul des quatre forfaits à inclure une protection des postes de travail : Defender for Business, avec la gestion des vulnérabilités, plus Intune Plan 1 pour gérer ordinateurs et cellulaires. Business Standard offre une gestion mobile de base, et Defender for Business peut s'y ajouter séparément.

Google Workspace Business Plus propose une gestion avancée des appareils mobiles : mots de passe robustes, politiques de sécurité et profils professionnels Android. Business Standard s'arrête à la gestion fondamentale. Aucune édition Google comparée ici n'inclut d'antivirus ou d'EDR pour les postes : il faudra en acheter un, ce qui ajoute un fournisseur et une console.

Courriel, données et archivage

Les deux éditeurs filtrent les pourriels et les maliciels dans tous les forfaits. Google ajoute l'analyse des pièces jointes en bac à sable dès Business Standard. Microsoft réserve Defender for Office 365 Plan 1, qui analyse aussi les pièces jointes et les liens, à Business Premium. Quel que soit votre choix, configurez SPF, DKIM et DMARC : aucun forfait ne le fait à votre place.

Pour empêcher qu'un numéro d'assurance sociale ou une carte de crédit sorte par courriel, seule Business Premium inclut la prévention des pertes de données (DLP) et les étiquettes de sensibilité. Chez Google, la DLP pour Gmail et Drive est réservée aux éditions Enterprise.

Côté conservation, Business Plus a un atout réel avec Vault, qui permet de conserver, d'archiver et de rechercher les données, y compris en cas de litige. Business Premium offre une archive pouvant atteindre 1,5 To par utilisateur et la conservation pour litige.

Où sont vos données ?

C'est souvent la question des clients et des assureurs. Microsoft s'engage, dans ses conditions de produit, à stocker au Canada le contenu des boîtes aux lettres, de SharePoint, de OneDrive et des clavardages Teams d'un locataire inscrit au Canada. Ses centres de données canadiens sont à Québec et à Toronto.

Google Workspace permet de choisir une région de données à partir de Business Standard, mais les seuls choix sont les États-Unis, l'Europe ou aucune préférence. Pour une PME qui a promis contractuellement un hébergement canadien, c'est éliminatoire.

Attention : « au Canada » ne veut pas dire « au Québec ». La Loi 25 exige une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements personnels hors Québec. Validez votre démarche avec votre conseiller juridique.

Comment choisir

1. Partez de vos exigences non négociables. Hébergement au Canada exigé par contrat : Microsoft 365. Équipe déjà entièrement sur Google : restez-y et montez de forfait plutôt que de migrer.
2. Comparez à niveau égal. Si vous traitez des renseignements personnels, la vraie comparaison est Business Premium contre Business Plus, plus le coût d'une protection des postes et, au besoin, d'une édition Enterprise chez Google.
3. Comptez le coût total. Un forfait moins cher qui exige un antivirus, un outil d'archivage et une console de plus ne l'est pas toujours.
4. Prévoyez la configuration. Les fonctions incluses ne protègent rien tant qu'elles ne sont pas activées. Nos guides d'audit de sécurité Microsoft 365 et d'audit de sécurité Google Workspace listent les réglages à vérifier.

Vous hésitez, ou vous avez déjà choisi et voulez savoir si vos réglages tiennent la route ? Notre audit Microsoft 365 et Google Workspace passe votre configuration en revue et vous remet un plan priorisé.