Semaine 1 - consolider la source d'inventaire
Récupère un export par navigateur et équipe, isole les postes sensibles, puis élimine les doublons avant le premier scoring.
Playbook opérationnel
Comment lancer un audit d'extensions navigateur IA
Un déroulé court pour cadrer les sources d'inventaire, les validations métier et les livrables de remédiation sans transformer l'audit en chantier interminable.
Déroulé conseillé sur 30 jours
Semaine 2 - trier les extensions critiques
Classe d'abord les permissions cookies, nativeMessaging, webRequestBlocking et `<all_urls>`, puis identifie les extensions IA sans owner.
Semaine 3 - décider blocage, restriction ou exception
Valide chaque cas avec le métier, fixe une date d'expiration des exceptions et rattache les usages tolérés à un responsable.
Semaine 4 - publier le paquet de remédiation
Diffuse l'export, la matrice de décision et le lot d'actions poste de travail / navigateur / gouvernance pour lancer la remédiation.
Sources à collecter
Le meilleur audit réutilise des sources déjà disponibles plutôt que de demander aux équipes de reconstruire manuellement leur parc.
Exports MDM ou navigateur managé
Chrome Enterprise, Microsoft Edge Management, Jamf, Intune ou Workspace ONE donnent le socle le plus fiable pour démarrer.
Journal des exceptions sécurité
Liste les extensions déjà tolérées, leur justification, le sponsor métier et la date de prochaine revue.
Catalogue d'applications approuvées
Comparer le catalogue officiel et l'inventaire réel permet de mesurer le shadow AI et les écarts de gouvernance.
Incidents ou alertes déjà connus
Conserve les extensions déjà impliquées dans un incident phishing, fuite de session, capture de contenu ou exfiltration.
Questions à poser aux métiers
- Quel cas d'usage exact justifie l'extension IA et quel owner peut l'assumer ?
- L'extension lit-elle des onglets contenant des données clients, RH, finance ou M&A ?
- Existe-t-il une alternative approuvée couvrant le même besoin avec moins de permissions ?
- Quelle équipe retire l'exception si l'extension change de manifeste ou de modèle de données ?
Livrables attendus en fin d'audit
- Inventaire versionné des extensions par navigateur et entité.
- Matrice blocage / restriction / exception pour les permissions les plus sensibles.
- Liste priorisée des remédiations à faire côté navigateur, poste de travail et gouvernance.
- Pack comité sécurité: export CSV, synthèse de risque, liste des owners et planning de re-audit.
Questions fréquentes
Combien d'extensions faut-il auditer pour avoir de la valeur ?
Dès le premier export. Même un périmètre de 20 à 50 extensions met souvent en lumière les cas les plus risqués et les exceptions oubliées.
Peut-on utiliser l'outil pendant une phase de réponse à incident ?
Oui, surtout pour isoler rapidement les extensions avec accès cookies, historique ou all-sites et produire une liste de confinement immédiat.
Faut-il auditer séparément Chrome et Edge ?
Oui si les politiques et catalogues diffèrent. Les mêmes extensions peuvent être autorisées dans un navigateur et non gouvernées dans l'autre.