La version anglaise de l’examen SC-100: Microsoft Cybersecurity Architect applique un référentiel mis à jour depuis le 21 octobre 2026. Les quatre grands domaines et leurs pondérations restent identiques, mais le plan actuel explicite davantage la sécurité de l’IA, les identités d’agents et certaines capacités Microsoft 365 et opérations de sécurité.
Ce n’est ni un nouvel examen ni une nouvelle certification. Le code reste SC-100, aucune date de retrait n’est affichée et l’épreuve demeure l’examen requis pour Microsoft Certified: Cybersecurity Architect Expert. Pour les candidats déjà engagés, le bon réflexe est donc d’ajuster la préparation, pas de recommencer tout le parcours.
Le guide d’étude officiel SC-100 (nouvel onglet) indique les objectifs applicables à partir du 21 octobre. La page officielle de l’examen (nouvel onglet) précise que les versions localisées sont généralement mises à jour environ huit semaines après l’anglais, avec une réserve : Microsoft ne garantit pas que ce délai soit toujours respecté.
Ce qui ne change pas
Les pondérations restent stables :
| Domaine SC-100 | Pondération |
|---|---|
| Concevoir des solutions alignées sur les bonnes pratiques et priorités de sécurité | 20–25 % |
| Concevoir les capacités d’opérations de sécurité, d’identité et de conformité | 25–30 % |
| Concevoir des solutions de sécurité pour l’infrastructure | 25–30 % |
| Concevoir des solutions de sécurité pour les applications et les données | 20–25 % |
La stratégie générale de préparation reste donc valable. Un candidat ne doit pas abandonner Zero Trust, résilience, identité, posture multicloud, sécurité des applications ou protection des données pour se concentrer uniquement sur l’IA. Les nouveautés explicites s’intègrent à l’architecture de sécurité existante.
Microsoft classe les changements comme mineurs dans deux sous-domaines de son journal : « Design solutions for security operations » et « Evaluate solutions for securing Microsoft 365 ». Les grands domaines sont signalés sans changement. Cette terminologie officielle invite à la mesure : le contenu évolue, mais la structure de l’examen n’est pas renversée.
L’IA devient un objet d’architecture de sécurité explicite
Le référentiel actuel demande de concevoir des solutions IA alignées sur le Microsoft Cloud Security Benchmark et d’élaborer une stratégie d’adoption sécurisée de l’IA dans le cadre du Cloud Adoption Framework et de l’Azure Well-Architected Framework.
Pour se préparer, il ne suffit plus de savoir qu’un modèle doit être « sécurisé ». Il faut pouvoir relier une décision d’architecture à des contrôles : identité, moindre privilège, protection des données, journalisation, posture, réseau, détection et récupération.
Un exercice utile consiste à prendre un assistant d’entreprise et à documenter :
- les données qu’il consulte et génère ;
- l’identité utilisée pour appeler chaque outil ;
- les autorisations et conditions d’accès ;
- les journaux nécessaires à l’enquête ;
- les limites d’action autonome ;
- la procédure en cas de compromission ou d’erreur.
Ce livrable est un entraînement personnel, pas un modèle Microsoft officiel. Il permet toutefois de traiter l’IA comme une charge de travail avec des actifs, des flux et des responsabilités, ce qui correspond au niveau architecte.
Microsoft Entra Agent ID entre dans la préparation
Le guide demande explicitement de concevoir une solution pour les identités d’agents avec Microsoft Entra Agent ID et des politiques d’accès conditionnel. Ce point relie les agents IA au domaine identité et accès, qui fait partie du bloc pondéré à 25–30 %.
Préparez quatre questions pour chaque agent :
- Quelle identité représente l’agent ?
- Quels outils ou ressources peut-il atteindre ?
- Dans quelles conditions l’accès doit-il être accordé ou bloqué ?
- Comment revoir, limiter et retirer ses privilèges ?
Évitez de traiter l’agent comme un simple utilisateur humain ou comme une clé d’API permanente. Le sujet d’architecture porte sur le cycle de vie, les limites, l’évaluation du risque et l’application de politiques cohérentes avec Zero Trust.
Cette évolution rejoint un mouvement plus large dans les certifications Microsoft. Notre article sur les certifications IA Microsoft 2026 et la série AB couvre le versant conception de solutions agentiques. SC-100 s’intéresse ici à la stratégie et aux garanties de sécurité autour de ces solutions.
Les opérations de sécurité restent centrales
Dans « Design solutions for security operations », le guide actuel conserve XDR, SIEM, journalisation centralisée, Microsoft Purview Audit, supervision hybride et multicloud, ainsi que SOAR avec Microsoft Sentinel et Microsoft Defender XDR.
Il demande également de concevoir et évaluer des workflows pour réponse à incident, threat hunting et gestion des incidents, puis de mesurer la couverture de détection avec les matrices MITRE ATT&CK, notamment Enterprise, Mobile et systèmes de contrôle industriels.
La modification est classée mineure, mais elle a une conséquence pratique : révisez par chaîne de décision, pas par liste de produits.
| Étape | Question d’architecture |
|---|---|
| Collecte | Quelles sources et quels journaux sont indispensables ? |
| Détection | Comment couvrir les techniques et réduire les angles morts ? |
| Triage | Quelles données permettent de prioriser un incident ? |
| Réponse | Quelles actions automatiser et lesquelles soumettre à validation ? |
| Audit | Quelle preuve conserver pour expliquer la décision ? |
Cette méthode évite un piège fréquent : connaître la fonction de Sentinel ou Defender XDR sans savoir concevoir leur intégration dans un processus de défense.
Microsoft 365 : une évolution mineure à ne pas surinterpréter
Le journal officiel identifie aussi un changement mineur dans « Evaluate solutions for securing Microsoft 365 ». Le guide actuel attend une évaluation de la protection des identités, données, applications et collaboration dans l’architecture globale.
Microsoft ne présente pas ce changement comme un nouveau domaine et ne modifie pas sa pondération. N’en déduisez pas un nombre précis de questions. Comparez votre support de cours au guide daté du 21 octobre et complétez les éléments absents, surtout lorsque les noms de produits ou les intégrations ont changé.
Attention à la langue de l’examen
Microsoft met à jour la version anglaise en premier. Les langues affichées pour SC-100 comprennent notamment le français, mais la page avertit que les versions localisées suivent approximativement huit semaines plus tard. Le mot « approximativement » est important.
Avant de planifier :
- choisissez la langue de passage ;
- ouvrez le guide correspondant ;
- vérifiez la date et la version des objectifs ;
- conservez une copie de votre plan de révision ;
- recontrôlez la page officielle quelques jours avant l’épreuve.
Ne supposez pas qu’une session en français applique immédiatement tous les termes anglais du 21 octobre. À l’inverse, ne préparez pas une session anglaise avec un ancien support localisé.
Rappel sur le parcours Cybersecurity Architect Expert
SC-100 est l’examen requis, mais la certification Cybersecurity Architect Expert (nouvel onglet) demande aussi l’une des trois certifications préalables listées par Microsoft :
- Identity and Access Administrator Associate ;
- Security Operations Analyst Associate ;
- Cloud and AI Security Engineer Associate.
Cette règle distingue l’examen de la certification. Réussir SC-100 ne suffit pas si aucun des prérequis acceptés n’est actif dans votre profil. Vérifiez la page de certification au moment de votre planification, car Microsoft peut faire évoluer les parcours.
Pour consolider les bases avant un niveau expert, la mise à jour ISC2 CC d’octobre 2026 offre une perspective indépendante sur gouvernance, identité, cloud et réponse aux incidents. Elle ne remplace pas la maîtrise de l’écosystème Microsoft, mais aide à séparer principes de sécurité et implémentation éditeur.
Plan de révision sur quatre semaines
Semaine 1 : référentiel et diagnostic
Téléchargez le guide actuel, marquez chaque objectif comme maîtrisé, partiel ou inconnu, puis reliez-le à une preuve : schéma, décision, configuration observée ou retour d’expérience. Ne comptez pas un thème comme maîtrisé parce que vous reconnaissez son nom.
Semaine 2 : IA sécurisée et identités d’agents
Construisez un cas d’usage d’agent et produisez un schéma de confiance. Ajoutez Entra Agent ID, accès conditionnel, secrets, données, observabilité et limites d’autonomie. Testez au moins un scénario de compromission : identité sur-privilégiée, outil malveillant ou fuite de données.
Semaine 3 : SecOps, infrastructure et Microsoft 365
Concevez une architecture qui centralise les journaux, couvre plusieurs clouds, utilise XDR/SIEM et prévoit l’orchestration de réponse. Ajoutez la protection des applications, des données et de Microsoft 365. Expliquez les compromis, pas seulement les produits choisis.
Semaine 4 : scénarios et examen blanc
Travaillez des décisions d’architecte : exigences métier, menace, contrôle, solution, limite et preuve. Utilisez l’évaluation pratique officielle lorsqu’elle est disponible, puis classez chaque erreur dans les quatre domaines pondérés. Révisez d’abord les lacunes à forte pondération et celles qui traversent plusieurs domaines.
FAQ
Les pondérations ont-elles changé le 21 octobre ?
Non. Le guide conserve les quatre plages 20–25 %, 25–30 %, 25–30 % et 20–25 %.
SC-100 a-t-il été remplacé ?
Non. Le code SC-100 reste actif et la page n’affiche pas de date de retrait.
L’IA est-elle désormais tout l’examen ?
Non. Le plan explicite la sécurité de l’IA et les identités d’agents, mais Zero Trust, résilience, SecOps, identité, infrastructure, applications et données restent essentiels.
La version française change-t-elle le même jour ?
Pas nécessairement. Microsoft annonce environ huit semaines de décalage pour les versions localisées, sans garantie absolue. Vérifiez le guide associé à la langue choisie.
La mise à jour du 21 octobre renforce surtout la nécessité de raisonner comme un architecte : partir du risque, définir les contrôles, choisir les capacités, documenter les compromis et préserver une preuve défendable.
