Meilleures pratiques de sécurité pour Microsoft Teams
Microsoft Corporation investit d’importantes ressources — en temps comme en argent — dans la sécurité de ses systèmes, dont Microsoft Teams. Son équipe d’ingénierie améliore et enrichit continuellement les fonctionnalités de sécurité, faisant de Teams l’un des outils de collaboration les plus sûrs du marché. Pour autant, des risques liés à la sécurité des données existent toujours, quelle que soit la plateforme utilisée pour faire fonctionner votre organisation. Il incombe à chaque entreprise de garantir une utilisation optimale de l’outil et la protection de ses données.
Dans cet article, nous passerons en revue les risques de sécurité les plus courants dans Microsoft Teams et les meilleures pratiques pour les minimiser.
Risques de sécurité dans Microsoft Teams
Accès invité
L’une des grandes forces de Microsoft Teams est la possibilité de communiquer et de collaborer avec des utilisateurs externes en leur accordant un accès invité à vos équipes, canaux et réunions. C’est pourquoi Teams est si largement utilisé pour mener des négociations à distance, réaliser des présentations commerciales et discuter de projets avec des partenaires.
Cependant, en accordant un accès invité, vous permettez également à vos invités d’accéder à l’ensemble des fichiers de votre équipe et aux autres données partagées via les canaux. Vous risquez donc que vos invités consultent des contenus sensibles, ce qui représente un risque potentiel pour la sécurité des données.
Fuites d’informations
Si le partage externe est activé dans Teams, tous les documents stockés dans SharePoint peuvent potentiellement être partagés avec des utilisateurs externes via les conversations. Cela peut entraîner des fuites de données sensibles et créer de sérieux problèmes de sécurité.
Le partage d’écran peut également poser des problèmes s’il n’est pas utilisé avec précaution. Si vous ou vos collaborateurs partagez accidentellement la mauvaise page avec des utilisateurs externes, les conséquences peuvent être irréversibles.
Confidentialité des équipes
Les propriétaires d’équipes peuvent modifier la confidentialité d’une équipe à tout moment, ce qui rend essentielle la surveillance des personnes disposant de ce rôle. Un changement de confidentialité peut entraîner des problèmes de sécurité. Il convient donc de choisir les propriétaires avec soin et de ne pas accorder ce statut à tous les membres de l’équipe.
Cycle de vie des utilisateurs
Si votre équipe ne compte qu’un seul propriétaire et que cette personne quitte l’organisation, cela peut devenir problématique. Une équipe ne peut pas rester sans propriétaire ; n’importe quel utilisateur peut potentiellement le devenir. Cela peut compromettre la confidentialité de votre équipe, car le propriétaire peut modifier les paramètres de celle-ci.
Propriété des canaux privés
Les canaux privés permettent de discuter de sujets sensibles avec quelques membres de l’équipe (et même des utilisateurs invités) sans avoir à créer une toute nouvelle équipe. Cependant, si le propriétaire d’un canal privé est supprimé, n’importe quel membre peut en devenir le nouveau propriétaire. Cela peut être risqué, car ce nouveau propriétaire pourrait inviter n’importe quelle personne dans le canal privé et, ainsi, donner accès à des informations confidentielles à d’autres utilisateurs.
Partage d’informations hautement sensibles
Le partage de certaines données très sensibles est illégal. C’est le cas, par exemple, des numéros de sécurité sociale. Partager ce type de données dans Teams avec des utilisateurs externes est contraire à la loi. L’activation de politiques de prévention contre la perte de données (DLP) permet de s’assurer que les utilisateurs ne divulguent pas accidentellement des informations sensibles.
Intégration d’applications
Lors de l’intégration d’une application tierce dans Teams, vous pouvez lui accorder l’autorisation d’accéder aux données de votre équipe. Certaines applications peuvent transférer des données entre leurs services, ce qui peut entraîner des pertes de données et des violations de conformité au RGPD.
Attaques de phishing
Les utilisateurs de Microsoft Teams reçoivent des notifications par e-mail concernant les activités dans leurs équipes. Conscients de cela, des cybercriminels ont commencé à cibler les utilisateurs de Teams pour obtenir leurs identifiants et accéder à la propriété intellectuelle et aux stratégies des entreprises.
Meilleures pratiques de sécurité pour Microsoft Teams
Il existe plusieurs façons de renforcer la sécurité de vos équipes et de minimiser les risques. Voici quelques-unes des meilleures pratiques de sécurité pour Microsoft Teams.
1. Définir la gouvernance Microsoft Teams
L’une des approches les plus fiables pour renforcer la sécurité dans Teams consiste à mettre en place des politiques de gouvernance. La gouvernance Teams détermine le fonctionnement interne de l’organisation, la façon dont les utilisateurs finaux peuvent utiliser l’application, qui peut créer des équipes, quelles informations les utilisateurs peuvent partager, etc.
Si vous souhaitez en savoir plus sur les meilleures pratiques de gouvernance Teams, nous vous recommandons de consulter cet article. De nombreux points sont à prendre en compte, portant non seulement sur la sécurité, mais aussi sur la structure organisationnelle.
En matière de sécurité, voici les points essentiels à considérer :
Qui peut créer des équipes
La première chose à faire est de décider qui peut créer des équipes. Cela vous permettra de limiter la prolifération des équipes et tous les problèmes de sécurité qui en découlent.
Plusieurs approches sont possibles :
- Vous pouvez créer un groupe de sécurité regroupant les personnes autorisées à créer des groupes Office 365. Les instructions sont disponibles ici. Toutefois, cela peut limiter les autres utilisateurs qui, en dehors de Microsoft Teams, ne pourront plus créer de groupes dans Planner, Outlook et d’autres applications Office 365.
- En configurant le ciblage de l’audience grâce aux modèles de collaboration Microsoft Teams, vous limitez la visibilité des modèles à certains groupes d’utilisateurs uniquement. Vous pouvez ainsi définir des règles de ciblage basées sur les données de profil des utilisateurs, telles que la géolocalisation, la langue parlée, le département, l’adresse e-mail ou tout attribut Active Directory, afin de proposer les bons modèles aux bonnes personnes.
Propriété et appartenance aux équipes
Définir les bonnes politiques de propriété et d’appartenance vous permettra de mieux surveiller les équipes et les canaux privés, et de contrôler les informations partagées. Les propriétaires d’équipes peuvent supprimer des membres, ajouter des invités, modifier les paramètres et effectuer certaines tâches administratives. Veillez donc à disposer de plusieurs propriétaires dans chaque équipe, afin que si l’un d’eux est supprimé, la propriété ne soit pas attribuée à un membre aléatoire.
Voici quelques façons de procéder :
- Établir des directives pour l’ajout de propriétaires et de membres, que vos utilisateurs suivront lors de la création d’une nouvelle équipe.
- Le faire manuellement dans chaque équipe.
- Configurer l’appartenance dynamique pour les équipes. Cela signifie que l’appartenance à une équipe peut être définie par une ou plusieurs règles correspondant à certains attributs utilisateurs dans Azure AD (désormais Microsoft Entra ID). En conséquence, les utilisateurs sont automatiquement ajoutés ou retirés des équipes appropriées lorsque leurs attributs changent.
- Établir une appartenance et une propriété permanentes au niveau du modèle avec les modèles de collaboration SalesTim. Lorsque vous créez un modèle, vous pouvez attribuer des propriétaires et des membres permanents qui seront automatiquement ajoutés aux nouvelles équipes créées à partir de ce modèle.
Applications tierces
L’accès libre aux applications tierces pour les utilisateurs finaux met en danger la sécurité de vos contenus sensibles. La gestion des applications tierces est donc essentielle pour garantir une collaboration efficace tout en protégeant les informations confidentielles.
Vous pouvez superviser les applications tierces en :
1. Gérant les politiques de configuration des applications.
Vous pouvez mettre en avant et épingler les applications les plus importantes dans les équipes, et installer des applications au nom des utilisateurs.
2. Gérant les politiques d’autorisation des applications.
Vous pouvez contrôler les applications disponibles pour les utilisateurs dans le centre d’administration :
- Autoriser toutes les applications
- Autoriser des applications spécifiques et bloquer toutes les autres
- Bloquer certaines applications et autoriser toutes les autres
- Bloquer toutes les applications
Il est également possible de filtrer les applications en les limitant à celles certifiées par Microsoft.
2. Configurer les fonctionnalités de sécurité des données
Office 365 propose des fonctionnalités supplémentaires pour sécuriser vos données.
Prévention contre la perte de données (DLP)
La fonctionnalité DLP identifie les données très sensibles, telles que les numéros de sécurité sociale et les numéros de carte bancaire, et empêche leur partage avec des utilisateurs externes et des invités.
Par exemple, si des informations sensibles sont partagées avec un utilisateur externe via un message, celui-ci sera automatiquement supprimé.
Si un document contenant ce type d’informations est partagé avec des utilisateurs externes, le document ne s’ouvrira pas pour ces utilisateurs.
Vous pouvez en savoir plus sur la DLP et sur la façon de l’activer ici.
Étiquettes de confidentialité pour la protection des informations
Pour accomplir leur travail, vos collaborateurs collaborent aussi bien en interne qu’en externe, ce qui représente un risque potentiel pour la sécurité des données si un document hautement confidentiel tombe accidentellement entre de mauvaises mains.
Les étiquettes de confidentialité vous permettent de classer et de protéger les données de votre organisation, tout en préservant la productivité des utilisateurs et leur capacité à collaborer.
Les étiquettes de confidentialité peuvent chiffrer les e-mails et les documents, marquer le contenu lorsque vous utilisez des applications Office 365, protéger le contenu dans des conteneurs tels que des sites et des groupes, et appliquer automatiquement l’étiquette aux fichiers et aux e-mails, ou recommander une étiquette.
En savoir plus sur les étiquettes de confidentialité ici.
3. Configurer les paramètres d’accès invité
Avec Microsoft Teams, vous pouvez inviter des utilisateurs externes dans vos équipes, ce qui peut soulever des préoccupations en matière de sécurité des données. Il est donc essentiel de définir les bonnes règles d’accès invité.
Centre d’administration
Vous pouvez configurer les paramètres d’accès invité dans le centre d’administration Teams. Vous pouvez le désactiver complètement, mais si vous utilisez Teams pour communiquer avec des clients et des partenaires, il peut être préférable de conserver cette fonctionnalité. Vous pouvez alors leur accorder les privilèges minimaux, juste suffisants pour discuter de sujets d’intérêt commun.
Si vous craignez des fuites accidentelles d’informations lors de réunions vidéo, vous pouvez choisir de désactiver la fonctionnalité de partage d’écran.
Étiquettes de confidentialité pour les équipes
Vous pouvez créer et configurer des étiquettes de confidentialité qui, lorsqu’elles sont appliquées lors de la création d’une équipe, permettent aux utilisateurs de choisir les paramètres de confidentialité pour cette nouvelle équipe.
Les équipes créées avec une étiquette hautement confidentielle n’autoriseront pas l’accès invité et ne seront accessibles qu’à vos collaborateurs. Les personnes extérieures à votre organisation ne pourront pas rejoindre l’équipe.
Créer votre propre application avec Azure Logic Apps
Il est également possible d’activer l’accès invité uniquement pour certaines équipes autorisées, en créant une nouvelle inscription d’application Azure AD qui permet d’utiliser Microsoft Graph pour créer des équipes et définir leurs priorités. Vous trouverez un guide étape par étape ici.
4. Utiliser la salle d’attente pour les réunions avec des utilisateurs externes
Pour empêcher les utilisateurs externes d’accéder directement à vos réunions dans Microsoft Teams, vous pouvez utiliser la fonctionnalité de salle d’attente. Vous pouvez l’activer ou la désactiver dans le centre d’administration Microsoft Teams.
Les utilisateurs externes seront redirigés vers une salle d’attente virtuelle où ils devront patienter jusqu’à ce qu’ils soient admis. Cela peut s’avérer utile, par exemple, si vous organisez une réunion de négociation avec votre équipe et un client, et souhaitez échanger avec vos collaborateurs avant le début de la réunion officielle.
5. Activer l’authentification multifacteur
L’authentification multifacteur renforce considérablement la sécurité des connexions des utilisateurs. Il s’agit sans conteste de l’une des meilleures pratiques de sécurité pour Microsoft Teams si vous souhaitez protéger votre système contre les attaques de phishing visant les identifiants de vos collaborateurs.
En plus de saisir leur nom d’utilisateur et leur mot de passe, les utilisateurs doivent vérifier leur identité via un facteur d’authentification supplémentaire — un appel téléphonique, un SMS ou une notification.
6. Appliquer la confidentialité des équipes
Si vous souhaitez activer la confidentialité pour certaines équipes, vous pouvez le faire au niveau du modèle avec les modèles de collaboration SalesTim.
Vous pouvez décider si les nouvelles équipes créées à partir du modèle seront Privées ou Publiques. Les équipes privées n’autorisent que les propriétaires à ajouter des membres, tandis que dans les équipes publiques, toute personne de l’organisation peut rejoindre l’équipe sans validation.
7. Créer des alertes d’activité
Vous pouvez utiliser le journal d’audit Office 365 pour surveiller les problèmes de sécurité potentiels. Après avoir créé une alerte d’activité, vous recevrez une notification par e-mail chaque fois que des utilisateurs effectuent des activités spécifiques dans Office 365.
Vous pouvez définir des alertes d’activité pour le partage externe, la création d’invitations de partage, le téléchargement/chargement de fichiers, les modifications des autorisations de site, et bien d’autres actions.
Vous pourrez ainsi surveiller tout risque de sécurité potentiel lié à l’activité des utilisateurs.
En suivant ces meilleures pratiques de sécurité pour Microsoft Teams, vous assurerez un haut niveau de protection du système de votre organisation et de ses données.