La sécurisation des comptes Office 365 en débat

« L’utilisation de Teams en un an est passée de 6% à 33%, 52% des données sensibles sont dans SharePoint et 40% des comptes Office 365 ont été piratés en 2018 », explique Daniel Benabou, directeur général d’IDECSI, pour planter le décor d’un atelier qui s’est déroulé lors des Assises de la Sécurité. Pour parler de la sécurisation des comptes de la suite bureautique et collaborative de Microsoft, l’éditeur a réuni trois RSSI autour d’une table pour partager leurs expériences.

Une protection adaptative

Premier à se lancer, David Hozé, RSSI adjoint de Kering, groupe de luxe comprenant notamment les marques Gucci, Yves Saint Laurent, Boucheron, Bottega Veneta et Alexander McQueen. Il est par ailleurs fondateur du cabinet de conseil Wise Partners. Il observe en préambule que « la migration se déroule en général très vite sans nécessairement avoir une validation complète du RSSI adjoint et sans feuille de route de sécurité bien établie ». Par ailleurs, le responsable souligne deux éléments, « on se retrouve avec plein d’outils, d’évolutions, comme par exemple SharePoint qui bascule sur Teams, mais aussi on se pose la question de l’adoption de ces outils par les utilisateurs avec dans les deux cas la problématique des données ».

Selon lui, il y a deux façons de faire « soit on explique en amont ce que l’utilisateur peut faire, mais c’est impossible. Une seconde approche est de regarder ce qui se passe et en cas de problème, il faut être le plus réactif possible ». Pour cela, il y a néanmoins un travail en amont autour des trois axes « sécurisation des accès, protéger les informations, le fait que cela soit une suite intégrée facilite ce travail et enfin il y a l’observation, la surveillance et la réaction ». Pour cet ensemble, « on a intégré des briques Microsoft et autres en établissant une feuille de route en fonction des cas d’usage et ainsi adapter en temps réel les paramétrages des outils ».

Aller au-delà des mails et surveiller OneDrive

Pour Lagardère Travel Retail (filiale qui s’occupe notamment des magasins Relay ou des boutiques dans les aéroports), la migration vers Office 365 a duré plusieurs années car il y a plusieurs tenants. Quand l’opération a été lancée en 2014, la sécurité était peu prise en compte. En arrivant au poste de RSSI, Vincent Gapaillard a été sollicité car « il y avait des choses étranges sur les logs Microsoft ». L’absence de visibilité sur les comptes a été couplée avec des campagne de phishing qui sont allés au bout. Mais impossible de remonter à l’origine de l’incident, en raison du manque d’outils et de compétences. « Il était donc impératif d’avoir cette visibilité, de pouvoir créer de la détection, des alertes ». D’où l’usage de la solution IDECSI en ciblant dans un premier temps, les membres du Comex, « car ils ont été victimes de phishing », glisse le responsable avant d’ajouter, « par chance ou par hasard, il se trouve que nous testions la solution IDECSI, le jour où une campagne de phishing a eu lieu, un bon point pour valider le projet et le budget ».

Vincent Gapaillard regarde déjà l’évolution du projet de sécurisation des comptes Office 365 avec « un élargissement à l’ensemble des boites mails des utilisateurs des différents tenants tout en ciblant les comptes à privilèges VIP et exécutif » et en « ne se limitant pas au mail et l’élargissant à Teams et OneDrive ». Sur ce dernier, la sécurisation pose des interrogations, « les équipes IT savaient protéger les espaces personnes sur des filers, sur OneDrive, il y a un transfert de compétences vers les utilisateurs qui sont autonomes ». Pour autant, « ils ne le font pas correctement. Il arrive souvent que le partage soit réalisé pour l’ensemble de l’entreprise, ce qui pose des problèmes pour les données confidentielles », constate le RSSI. « L’outil de monitoring me montre que la formation et la sensibilisation sur OneDrive est faible, soit il faut la refaire, soit elle n’est pas assez pertinente », complète-t-il. Un problème loin d’être anecdotique, car « le jour où on va basculer sur Teams et migrer des SharePoint, les volumes et la sensibilité des données sont encore plus importants », prévoit Vincent Gapaillard.

L’utilisateur doit devenir acteur de sa sécurité

« Nous avons loupé un premier virage dans la migration dans Office 365 il y a trois ans cela a recommencé il y a un an et demi », se souvient Wilfried Laumond, head of risk monitoring et services chez Sanofi. Préparé à ce deuxième essai, il était impératif selon lui « d’avoir un accès conditionnel aux données, mais nous nous sommes aperçus que le modèle Microsoft évolue très vite et le postulat d’il y a trois ans n’était plus le même il y a un an et demi ». Un élément à prendre en compte dans sa politique de sécurité, « il faut regarder les nouveautés, faire évoluer les contraintes de sécurité tout en accompagnant les métiers », constate le dirigeant. Par exemple, « les logs avaient l’habitude d’aller dans le SIEM, avec Office 365 les évènements ont décuplé, ce qui pose un problème pour réaliser des recherches », reconnaît Wilfried Laumond. D’où l’utilisation de solution d’IDECSI pour effectuer des recherches pertinentes d’abord sur la messagerie et en particulier les comptes VIP (350).

Il prévoit d’étendre le monitoring « plus tard dans SharePoint et OneDrive quand on sera prêt, car cela nécessite une maturité du connecteur Microsoft et une réflexion de notre part ». Un exercice compliqué, mais nécessaire, « aujourd’hui, je passe beaucoup de temps à faire du nettoyage. Il y a 37 000 SharePoint et 20 000 ne servent à rien, pas d’activité, pas de propriétaire. Or pour migrer sur Office 365, il faut un propriétaire », analyse le responsable. Cela implique de « responsabiliser l’utilisateur sur sa donnée » avec la notion de « self sécurité où l’utilisateur gère lui-même ses alertes ». Pour le Wilfried Laumond, il faut que « l’utilisateur soit acteur de sa sécurité » tout en rappelant qu’il ne s’agit pas « d’un projet IT ». Il est impératif d’impliquer les métiers (RH, juridiques) dans cette démarche d’accompagnement au changement.