Comme le savent les RSSI et les administrateurs informatiques, le partage de fichiers, tant avec des groupes internes qu’avec des collaborateurs externes, est censé être aussi facile et fluide que possible afin de s’adapter à la réalité du lieu de travail numérique moderne, mobile et collaboratif.

Du point de vue de la conformité, cette approche peut toutefois constituer une bombe à retardement. De plus, un nouvel acteur est entré en scène et pourrait accélérer la minuterie de cette bombe : Copilot. Microsoft tient à mettre en avant le prix de Copilot pour Microsoft 365 (360 USD par utilisateur et par an, le paiement mensuel n’étant pas possible) et c’est là que le bât blesse – Copilot a accès aux mêmes documents que l’utilisateur.

Vous vous souvenez de Delve ? Il s’agit de l’ancienne technologie de Microsoft qui vous suggérait des documents créés par des personnes avec lesquelles vous collaboriez et susceptibles de vous intéresser. Sauf que dans certains cas, les entreprises ont eu un choc lorsqu’elles ont réalisé quels documents étaient partagés avec différents groupes de personnes.

La situation de Copilot est pire, car vous ne saurez pas nécessairement à quels documents il a accédé pour répondre à votre demande ou créer une nouvelle version d’un document pour vous.

Le partage de fichiers dans Teams est probablement l’une des méthodes qui prêtent le plus facilement à confusion. Lorsque vous partagez un fichier dans un canal Teams, il est en fait stocké sur le site d’équipe dans SharePoint. En revanche, si vous téléchargez un fichier dans une conversation à deux ou en groupe, il est stocké dans le dossier Microsoft Teams Chat Files de votre OneDrive for Business (qui est en fait un site SharePoint sous le capot).

Si vous avez un canal privé, il dispose de son propre site SharePoint séparé, avec une bibliothèque de documents à laquelle seuls les membres du canal privé ont accès. Les documents sont donc tous stockés dans divers sites SharePoint, plutôt que dans l’application Teams elle-même.

Et si vous partagez un fichier avec un collaborateur externe, en fonction des paramètres définis par votre service informatique dans SharePoint Online, il se peut qu’il reçoive un courriel l’invitant à créer un compte invité dans votre locataire.

Si vous êtes RSSI, vous êtes probablement inquiet à ce stade. Les données commerciales sont facilement partagées en interne, éventuellement avec du personnel qui ne devrait pas y avoir accès, et vous n’avez qu’un contrôle limité sur ce partage.

Elles sont également (probablement) partagées avec des collaborateurs externes et vous n’avez pas beaucoup d’informations sur ce partage non plus. Vous devez cependant faire preuve de prudence. Une réaction spontanée consistant à bloquer complètement le partage de fichiers, sans partage externe et avec des autorisations strictes par défaut pour le partage interne, amènera les utilisateurs à chercher un autre moyen d’accomplir leurs tâches.

Les documents sensibles peuvent alors être partagés via le stockage en nuage d’un tiers, où vous avez encore plus de mal à identifier les risques.

D’autre part, si vous êtes administrateur informatique et que vous devez gérer le partage de fichiers (en plus de toutes vos autres tâches), cela peut sembler être un défi insurmontable.

Par où commencer ? Même si vous pouvez produire des rapports sur les autorisations accordées et les fichiers partagés en externe, vous ne savez pas ce qui relève du partage excessif et ce qui relève de l’activité légitime. Vous devrez travailler avec les différents services de l’entreprise pour identifier ces éléments, site par site.

Enfin, si vous êtes un utilisateur final, il vous est pratiquement impossible, avec les outils intégrés, de comprendre quel contrôle vous avez sur le partage de documents en interne et en externe (qui dépend de la configuration des locataires) et comment vous pouvez déterminer la part de votre propre rôle dans le partage excessif.

Il est difficile de maîtriser votre situation actuelle en matière de partage de fichiers (dans la plupart des entreprises, cela fait partie du paysage depuis si longtemps que personne ne dispose d’une vue d’ensemble pour voir à quel point la situation est difficile) à l’aide des outils intégrés.

Auditer manuellement des centaines de sites est impossible. Il est même difficile de créer des rapports PowerShell pour collecter les données.

Il est certain que vous devez examiner vos paramètres actuels et les options dont vous disposez dans le centre d’administration SharePoint, que nous avons abordé dans cet article. Mais même si vous renforcez ces paramètres aujourd’hui (ils s’appliquent à tous les locataires), ils ne s’appliquent qu’aux nouveaux partages, et non aux sites et fichiers partagés existants.

N’oubliez pas que l’un des principes de la Confiance zéro (qui existe depuis longtemps) est l’accès sur la base du moindre privilège. En d’autres termes, n’accordez aux utilisateurs que l’accès aux données dont ils ont besoin pour accomplir leurs tâches, et pas plus. Ces données doivent être mises à jour lorsque les utilisateurs changent de rôle au sein de l’organisation ou qu’ils sont promus.

Cela arrive rarement, les personnes conservent généralement leurs accès existants et accumulent simplement plus d’autorisations. De plus, il est difficile de faire un inventaire exact de qui a accès à quels documents à l’aide des outils intégrés.

Les différentes réglementations auxquelles vous devrez peut-être vous conformer ont différentes approches en matière de contrôles autour du partage de fichiers. Dans la norme ISO 27001:2022, « Sécurité de l’information, cybersécurité et protection de la vie privée », il y a le point A.8.12 « Empêcher le partage d’informations sensibles au sein des plateformes de communication d’entreprise » et sous le point A.8.3, il y a « Bloquer l’accès aux fichiers pour des utilisateurs spécifiques » et « Créer et gérer les examens d’accès ».

Dans la loi sur la portabilité et la responsabilité des assurances maladie (Health Insurance Portability and Accountability Act, HIPAA) aux États-Unis, sous § 164.308(a)(4) Norme : contrôle d’accès, on trouve Examiner les groupes d’utilisateurs et les applications ayant accès aux ePHI (informations électroniques protégées sur la santé), par exemple.

Aux États-Unis, les organisations qui collaborent avec le ministère de la Défense doivent se conformer au CMMC (Cybersecurity Maturity Model Certification), dont une nouvelle version (v2.0) est en cours d’élaboration. Par exemple, SC.L2-3.13.16 prévoit des contrôles pour les Données au repos et AU.L2-3.3.1 prévoit l’Audit des systèmes.

Enfin comme dernier exemple, la Loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act, CCPA), article 1798.150(a)(1) sur les Atteintes à la sécurité des données, prévoit l’enregistrement des audits et la mise en place de politiques de prévention des pertes de données.

Il ne s’agit que de quelques exemples. En fonction du lieu d’implantation de votre entreprise, de votre secteur d’activité et du type de données que vous stockez et traitez, différentes réglementations s’appliqueront.

Le point commun à beaucoup d’entre elles est que vous devez non seulement contrôler l’accès aux données avec un accès sur la base du moindre privilège, auditer l’accès, souvent avec des examens réguliers de l’accès – et vous devez également être en mesure de prouver à un auditeur que vous le faites. Il ne suffit pas de dire que vous le faites, vous devez rassembler et présenter des preuves de la manière dont vous le faites.