Est-ce que les outils par défaut de sécurité et de conformité de Microsoft Teams sont suffisamment bons?

Microsoft Teams est une plate-forme de communication et de collaboration à croissance rapide destinée aux entreprises. À la fin de 2018, Microsoft Teams a dépassé Slack et est devenu leader sur le marché. Aujourd’hui, plus de 329 000 entreprises l’utilisent.

Microsoft Teams est une plate-forme ouverte offrant une vaste gamme d’options de collaboration à partir de tout appareil. Obligatoirement cela amène les responsables IT (CISO, CIO,  …) à se poser des questions sur les problèmes de conformité et de sécurité.

Les entreprises déployant Teams doivent s’assurer qu’elles sont aussi protégées que possible lors du passage à Microsoft Teams. 

Perte de données sensible

Les avantages très collaboratifs que les employés apprécient peuvent être un casse-tête majeur pour les équipes de sécurité et de conformité. Bien sûr, le partage de fichiers du bout des doigts est idéal pour les flux de travail, mais comment vous assurer que les données sensibles ne sont pas partagées? Prévenir les fuites ou pertes de données est indispensable pour contrôler les risques avec les équipes. 

Bien que Microsoft Office 365 offre des fonctionnalités rudimentaires DLP (Data Loss Prevention), elles ne sont souvent pas suffisamment efficaces. Le contenu est généralement inspecté après son envoi et non en temps réel. Le contenu ne peut pas être bloqué ou masqué par des stratégies ou à l’échelle de l’organisation. Si vous souhaitez détecter et protéger les données sensibles contre les fuites, vous pouvez rechercher une solution tierce, telle que SphereShield.

Les outils DLP avancés offrent généralement des modèles de règles intégrés empêchant le partage de données telles que les numéros de sécurité sociale, les numéros de carte de crédit et les numéros d’identification. Des règles supplémentaires spécifiques à votre organisation (comme un nom de projet secret) peuvent également toujours être ajoutées. Vous voudrez peut-être investir dans une solution telle que SphereShield, conçue sur mesure pour les équipes Microsoft et pouvant inspecter le contenu en fonction de fonctionnalités spécifiques à Teams ou intégrer les solutions DLP existantes d’une entreprise qui peuvent ne pas couvrir les équipes. 

Utilisateurs externes

Collaborer avec des partenaires commerciaux externes peut être une proposition dangereuse si rien n’est fait. Il est essentiel de savoir qui peut rejoindre ces applications de messagerie pour éviter la perte de données et rester en conformité avec la réglementation. 

Microsoft Teams permet aux utilisateurs extérieurs à votre entreprise de communiquer avec vos employés. Vous avez le contrôle sur les domaines pouvant communiquer avec les utilisateurs de votre entreprise, mais c’est à peu près tout. Vous n’avez pas de contrôle granulaire.

Ces stratégies de messagerie ne suffisent pas. Ils sont appliqués par utilisateur (pas par groupe) et ne sont pas sensibles au contexte. Ils ne changent pas en fonction des participants ou de la portée. Par exemple, si des paramètres sont définis pour bloquer les capacités de partage de fichiers d’un utilisateur, il ne pourra pas partager de fichiers ni en interne ni en externe. Cela signifie que vous ne pouvez pas empêcher un employé de communiquer avec des utilisateurs externes de manière spécifique et sur mesure.

Lors de la fédération avec des entreprises externes, vous pouvez contrôler deux aspects

 Qui peut communiquer avec qui ?

Comment peuvent-ils communiquer?

Le mur éthique de SphereShield peut être utilisé à cette fin. Les stratégies peuvent être appliquées sur des utilisateurs, des groupes ou des domaines (cela résout la partie “qui”). En outre, les stratégies de modalité granulaires permettent de contrôler les fonctionnalités de communication telles que la messagerie instantanée, le transfert de fichiers, la téléconférence, l’audio, la vidéo, etc. Des stratégies de mur éthique peuvent être créées pour contrôler à la fois la communication intra-organisationnelle et la communication inter-organisationnelle.

Archivage eDiscovery hors ligne

La plupart des entreprises sont aujourd’hui confrontées à une réglementation en matière de conformité les obligeant à archiver les informations de manière accessible. C’est parfois encore plus difficile pour les organisations internationales. Différentes lois en matière de données et exigences en matière de consentement ont une incidence sur la gestion de la découverte électronique transfrontalière. Comme certains problèmes de sécurité et de conformité, que nous avons déjà décrits dans cet article, Microsoft propose un module de découverte électronique pour O365, qui inspecte également Microsoft Teams. Cependant, la découverte électronique avancée n’est pas gratuite et nécessite la licence E5. 

En outre, même si vous investissez dans la licence, vous pouvez envisager d’archiver les données sur site et non dans le cloud. Cette décision devrait dépendre de la sensibilité des informations traitées par votre société. Si vous souhaitez stocker des archives eDiscovery sur site, vous devez investir dans une solution alternative à Microsoft.