Rôle d’Azure Information Protection dans la sécurisation des données

  • Article

Azure Information Protection (AIP) fournit aux clients la possibilité de classer et d’étiqueter leurs données, et de les protéger à l’aide du chiffrement. Avec Azure Information Protection, les administrateurs informatiques peuvent :

  • Classer automatiquement les e-mails et les documents en fonction de règles prédéfinies
  • Ajouter des marqueurs au contenu, comme des en-têtes, des pieds de page et des filigranes personnalisés
  • Protéger les fichiers confidentiels de l’entreprise avec Rights Management, qui permet ce qui suit :
    • Utiliser les clés RSA 2048 bits pour le chiffrement de clé publique et la norme SHA-256 pour les opérations de signature.
    • Chiffrer les fichiers pour un ensemble spécifique de destinataires à l’intérieur et à l’extérieur de l’organisation
    • Appliquer un ensemble spécifique de droits pour limiter l’utilisation du fichier
    • Déchiffrer le contenu en fonction de l’identité de l’utilisateur et de l’autorisation définie dans la stratégie des droits

Ces fonctionnalités permettent aux entreprises d’avoir un meilleur contrôle de bout en bout sur leurs données. Dans ce contexte, Azure Information Protection joue un rôle important dans la sécurisation des données de l’entreprise.

Important

Pour plus d’informations sur le fonctionnement d’Azure Information Protection, consultez Fonctionnement d’Azure RMS ? Sous le capot.

État de la protection des entreprises aujourd’hui

De nombreuses entreprises n’utilisent aucune technologie de protection et partagent des documents et des e-mails en texte clair. Par ailleurs, les responsables des données n’ont aucune visibilité sur les utilisateurs qui ont accès au contenu privilégié. Les technologies de protection comme SMIME sont complexes et les listes de contrôle d’accès n’accompagnent pas nécessairement les documents et les e-mails.

Aucune protection de document.

Dans cet environnement pas du tout protégé, Azure Information Protection apporte une mesure de sécurité qui n’existait pas avant. De plus, tandis que la sécurité évolue en permanence et qu’aucune organisation n’est en mesure de revendiquer une protection à 100 % de tous les instants, Azure Information Protection, quand il est correctement déployé, augmente l’empreinte de sécurité d’une organisation.

Principes de sécurité pour le partage de contenu

Quand vous utilisez Azure Information Protection au sein de l’organisation, les administrateurs informatiques ont un contrôle total sur l’appareil client et sur la gestion des identités utilisateur. C’est la base de confiance nécessaire au partage de documents dans l’organisation. L’envoi d’informations à l’extérieur de l’organisation est intrinsèquement moins fiable. Pour choisir la meilleure approche en matière de protection des informations, il est nécessaire d’effectuer une évaluation des risques. Lors de l’exécution de cette évaluation des risques, prenez en compte les points suivants :

  • Le destinataire accède physiquement à un appareil non géré et contrôle donc tout ce qui se passe sur l’appareil.
  • Le destinataire est authentifié à un degré de confiance qui ne permet pas l’usurpation de son identité.

Si l’administrateur informatique ne contrôle pas l’appareil ou l’identité, il ne peut pas contrôler les actions effectuées sur les informations protégées. Dès qu’un utilisateur s’authentifie et ouvre des informations protégées, ces informations sortent de votre contrôle. À ce stade, vous faites confiance au destinataire pour qu’il respecte les stratégies appliquées au contenu.

Vous ne pouvez pas bloquer complètement un destinataire externe malveillant avec un accès autorisé au contenu protégé. Azure Information Protection permet d’établir des limites éthiques et, avec l’utilisation d’applications compatibles, permet d’assurer l’honnêteté des utilisateurs qui accèdent au document. Azure Information Protection intervient quand il existe une confiance implicite au sein des limites définies de l’accès, lui-même basé sur l’identité.

Toutefois, il est plus simple de détecter et de limiter les accès futurs. La fonctionnalité de suivi de document du service Azure Information Protection permet d’effectuer un suivi des accès, et l’organisation peut alors révoquer l’accès à un document spécifique ou l’accès de l’utilisateur.

Si le contenu est très sensible et que l’organisation ne peut pas faire confiance au destinataire, il est primordial de renforcer la sécurité du contenu. Nous vous recommandons de privilégier la sécurité et de placer des contrôles d’accès sur le document.

Sécurité basée sur l’identité

Les sections qui suivent explorent trois scénarios majeurs d’attaques sur du contenu protégé, et comment une combinaison de contrôles d’environnement et d’Azure Information Protection peut être utilisée pour atténuer l’accès malveillant au contenu.

Attaques par des utilisateurs non autorisés

La protection dans Azure Information Protection s’appuie sur un accès au contenu protégé basé sur une identité authentifiée et une autorisation. Cela signifie que si vous utilisez Azure Information Protection, s’il n’y a pas d’authentification ni d’autorisation, il n’y a pas d’accès. C’est la raison principale pour déployer Azure Information Protection : celui-ci permet aux entreprises de passer d’un état d’accès illimité à un état où l’accès aux informations est basé sur l’authentification et l’autorisation des utilisateurs.

Grâce à cette fonctionnalité Azure Information Protection, les entreprises peuvent compartimenter les informations. Par exemple : Isolation des informations sensibles du département des ressources humaines (RH) au sein du service, et limitation des données du service financier au service financier. Azure Information Protection fournit un accès basé sur l’identité, plutôt que rien du tout.

Le diagramme ci-dessous présente un exemple d’utilisateur (Bob) qui envoie un document à Tom. Dans cet exemple, Bob appartient au service financier et Tom au service commercial. Tom ne peut pas accéder au document si aucun droit n’a été accordé.

Aucun accès.

Conclusion de ce scénario : Azure Information Protection peut bloquer les attaques des utilisateurs non autorisés. Pour plus d’informations sur les contrôles de chiffrement dans Azure Information Protection, consultez Contrôles de chiffrement utilisés par Azure RMS : Algorithmes et longueurs de clé.

Accès par des programmes malveillants pour le compte d’utilisateurs

L’accès par des programmes malveillants pour le compte d’un utilisateur s’effectue généralement à l’insu de l’utilisateur. Les chevaux de Troie, les virus et autres programmes malveillants sont des exemples classiques de programmes malveillants qui peuvent agir au nom de l’utilisateur. Si ce type de programme peut emprunter l’identité de l’utilisateur ou tirer parti de ses privilèges pour effectuer une action, il peut aussi utiliser le kit SDK Azure Information Protection pour déchiffrer le contenu au nom d’un utilisateur à son insu. Comme cette action s’effectue dans le contexte de l’utilisateur, il n’existe pas de moyen simple d’empêcher cette attaque.

Programmes malveillants.

Le but ici est de renforcer la sécurité de l’identité de l’utilisateur, pour limiter la possibilité des applications malveillantes de détourner l’identité de l’utilisateur. Azure Active Directory offre plusieurs solutions qui peuvent aider à sécuriser l’identité de l’utilisateur, par exemple, l’authentification à deux facteurs. Par ailleurs, Azure Active Directory Identity Protection offre d’autres fonctionnalités pour protéger l’identité de l’utilisateur.

La sécurisation des identités n’est pas une fonctionnalité d’Azure Information Protection et reste la responsabilité de l’administrateur.

Important

Vous devez également opter pour un environnement « géré » afin de supprimer la présence de programmes malveillants. Ce point sera abordé dans le scénario suivant.

Utilisateurs malveillants avec autorisation

L’accès par un utilisateur malveillant compromet fondamentalement la relation de confiance. L’activateur dans ce scénario doit être un programme conçu pour réaffecter les privilèges de l’utilisateur, car, contrairement au scénario précédent, cet utilisateur fournit volontairement des informations d’identification pour rompre la relation de confiance.

Utilisateurs malveillants.

Azure Information Protection a été conçu pour que les applications situées sur l’appareil client soient chargées d’appliquer les droits associés au document. À tout point de vue, le maillon le plus faible de la sécurité d’un document protégé aujourd’hui se situe sur l’appareil client, où le contenu est visible en texte brut pour l’utilisateur final. Les applications clientes comme Microsoft Office respectent correctement les droits et, par conséquent, un utilisateur malveillant ne peut pas utiliser ces applications pour réaffecter les privilèges. Toutefois, avec le kit SDK Azure Information Protection, un attaquant motivé peut créer des applications qui ne tiennent pas compte des droits, c’est ce qui caractérise un programme malveillant.

L’objectif de ce scénario consiste à sécuriser l’appareil client et les applications, pour que les applications non autorisées ne puissent pas être utilisées. Voici certaines mesures que peut prendre l’administrateur informatique :

L’une des conclusions de ce scénario est que la sécurisation des applications et des ordinateurs clients est une partie importante de la confiance sous-jacente à Azure Information Protection.

Dans la mesure où Azure Information Protection n’est pas conçu pour protéger contre toute utilisation malveillante des utilisateurs autorisés à accéder au contenu, vous ne pouvez pas vous attendre à ce qu’il protège le contenu contre toute modification malveillante de ces mêmes utilisateurs. Même si tout type de modification de contenu implique en pratique que l’utilisateur se voit accorder l’accès aux données protégées au préalable et que les stratégies et les droits associés à un document sont eux-mêmes correctement signés et inviolables, une fois que l’utilisateur s’est vu accorder l’accès aux clés de chiffrement/déchiffrement requises, il peut être considéré comme techniquement capable de déchiffrer les données, de les modifier et de les rechiffrer. De nombreuses solutions peuvent être implémentées pour fournir une signature, une attestation d’appartenance, une preuve de non-falsification et une non-répudiation aux documents Office, à la fois dans les produits Microsoft (par exemple, prise en charge de la signature de documents Office, prise en charge de s/MIME dans Outlook) et dans les produits tiers. Vous ne devez pas compter sur les fonctionnalités de protection d’AIP seules pour vous protéger contre toute modification malveillante des utilisateurs autorisés.

Résumé

Une sécurité totale ne dépend pas d’une seule technologie. À travers divers moyens interdépendants, un administrateur informatique peut réduire l’angle d’attaque sur le contenu protégé dans le monde réel.

  • Azure Information Protection : Empêche l’accès non autorisé au contenu
  • Microsoft Intune, microsoft Endpoint Configuration Manager et d’autres produits de gestion des appareils : permet un environnement managé et contrôlé exempt d’applications malveillantes
  • Windows AppLocker : Permet un environnement géré et contrôlé, sans applications malveillantes
  • Azure AD Identity Protection : Renforce la confiance relative à l’identité de l’utilisateur
  • Accès conditionnel EMS : Renforce la confiance relative à l’appareil et l’identité