La cybersécurité n’est pas seulement une autre case à cocher sur votre programme commercial. C’est un pilier fondamental de survie. À mesure que les organisations migrent de plus en plus leurs opérations vers le cloud, comprendre comment protéger vos actifs numériques devient cruciale. Le Modèle de responsabilité partagéeillustré par l’approche de Microsoft 365, propose un cadre pour comprendre et mettre en œuvre des mesures de cybersécurité efficaces.
L’essence de la responsabilité partagée
Pensez à la sécurité du cloud comme un bâtiment bien entretenu: le gestionnaire immobilier gère l’intégrité structurelle et les zones communes, tandis que les locataires garantissent leurs unités individuelles. De même, le modèle de responsabilité partagée crée une division claire des tâches de sécurité entre les fournisseurs de cloud et leurs utilisateurs. Cette approche de partenariat assure une protection complète à travers des rôles et des responsabilités clairement définis.
Ce que votre fournisseur de cloud gère
Microsoft maintient la responsabilité complète de la sécurisation des éléments fondamentaux de votre environnement cloud. Leur équipe de sécurité gère la sécurité des infrastructures physiques, y compris les centres de données de pointe et l’architecture de réseau robuste. Ils implémentent les fonctionnalités de sécurité au niveau de la plate-forme et déploient régulièrement des mises à jour de sécurité pour protéger contre les menaces émergentes. Vos données reçoivent une protection par le biais de protocoles de chiffrement sophistiqués, à la fois pendant la transmission et dans le stockage. Microsoft garantit également le respect des normes et réglementations mondiales de sécurité, effectue des audits de sécurité réguliers et utilise des capacités de détection de menaces avancées avec des protocoles de réponse rapide.
Responsabilités de sécurité de votre entreprise
En tant qu’utilisateur Microsoft 365, votre organisation doit s’approprier plusieurs aspects de sécurité critiques. Cela comprend la mise en œuvre de contrôles d’accès utilisateur robustes et le choix des méthodes d’authentification appropriées pour vos besoins de sécurité. Votre équipe doit configurer soigneusement la sécurité
Paramètres pour s’aligner sur les exigences de tolérance au risque et de conformité de votre organisation. La protection des informations d’identification du compte et le maintien de politiques de mot de passe solides se situe carrément dans votre domaine. De plus, vous devez surveiller et contrôler activement les pratiques de partage de données, assurer une formation complète sur la sécurité des employés et déterminer quand des outils de sécurité supplémentaires sont nécessaires pour répondre aux exigences commerciales spécifiques.
Découvrez comment Crashplan améliore Microsoft 365 Sauvegarde et récupération ici.
Mise en œuvre des mesures de sécurité
Commencez votre parcours de sécurité avec une évaluation complète de votre posture de sécurité actuelle en utilisant Microsoft Secure Score. Cette évaluation révèlera les lacunes de sécurité existantes qui nécessitent une attention immédiate. Sur la base de ces résultats, élaborez un plan d’assainissement détaillé avec des priorités et des délais clairs. Établir une équipe de gouvernance de sécurité dédiée pour superviser le processus de mise en œuvre et créer des canaux de communication efficaces pour les mises à jour et les préoccupations liées à la sécurité.
Implémentation de la gestion de l’authentification et de l’accès
La mise en œuvre de mesures d’authentification robustes commence par l’activation de défauts de sécurité dans l’id ENTRA (anciennement Azure AD). Créez un programme pilote à partir de votre personnel informatique pour tester et affiner le processus de déploiement. Lors de la configuration des méthodes d’authentification multi-facteurs (MFA), hiérarchisez l’utilisation d’applications authentificatrices, Google Authenticator ou Duo, sur SMS pour une sécurité améliorée. Élaborez des matériaux de formation finale et des plans de communication complets pour assurer une adoption en douceur.
Votre déploiement de la MFA doit suivre une approche progressive, en commençant par elle et en personnel administratif pour créer une expertise interne. Ensuite, étendez la mise en œuvre aux directeurs de département qui peuvent défendre le changement au sein de leurs équipes. Suivez ceci avec un déploiement contrôlé aux membres du personnel général et incluez enfin les entrepreneurs externes dans vos exigences en MFA.
Pour le contrôle d’accès basé sur les rôles (RBAC), commencez par documenter en détail les rôles et responsabilités existants de votre organisation. Créez des groupes de rôles qui s’alignent avec des fonctions professionnelles spécifiques, en commençant par des administrateurs mondiaux, qui devraient être limités à deux ou trois personnes de confiance. Définissez des responsabilités claires pour les administrateurs de sécurité, les administrateurs de conformité et les administrateurs au niveau du département. Mettez en œuvre le principe de l’accès des moindres privilèges pour chaque rôle, garantissant que les utilisateurs n’ont que les autorisations nécessaires à leurs fonctions de travail.
Configuration de la protection des données
Commencez votre parcours de protection des données en effectuant une évaluation approfondie des actifs d’information de votre organisation. Identifier et catégoriser les types de données sensibles dans vos systèmes, en accordant une attention particulière aux informations personnelles identifiables (PII), aux dossiers financiers,
propriété et informations confidentielles du client. Ces classifications constituent le fondement de votre stratégie de protection des données.
Créez un système hiérarchique d’étiquettes de sensibilité qui reflète les exigences de traitement des données de votre organisation. Commencez par des classifications de base telles que le public pour les informations généralement disponibles et progressez par interne pour les données à l’échelle de l’entreprise, confidentiel pour les informations commerciales sensibles et hautement confidentiel pour les actifs de données les plus critiques. Implémentez les stratégies de marquage automatique pour classer automatiquement les types de données courants, en réduisant la charge des utilisateurs finaux tout en assurant une protection cohérente.
Ton Prévention des pertes de données L’implémentation (DLP) devrait commencer par l’activation des politiques intégrées de Microsoft 365 qui s’alignent sur les exigences réglementaires courantes. Développer des politiques DLP personnalisées qui répondent aux besoins spécifiques de votre organisation, configurés pour surveiller les emplacements commerciaux critiques, y compris les communications par e-mail, les conversations d’équipes et les bibliothèques de documents SharePoint. Créez des modèles de notification clairs qui expliquent les violations des politiques aux utilisateurs et fournissent des conseils sur la gestion appropriée des données.
En plus de ces mesures, un Stratégie de sauvegarde 3-2-1 est crucial pour assurer la récupération des données de votre organisation en cas d’incident ou de catastrophe. Cela implique de maintenir trois copies de vos données (primaire, secondaire et tertiaire), sur deux types de supports différents (tels que les disques durs et les disques de bande), l’un étant hors site. La mise en œuvre d’une stratégie de sauvegarde 3-2-1 garantit que vous pouvez récupérer vos données en cas de catastrophe, en réduisant les temps d’arrêt et en minimisant les pertes potentielles.
Configuration de la protection des menaces
Configurez la fonctionnalité de liens sûrs de Microsoft Defender pour offrir une protection complète contre les URL malveillantes. Activez la numérisation d’URL en temps réel sur toutes les applications Office et supprimez l’option pour que les utilisateurs cliquent sur des avertissements, assurant une protection cohérente. Configurez des liens sûrs pour scanner les URL au moment du clic, offrant une protection même contre les menaces à action retardée.
Implémentez des pièces jointes sûres avec une livraison dynamique pour maintenir la productivité tout en garantissant la sécurité des documents. Configurez le système pour bloquer les logiciels malveillants détectés et prolonger la protection dans les environnements SharePoint, OneDrive et Teams. Améliorez vos défenses anti-phishing en créant une protection ciblée pour les utilisateurs à haut risque tels que les cadres et les membres de l’équipe financier.
Établir un cadre complet de surveillance de la sécurité commençant par des notifications d’alerte soigneusement calibrées. Définissez des seuils de gravité clairs qui s’alignent avec vos capacités de réponse aux incidents et garantissent que les notifications atteignent les membres de l’équipe appropriés. Créez une procédure d’escalade qui tient compte des exigences de gravité d’alerte et de temps de réponse.
Gestion continue de la sécurité
Mettez en œuvre une approche structurée de la maintenance de la sécurité grâce à une rotation hebdomadaire des tâches clés. La première semaine de chaque mois devrait se concentrer sur des revues d’accès complètes, garantissant les autorisations appropriées dans tous les systèmes. La semaine deux se concentre sur l’évaluation de l’efficacité des politiques et la réalisation des ajustements nécessaires. La troisième semaine implique une vérification détaillée de la conformité contre les normes et réglementations pertinentes. Complétez le cycle mensuel avec un examen approfondi des mesures de sécurité et des indicateurs de performance.
Établir un programme complet de formation en sécurité qui répond aux différents besoins d’audience tout au long du mois. Commencez par de nouvelles séances d’orientation de sécurité des employés qui couvrent les pratiques de sécurité fondamentales et les politiques de l’entreprise. Suivez ceci avec une formation spécifique au département qui répond aux défis et exigences de sécurité uniques pour différentes unités commerciales. Effectuer des exercices de simulation de phishing réguliers pour tester et améliorer la sensibilisation des utilisateurs.
En avant
Les organisations doivent maintenir une forte sécurité qui nécessite une vigilance et une adaptation constantes. Les organisations doivent rester informées des menaces émergentes et des technologies de sécurité tout en évaluant et à la mise à jour de leurs contrôles de sécurité. Le succès en cybersécurité n’est pas mesuré par l’absence d’incidents mais par l’efficacité de vos capacités de détection et de réponse.
N’oubliez pas que la mise en œuvre des mesures de sécurité est un voyage continu plutôt qu’une destination. L’évaluation régulière, l’amélioration continue et l’engagement actif de toutes les parties prenantes sont essentiels pour maintenir une posture de sécurité efficace dans le paysage des menaces dynamiques d’aujourd’hui.