La tendance à adopter Slack, Teams et Zoom au travail s'accompagne de nouveaux risques de sécurité pour les organisations. La pandémie a accéléré l'adoption des technologies numériques sur tous les fronts, notamment l'utilisation de plateformes de collaboration en ligne telles que Slack, Microsoft Teams et Zoom. Slack, par exemple, a commencé par des programmeurs d'un petit département qui partageaient leurs idées. C'est désormais la principale plateforme de messagerie d'entreprise dans de nombreuses sociétés.
1) Maîtrisez la prolifération de vos applications SaaS
Selon une étude de DoControl, une entreprise moyenne de 1 000 personnes utilisant des applications SaaS (Software-as-a-Service) expose ses données à entre 1 000 et 15 000 collaborateurs externes. En moyenne, entre 200 et 3 000 entreprises ont également accès aux données d'une même entreprise, tandis qu'environ 20 % des fichiers SaaS d'une entreprise type sont partagés en interne avec quiconque peut cliquer sur un lien. Les outils de collaboration comme Slack accélèrent ce problème, car le partage de liens directs depuis Google Docs et d'autres applications intégrées facilite l'accès aux fichiers.
Selon Brian Mannion, directeur juridique d'Aware, la situation s'aggrave lorsque le service informatique ne sait pas que les employés de l'entreprise utilisent un outil, ce qui rend le contrôle de l'environnement beaucoup plus difficile.
"Ce que les entreprises veulent faire, c'est donner aux employés les outils dont ils ont besoin, les rendre conviviaux, les rendre accessibles, tout en ayant les contrôles nécessaires pour qu'ils puissent gérer l'application et faire tout ce que la plupart des entreprises savent faire - comme s'assurer qu'ils ont été corrigés et qu'ils ont des contrôles d'accès", dit-il.
Les entreprises ont besoin d'un mécanisme leur permettant de gérer les documents et les fichiers en permanence, ajoute Adam Gavish, cofondateur et PDG de DoControl.
"Ainsi, par exemple, si quelqu'un a partagé un document dans Slack en externe, nous lui demanderons s'il a vraiment besoin du document", explique-t-il. "Si l'employé ne répond pas dans les deux ou trois jours, nous le supprimerons. S'il dit qu'il a toujours besoin du document, nous lui donnons 30 jours de plus, puis nous le supprimons."
2) Contrôlez les documents partagés lorsque les employés quittent l'entreprise
Que ce soit dans le cadre d’une démission ou pour d'autres raisons, lorsqu'une personne quitte une entreprise, elle conserve souvent l'accès aux documents partagés et aux outils de collaboration comme Slack - avec toutes les données qui ont été partagées.
Seth Art, consultant senior en sécurité chez Bishop Fox, indique que les entreprises devraient lier l'accès à Slack à l'identité de l'entreprise, généralement une adresse e-mail. "Si le compte est lié à l'adresse électronique de l'entreprise, l'employé perd tout accès à ses applications dès que l'adresse électronique est mise hors service", explique-t-il.
Les équipes de sécurité doivent bloquer l'accès au moment du départ de l'employé, ajoute Mannion d'Aware.
"Ainsi, si l'autorité est liée à un lien particulier, la pratique la plus conservatrice consiste à supprimer automatiquement tous les liens. Ou, en guise de solution de repli, faire en sorte que tous les liens externes vers votre système de dépôt de données soient valides pendant 30 jours. Une fois que la personne est partie, l'entreprise court un risque pendant 30 jours", explique-t-il. "Mais au moins, ce n'est que 30 jours par opposition à une éternité. Vous devez donc trouver un équilibre entre ces contrôles prêts à l'emploi qui viennent avec ces outils, puis les mettre en œuvre ou les faire mûrir pour votre environnement particulier et votre cas d'utilisation particulier."
Selon Nasser Fattah, président du comité directeur pour l'Amérique du Nord chez Shared Assessments, les employés qui quittent l'entreprise ont toujours présenté un défi en matière de sécurité en raison de l'accès continu par inadvertance. Le problème devient encore plus exacerbé avec les départs impromptus qui nécessitent un retrait très rapide de DeepL.
"En plus de la capacité à inventorier rapidement qui a accès à quoi, il est également important de s'assurer que la surveillance est en place afin que l'entreprise puisse signaler les employés qui quittent l'entreprise et qui tentent d'accéder aux ressources informatiques", explique M. Fattah.
3) Limiter l'exposition aux IPI
Les outils de collaboration créent deux types fondamentaux de risques d'exposition aux informations personnelles identifiables (IPI). Premièrement, les employés peuvent malmener les IPI en partageant des documents sur la plate-forme de collaboration. Deuxièmement, les initiés peuvent obtenir un accès non autorisé. Le problème auquel les équipes de sécurité sont confrontées est que les outils de collaboration n'ont pas été configurés comme des plates-formes d'entreprise où les administrateurs peuvent définir des politiques de contrôle.
Par exemple, M. Mannion, d'Aware, souligne qu'il n'existe pas de véritable mécanisme de contrôle pour empêcher les employés de saisir des informations relatives aux cartes de crédit sur un outil comme Slack. Compte tenu de cette possibilité, une équipe de sécurité devrait utiliser un outil de prévention des fuites de données configuré pour rechercher les instances de numéros de cartes de crédit. Ensuite, l'équipe doit fournir un mécanisme pour le gérer afin que les numéros de cartes de crédit puissent être immédiatement supprimés.
"D'un autre côté, vous pouvez réaliser que les employés doivent gérer ces cartes de crédit et que Slack est le meilleur moyen de le faire", explique Mannion. "Alors, comment mettre en quarantaine une section de l'environnement Slack pour pouvoir à nouveau répondre aux besoins des employés, car tout ce qu'ils essaient de faire, c'est d'accomplir leur travail ?".
Selon Bishop Fox's Art, l'équipe de sécurité devrait profiter des services qui peuvent aider les équipes de sécurité à établir des contrôles. Par exemple, GitHub offre une analyse continue à l'affût des données PII ou de santé et enverra des alertes pour que l'équipe de sécurité puisse enquêter sur tout problème.
4) Protéger les applications tierces en modifiant les clés d'API
Dans le passé, les pirates avaient besoin d'un accès VPN pour pénétrer dans un réseau, ou ils devaient hameçonner un employé pour y accéder. Aujourd'hui, tout ce dont ils ont besoin, c'est d'un accès aux clés d'API, explique M. Art de Bishop Fox.
Lorsqu'il effectue des tests de pénétration sur des environnements cloud, il dit constater que personne ne change les clés API. Elles se trouvent dans des fonctions Lambda dans le cloud, des instances de calcul ou dans Kubernetes. Et bien qu'un initié doive être quelque peu avisé pour savoir comment voler des clés d'API, cela reste un risque que les pirates pourraient exploiter.
Alors, comment sécuriser les clés d'API ? Premièrement, faites en sorte que les utilisateurs ne puissent obtenir un accès au réseau qu'à partir d'une adresse IP spécifique. Ensuite, faites tourner les clés d'API en permanence pour qu'elles ne soient valables que pendant un certain temps, selon ce qui convient à l'organisation.
5) Se concentrer sur la protection des données des clients
Le passage au travail à domicile et au travail hybride a créé davantage d'opportunités d'exposition des données. Dans le sillage de la pandémie, les documents sensibles de l'entreprise se retrouvent de plus en plus souvent distribués dans les appareils personnels ou distants des employés, sans être protégés ou dotés des politiques appropriées pour atténuer les risques de sécurité. Selon DoControl, environ 4 % de tous les actifs SaaS ne sont pas gérés.
Avant tout, les équipes de sécurité doivent protéger les données des clients, car c'est ce que les attaquants considèrent comme précieux, explique M. Mannion d'Aware. Elles doivent également déterminer précisément ce que les employés font avec les applications et dans quelle mesure ils créent des données avec les outils de collaboration.
"Vous savez, il faut parfois classer les risques en fonction de ce sur quoi vous allez vous concentrer", dit Mannion. "Ce qui est vraiment important, ce sont les données de vos clients - et comme nous le savons tous, c'est ce que les méchants poursuivent, c'est ce dont les régulateurs se soucient, et c'est ce dont vos clients se soucient, donc cela devrait être votre première préoccupation."
6) Intégrez des processus de conformité et d'audit à vos plateformes de collaboration
Les plateformes de collaboration peuvent constituer un risque de conformité si elles ne sont pas intégrées dans des processus d'audit et de conformité standard. Cela pourrait exposer l'entreprise à des amendes substantielles et à des risques de perte de données.
Kevin Dunne, président de Pathlock, souligne qu'à mesure que de plus en plus d'entreprises s'engagent dans la transformation numérique, elles stockent davantage d'informations dans des plateformes de collaboration en nuage. Toute entreprise américaine cotée en bourse, qui commercialise et stocke des informations sur les transactions financières, les clients et/ou les données des employés, est probablement soumise à SOX, GDPR/CCPA et/ou PCI-DSS d'une manière ou d'une autre.
Le stockage de documents, en particulier les feuilles de calcul et les PDF, présente souvent une menace non négligeable pour la sécurité et la conformité, selon Dunne. Il s'agit souvent de fichiers de données agrégées, comme les listes de clients dans les feuilles de calcul, ou de fichiers de données fragmentées, comme les demandes de prêt hypothécaire des clients dans les PDF. Dans les deux cas, il est difficile de sécuriser les informations sensibles et de garantir le respect des cadres de conformité.
Selon M. Dunne, il faut se concentrer sur quelques initiatives clés en matière de conformité :
- Découverte et classification des données : Déterminez quels documents contiennent des informations sensibles, comme les données relatives aux employés, aux clients ou aux finances.
- Gouvernance de l'accès aux données : Contrôlez qui peut accéder aux informations sensibles et appliquez le principe de l'accès le moins privilégié possible à ces comptes d'utilisateurs.
- Surveillance de l'accès aux données : Gardez un œil sur qui accède aux données sensibles, où et à partir de quel appareil, afin de déceler tout comportement inhabituel sur lequel il faut agir.
"Les organisations doivent également reconnaître que les outils de collaboration ne sont qu'un des domaines dans lesquels les données sensibles peuvent résider dans le cloud et être soumises à des mandats de conformité", déclare Dunne. "Les applications cloud telles que Salesforce, Workday et SAP S/4 HANA contiennent également, de manière caractéristique, une multitude de données concentrées et sensibles qui nécessitent la mise en place de protections similaires."
À bien des égards, cela se résume aux mêmes types de politiques de conservation qu'auparavant, dit Mannion d'Aware : Connaître et gérer les données, et s'en débarrasser lorsque l'entreprise n'en a plus besoin. Cela dit, conservez les données aussi longtemps que l'entreprise le doit, soit en raison d'une exigence réglementaire, soit en raison d'une rétention de données liée à un litige sur lequel l'entreprise travaille ou à une enquête réglementaire, quel que soit le cas.
7) Ajoutez l'utilisation des outils de collaboration à votre formation de sensibilisation à la sécurité
Dès lors que vous ajoutez Slack ou Teams à l'entreprise et que les employés reçoivent des messages provenant de l'extérieur de l'entreprise - ou même de leurs départements - il y a un nouvel élément de risque.
Selon M. Mannion d'Aware, tout le monde sait qu'il peut recevoir un e-mail de n'importe qui, mais il n'en va pas de même pour les messages provenant de Slack et de Teams. Jusqu'à présent, les utilisateurs ont donc été formés à ne pas cliquer sur les liens ou les pièces jointes des e-mails qui semblent suspects. Cependant, les gens ne réfléchissent pas aussi attentivement lorsqu'ils reçoivent un message de Slack ou de Teams, car ils ont tendance à penser qu'il provient d'un collègue ou d'une personne du service ou de l'entreprise.
"Nous avons vraiment une formation que nous allons devoir recommencer parce qu'avec le courrier électronique, nous avons tous été échaudés et formés, mais est-ce que quelqu'un pense de la même manière lorsqu'il reçoit un message Slack avec un lien lié ?". demande M. Mannion. "Et c'est ce qui va changer à mesure que nous nous dirigeons vers des environnements plus ouverts, ce qui est une bonne chose car personne ne veut vivre dans deux mondes différents. Je veux juste faire tout mon travail au même endroit parce que cela revient à cette prémisse de base que les gens veulent juste faire leur travail et ils veulent le faire rapidement et le faire bien."
En définitive, utiliser les outils de collaboration présente de nombreux risques dont certains sont inhérents. Les spécialistes de la cybersécurité doivent mettre en place des stratégies de réduction des risques en collaboration avec les utilisateurs pour garantir les principes de sécurité informationnelle.
Source: DARKReading
Lancelot TETANG
Consultant
