Comment sécuriser votre environnement Google Workspace pour les clients PME

Sécuriser Google Workspace, c’est protéger les identités, les données et la collaboration à grande échelle. Pour y parvenir, vous devez activer la MFA (authentification forte), configurer correctement les autorisations des Drive partagés et utiliser le centre d’alertes pour assurer une surveillance continue. Ces étapes constituent la référence de configuration pour sécuriser votre environnement Google Workspace contre les accès non autorisés et les violations de données.

Vous préférez un tutoriel vidéo ? Regardez « Comment sécuriser votre environnement Google Workspace pour les clients PME » pour en savoir plus.

Google Workspace pour les PME : de quoi s’agit-il ?

Google Workspace propose des outils de productivité dans le cloud, dont Gmail, Drive, Docs et Meet, destinés aux petites et moyennes entreprises. La plateforme réunit l’hébergement d’e-mails, le stockage de fichiers et des fonctionnalités de collaboration dans un environnement unifié, accessible depuis n’importe quel appareil. Le modèle par abonnement évolue avec la croissance de l’entreprise tout en maintenant des politiques de sécurité homogènes sur l’ensemble des comptes utilisateurs et des unités organisationnelles.

Les bases pour sécuriser votre environnement Google Workspace

Une authentification robuste est le socle de la sécurité de Google Workspace, car elle empêche tout accès non autorisé aux comptes professionnels. Vous pouvez également reprendre la main sur les ressources trop largement partagées et protéger les données sensibles de l’entreprise contre une exposition accidentelle ou un accès malveillant. La surveillance des menaces via les outils intégrés de Google permet de détecter très tôt les incidents de sécurité potentiels, avant qu’ils n’affectent l’activité. Ces différentes couches de sécurité se combinent pour former une stratégie de défense qui couvre les vecteurs d’attaque les plus courants visant les environnements professionnels dans le cloud.

Imposer la validation en deux étapes

Vous pouvez rendre la validation en deux étapes obligatoire dans toute votre entreprise depuis la console d’administration Google. Voici les étapes d’implémentation à suivre pour activer cette protection à l’échelle de l’entreprise :

1. Ouvrez la console d’administration Google et accédez à Sécurité > Validation en deux étapes.
2. Sélectionnez « Application » et choisissez « Activée pour tous les utilisateurs » dans le menu déroulant.
3. Fixez une date d’application qui laisse aux utilisateurs suffisamment de temps pour configurer leurs méthodes d’authentification.
4. Configurez des méthodes de validation de secours, notamment des codes de secours et des numéros de téléphone alternatifs.
5. Testez la configuration auprès d’un groupe pilote avant de la déployer à toute l’entreprise.
6. Communiquez les changements aux utilisateurs avec des instructions claires pour configurer leurs appareils.
7. Suivez les taux d’adoption via le tableau de bord de reporting de la console d’administration afin d’identifier les utilisateurs qui ont besoin d’aide.

Authentifier les domaines d’e-mail (SPF, DKIM, DMARC)

Le phishing et l’usurpation de domaine restent les principaux vecteurs de compromission de comptes. L’authentification des e-mails garantit que les attaquants ne peuvent pas se faire passer pour le domaine de votre client afin de piéger ses employés ou ses propres clients.

• Configurez les enregistrements SPF (Sender Policy Framework) dans le DNS pour lister les serveurs d’envoi autorisés.
• Activez DKIM (DomainKeys Identified Mail) dans Console d’administration > Applications > Google Workspace > Gmail > Authentifier les e-mails afin de signer numériquement les messages sortants.
• Mettez en place une politique DMARC (enregistrement TXT dans le DNS) en commençant par p=none pour observer le trafic, puis passez progressivement à p=quarantine ou p=reject pour bloquer les e-mails non autorisés.

Gérer les Drive partagés en tant qu’administrateur

Pour la gestion des Drive partagés, la maîtrise des autorisations est déterminante : elle évite les fuites de données tout en préservant une collaboration efficace. Créez des Drive dédiés à des usages métier précis et attribuez aux membres de l’équipe des niveaux d’accès appropriés. Des audits réguliers des autorisations des Drive partagés vous aideront à repérer et à supprimer les accès superflus qui s’accumulent avec le temps. Les autorisations au niveau du Drive prévalent sur celles des fichiers individuels : il est donc essentiel d’établir dès le départ des conventions de nommage et des hiérarchies d’accès claires.

Utiliser le centre d’alertes face aux menaces

Le centre d’alertes Google Workspace envoie des notifications en temps réel sur les incidents de sécurité et les activités suspectes. Vous recevez ainsi des alertes en cas de détection de malware, de tentatives de connexion suspectes ou de violations des règles de protection contre la perte de données (DLP). Un routage des alertes bien configuré permet à votre équipe de sécurité de réagir rapidement aux menaces potentielles avant qu’elles ne dégénèrent en incidents majeurs. Des règles d’alerte personnalisées peuvent être définies pour correspondre aux profils de risque et aux exigences de conformité propres à votre entreprise.

Les pratiques essentielles de sécurité Google Workspace

Renforcer la sécurité de Google Workspace

Des mesures de sécurité avancées viennent compléter ces protections de base et créent plusieurs couches de défense face aux attaques sophistiquées. Les contrôles d’accès, par exemple, limitent les autorisations des utilisateurs à ce dont ils ont strictement besoin pour leur travail. La surveillance de l’activité et la revue des autorisations d’applications permettent de repérer d’éventuelles failles de sécurité avant qu’elles ne posent problème.

Toutes ces fonctionnalités de sécurité offrent un contrôle précis sur l’accès aux données et le comportement des utilisateurs dans l’ensemble de votre environnement Google Workspace.

Mettre en place des contrôles d’accès

Les unités organisationnelles vous permettent d’appliquer des politiques de sécurité différentes selon les rôles et les services. Les politiques d’accès contextuel peuvent restreindre l’accès aux données sensibles en fonction de la conformité de l’appareil et de la localisation.

Remarque sur les licences : les contrôles d’accès contextuel (CAA) nécessitent les éditions Google Workspace Enterprise ou les licences complémentaires Cloud Identity Premium. Pour les PME abonnées aux forfaits Business Starter ou Business Standard, appliquez plutôt les contrôles d’appareils via la gestion des terminaux de Google.

Suivez ces étapes pour mettre en place des contrôles d’accès granulaires :

1. Créez des unités organisationnelles dans la console d’administration, sous Annuaire > Unités organisationnelles.
2. Répartissez les utilisateurs dans les unités organisationnelles adaptées à leurs fonctions et à leurs exigences de sécurité.
3. Configurez les politiques d’accès contextuel sous Sécurité > Contrôle des accès et des données > Accès contextuel.
4. Définissez les exigences de gestion des appareils, notamment le verrouillage de l’écran et le chiffrement des appareils mobiles.
5. Mettez en place des restrictions basées sur la localisation pour les utilisateurs qui accèdent à distance à des données sensibles.
6. Testez les politiques d’accès avec différents scénarios utilisateurs pour vérifier qu’elles fonctionnent comme prévu.
7. Documentez les exceptions aux politiques et les processus de validation pour les utilisateurs qui ont besoin d’autorisations d’accès élevées.

Surveiller l’activité des utilisateurs

Les rapports d’activité des utilisateurs révèlent des schémas pouvant trahir des comptes compromis ou des menaces internes. La console d’administration fournit des journaux détaillés du partage de fichiers, de l’activité e-mail et des connexions dans toute l’entreprise. Une relecture régulière de ces rapports aide à repérer les comportements inhabituels avant qu’ils ne mènent à une violation de données. Des outils de reporting automatisés peuvent générer des synthèses hebdomadaires des activités à haut risque et signaler les comptes dont l’usage sort de l’ordinaire.

Passer en revue les autorisations des applications

Les applications tierces connectées à Google Workspace peuvent accéder à un volume considérable de données professionnelles. Vous devez auditer régulièrement quelles applications accèdent aux données de l’entreprise et quelles autorisations elles détiennent. Supprimer les applications inutilisées ou suspectes réduit la surface d’exposition aux attaques et protège contre l’exfiltration de données via des services tiers compromis. Cette revue des autorisations doit porter à la fois sur les installations à l’échelle de l’entreprise et sur les connexions individuelles des utilisateurs à des services externes.

Limiter l’accès des applications OAuth

Empêchez le « consent phishing », un vecteur d’attaque par lequel des utilisateurs accordent sans le savoir à des applications tierces malveillantes ou non autorisées un large accès à leurs fichiers Google Drive, au contenu de leur Gmail ou à leurs contacts.

1. Accédez aux contrôles des API : dans la console d’administration Google, allez dans Sécurité > Contrôle des accès et des données > Contrôles des API.
2. Ouvrez les paramètres des applications : cliquez sur Gérer l’accès des applications tierces.
3. Restreignez les applications non configurées : sous Paramètres des applications non configurées, faites passer le niveau d’accès par défaut à Restreint. Ainsi, aucune nouvelle application tierce non approuvée ne peut accéder aux API Google Workspace restreintes sans validation d’un administrateur.
4. Traitez les demandes en attente : consultez régulièrement Applications en attente d’examen pour approuver ou refuser les demandes d’accès des utilisateurs à des outils tiers.
5. Auditez les accès inactifs : passez régulièrement en revue la liste Applications utilisées et révoquez les jetons OAuth des applications inactives depuis plus de 90 jours.

S’intégrer aux outils de sécurité Microsoft

De nombreuses entreprises fonctionnent dans des environnements mixtes, associant Google Workspace et des technologies Microsoft. Le chiffrement BitLocker protège le stockage local des appareils, même lorsque les utilisateurs accèdent aux services cloud de Google. Les commandes PowerShell vous aident à vérifier rapidement l’état du chiffrement des appareils Windows dans toute l’entreprise. Cette approche hybride vous permet de conserver votre infrastructure Windows existante tout en exploitant les outils de productivité cloud de Google en toute sécurité.

Utiliser BitLocker pour chiffrer les appareils

Le chiffrement BitLocker protège les données stockées localement sur les appareils Windows qui accèdent à votre environnement Google Workspace. Le chiffrement intégral du disque empêche tout accès non autorisé aux fichiers mis en cache et aux données hors connexion. Une bonne pratique consiste à activer BitLocker sur tous les appareils Windows qui se connectent aux services Google Workspace. Le chiffrement fonctionne de façon transparente avec les services cloud de Google tout en offrant une protection supplémentaire aux informations professionnelles stockées localement et aux jetons d’authentification mis en cache.

Get-BitLockerVolume avec PowerShell

Vous pouvez utiliser des commandes PowerShell pour vérifier automatiquement l’état de BitLocker sur plusieurs appareils de l’entreprise. La cmdlet Get-BitLockerVolume renvoie l’état du chiffrement et les méthodes de protection de chaque disque.

Voici les étapes à suivre pour vérifier votre déploiement de BitLocker :

1. Ouvrez PowerShell en tant qu’administrateur sur l’appareil Windows ciblé.
2. Exécutez Get-BitLockerVolume pour afficher l’état du chiffrement de tous les disques.
3. Vérifiez que « VolumeStatus » indique « FullyEncrypted » pour le disque système.
4. Vérifiez que « KeyProtector » inclut TPM ou TPM+PIN pour le déverrouillage automatique.
5. Documentez tous les disques affichant l’état « FullyDecrypted » en vue d’une remédiation.
6. Créez des scripts pour exécuter ces vérifications à distance sur plusieurs appareils.
7. Générez des rapports de conformité qui suivent l’état du chiffrement sur l’ensemble du parc d’appareils.

Harmoniser les politiques Windows Server

Les paramètres de stratégie de groupe sur Windows Server peuvent imposer des exigences de sécurité aux appareils qui accèdent à Google Workspace. En appliquant des règles de complexité des mots de passe et des politiques de verrouillage d’écran, vous étendez les contrôles d’authentification de Google aux terminaux et créez ainsi une couche de protection homogène. Lorsque ces politiques sont coordonnées, vous maintenez des standards de sécurité uniformes sur les ressources cloud comme sur celles hébergées sur site. En intégrant Active Directory à Google Workspace, vous bénéficiez en plus d’une gestion centralisée des utilisateurs et d’une application unifiée des politiques dans tout votre environnement hybride.

Assurer la sécurité de Google Workspace sur le long terme

La sécurité exige une attention continue, et non une configuration unique, pour rester efficace face à des menaces qui évoluent. Maintenir vos politiques à jour vous permet d’adapter votre posture de sécurité aux besoins changeants de l’entreprise et à l’évolution du paysage des menaces. Cet entretien continu contribue aussi à sécuriser votre environnement Google Workspace à mesure que les exigences métier et les menaces évoluent.

Les mises à jour des politiques doivent refléter les changements dans les processus métier, les exigences de conformité et les nouvelles menaces susceptibles d’affecter l’entreprise. Des processus de gestion du changement permettent de suivre les modifications de politiques et leur impact sur la productivité des utilisateurs et l’efficacité de la sécurité.

Une protection complète des données dans le cloud

Protégez vos données Google Workspace avec la sauvegarde unifiée et la plateforme de sécurité de NinjaOne : Gmail, Drive, Docs, Sheets et bien plus, avec des restaurations rapides et chiffrées. Réduisez les risques grâce à des politiques automatisées, des sauvegardes résistantes aux ransomwares et une surveillance centralisée conçue pour les charges de travail cloud. Essayez-la gratuitement dès maintenant.