10 bonnes pratiques de sécurité dans Microsoft SharePoint SharePoint constitue certes un outil collaboratif précieux. Mais gare aux risques pour votre entreprise.
10 bonnes pratiques de sécurité dans Microsoft SharePoint SharePoint constitue certes un outil collaboratif précieux. Mais gare aux risques pour votre entreprise. M Microsoft SharePoint a su s imposer comme l une des applications de collaboration et de gestion de contenus les plus utilisées dans le monde. Principales raisons de ce succès : la richesse de son interface, la fiabilité de ses fonctionnalités et sa simplicité d utilisation. Or, si ce dernier point constitue l une des grandes forces de SharePoint, il représente également sa principale faiblesse. Explication : SharePoint permet d harmoniser les travaux d équipes internes et externes sur des projets stratégiques, ou encore de coordonner des missions à l échelle des entreprises. D où la nécessité d une très grande vigilance sur les questions de sécurité. Pas besoin d être ingénieur informaticien pour déployer SharePoint : un administrateur débutant peut le faire en seulement quelques heures. Mais une bonne installation nécessite un certain savoir-faire. Hélas, les contraintes de temps poussent souvent les entreprises à faire l impasse sur certains principes de sécurité fondamentaux (droits d accès utilisateurs, cryptage des données en transit ou autres mesures de sécurisation des informations confidentielles). Pour sécuriser SharePoint, il n existe pas de recette miracle car chaque déploiement est unique. Toutefois, la sécurité de l outil et de ses utilisateurs passe par le respect de ces 10 bonnes pratiques. N o 1 : Soyez vigilants sur l octroi et la gestion des droits d accès La vulnérabilité la plus répandue de SharePoint vient directement de lacunes dans l octroi et la gestion des droits d accès. Dans le cas de déploiements transentreprise ou à l échelle d un campus, l outil est amené à gérer des milliers de documents et des centaines d utilisateurs. Or, si ces derniers disposent de droits trop étendus, ils pourront consulter des informations auxquelles ils ne devraient pas avoir accès. Un ingénieur pourrait ainsi accéder à des informations RH sensibles, un sous-traitant à des documents marketing censés rester confidentiels, etc. Avec SharePoint, il est donc absolument essentiel de définir des groupes d utilisateurs adéquats et d attribuer des droits d utilisateurs avec discernement. Pour cela, un brin de planification et une bonne dose de gouvernance s imposent. De manière générale, il est préférable d accorder le moins de droits possible (quitte à se tromper) et d appliquer le principe du «besoin de savoir» (de l anglais need-to-know). En ce sens, l administrateur SharePoint devra agir sur divers domaines de responsabilité : création des identités et octroi des droits, mise à jour permanente des utilisateurs et de leurs droits, audits réguliers et, surtout, suppression des droits d accès lorsque les utilisateurs n en ont plus besoin. Un travail de titan, me direz-vous? C est en effet le cas. À tel point qu une véritable petite industrie s est développée autour de cette question. De grands acteurs comme IBM, Computer Associates et Oracle proposent ainsi des solutions de gestion des droits d accès. On a également assisté à l éclosion d entreprises innovantes, dont Epok, Quest Software, Idera ou encore Axceler. À l heure des choix, vous devrez privilégier un outil capable de centraliser les autorisations pour l ensemble de votre déploiement SharePoint et d automatiser le processus de suivi. Objectif : assurer l adéquation entre les droits d accès et les besoins de votre entreprise. N o 2 : Déployez des certificats SSL Lorsque vous téléchargez et installez SharePoint pour la première fois, sa base de données SQL n est pas cryptée. Ainsi, toute information saisie par la suite pourra être consultée et exploitée par n importe qui : un problème de taille si les données sont propriétaires, confidentielles ou soumises à une stricte réglementation. Pourtant, la solution est simple : il suffit d installer un certificat SSL sur votre site SharePoint pour garantir la sécurité des accès et de toutes les données en transit entre le serveur SharePoint et les navigateurs. Qu est-ce qu un certificat SSL? Il s agit d une simple ligne de code qui sécurise vos communications en ligne. Son rôle : établir une connexion cryptée lorsqu un navigateur Web contacte le serveur du site ou de l application. C est un peu comme si vous apposiez un sceau sur une enveloppe avant de la poster. L autre rôle des certificats SSL consiste à inspirer 2
confiance aux utilisateurs dans la mesure où ils affichent les données d identification des serveurs sur lesquels ils sont installés. Ainsi, lorsque vous faites une demande de certificat SSL à un organisme externe de type Thawte, ce dernier vérifie les informations concernant votre entreprise et émet un certificat unique qui intègre ces informations. C est ce que l on appelle le processus d authentification. Un certificat SSL ne sert donc pas seulement à crypter les données en transit, mais également à communiquer aux utilisateurs l identité validée du site ou du serveur en question. Pour sécuriser SharePoint, vous avez le choix entre trois types de certificats SSL : des certificats autosignés que vous créez vous-même, des certificats pour infrastructure à clé publique (PKI) de Windows et des certificats délivrés par des autorités de certification (AC) fiables et indépendantes. Point important : en «autosignant» un certificat SSL, une entreprise affirme qu elle est vraiment celle qu elle prétend être. Cependant, pour les grands navigateurs Web de type Internet Explorer et Firefox, cette «garantie» ne présente aucune valeur car, en fait, n importe qui peut fournir ce type de certificat en se faisant passer pour quelqu un d autre. C est pourquoi un message d erreur accueille généralement les utilisateurs accédant à un site «protégé» par un certificat SSL autosigné. Ce message précise que l entité est inconnue et que le site n est donc pas fiable. Évidemment, cela a de quoi dissuader vos clients potentiels, partenaires et autres interlocuteurs. D où le peu d engouement des entreprises envers les certificats autosignés pour la sécurisation de leurs sites Web externes et internes non plus d ailleurs. Pour plus d informations, consultez le guide des certificats autosignés. De toute évidence, la confiance des utilisateurs est essentielle. C est notamment pour cette raison que Microsoft recommande l installation d un certificat SSL émis par une autorité de certification indépendante de confiance avant toute mise en production de SharePoint. Ces certificats SSL délivrés par des autorités de certification commerciales cryptent non seulement les communications, ils garantissent également l authenticité de l identité de leur propriétaire un élément essentiel à l heure actuelle. Conclusion : si votre site ou votre déploiement SharePoint n est pas sécurisé par un certificat SSL, votre entreprise se trouve en position de vulnérabilité. N o 3 : Mettez en place un processus d authentification homogène pour les utilisateurs Pour accéder à SharePoint, les utilisateurs doivent s authentifier. Or, s ils se connectent à l application via deux méthodes ou deux fournisseurs d authentification différents, Microsoft SharePoint Server créera deux profils et deux comptes distincts. Vous devez donc faire en sorte que les utili sateurs se connectent aux sites avec le même compte et les mêmes identifiants, à l intérieur comme à l extérieur du réseau. Pour vous en assurer, l authentification Windows offre deux possibilités : Faites appel à la technologie SSL pour configurer une seule URL permettant de se connecter au site de l intérieur comme de l extérieur. Ainsi, où qu ils se trouvent, les collaborateurs accèdent à la même zone protégée par SSL. Là encore, Microsoft recommande l installation d un certificat SSL émis par une autorité de certification indépendante de confiance. Mettez en place une authentification basée sur des formulaires au niveau de votre pare-feu ou de votre passerelle afin de recueillir les identifiants Windows transférés à SharePoint. Si vous avez mis en place une authentification en mode classique, interdisant l authentification basée sur des formulaires pour SharePoint, cette solution fonctionnera. N o 4 : Configurez soigneusement les comptes de service Au moment du déploiement et de la configuration de SharePoint, le système vous demande plusieurs fois de créer un compte de service. C est souvent là que les administrateurs commettent une grave erreur : ils créent un seul compte et l utilisent tout au long du processus. Certes, cela permet de configurer et d installer correctement le serveur SharePoint. Toutefois, sur le plan de la sécurité, vous exposez votre déploiement à de très gros risques. Il faut en effet savoir que tout compte de service créé dans SharePoint dispose de toute la latitude nécessaire pour effectuer n importe quelle tâche. Certes, l application est suffisamment intelligente pour n accorder au compte que les autorisations suffisantes pour bien fonctionner. Toutefois, celui-ci obtient des droits supplémentaires à chaque nouvelle utilisation. Ainsi, si vous utilisez le même compte de service pour l ensemble du processus de déploiement et de configuration, vous finissez par disposer de droits d accès particulièrement étendus. En théorie, une personne non autorisée peut donc prendre le contrôle du serveur SharePoint. 3
Bien que les avis des experts divergent quant au meilleur moyen de structurer les comptes de service, il est généralement admis qu au moins cinq comptes doivent être créés pour un déploiement SharePoint de base. Il est également conseillé d ouvrir un compte spécifique pour l installation de SharePoint et de Microsoft SQL Server. N o 5 : Réduisez au minimum votre surface d attaque La réduction de la «surface d attaque» d un serveur constitue l une des bases de la sécurité informatique. Pour un serveur hébergeant à la fois SharePoint et SQL, la surface d attaque est pour le moins étendue. Une parade simple, et plutôt logique, consiste donc à exécuter les deux solutions sur des machines différentes. Si votre entreprise n a pas les moyens de dédier un serveur physique à chacune des applications, la solution passe par la création de deux machines virtuelles sur le même serveur physique. Vous cloisonnerez ainsi SharePoint et SQL, et réduirez systématiquement la surface d attaque. N o 6 : Configurez une analyse anti-virus Cela paraît évident... Pourtant, beaucoup d entreprises passent outre ce principe de base qui consiste à analyser les fichiers transférés vers les bibliothèques de contenus SharePoint. Sans cette étape essentielle, vous donnez libre cours aux malwares d infecter votre réseau. N o 7 : Sensibilisez les utilisateurs aux risques de sécurité Les utilisateurs constituent l un des principaux points de vulnérabilité de votre réseau. En effet, nombreux sont ceux qui ne saisissent pas réellement les risques qu implique l utilisation de SharePoint. Ainsi, il n est pas rare de voir des collaborateurs télécharger des documents depuis SharePoint pour les placer sur Dropbox (ou autre solution dans le Cloud) afin d y accéder chez eux. Inutile de dire que le transfert de données confidentielles d un environnement sécurisé vers un serveur non protégé expose votre entreprise aux plus grands risques. En novembre 2011, le spécialiste de la sécurité Cryptzone a réalisé une enquête auprès de 100 utilisateurs de SharePoint. Les résultats sont édifiants. En effet, 92 % des personnes interrogées reconnaissent que l extraction d un document stocké sur SharePoint compromet sa sécurité. Pourtant, 30 % d entre elles affirment être prêtes à prendre le risque «si cela [leur] permet de faire [leur] travail». Un autre chiffre marquant confirme la dissonance entre sécurité et productivité dans l esprit des utilisateurs : 34 % d entre eux avouent en effet ne jamais avoir pensé à la sécurité lors de leur utilisation de SharePoint. L enquête a également montré que 45 % des utilisateurs copient régulièrement des données confidentielles de SharePoint vers leur disque dur ou une clé USB, voire les envoient à un correspondant par e-mail. Dans la plupart des cas (55 %), l objectif est de partager des informations avec une personne non autorisée à accéder à SharePoint. Ces résultats ne font que souligner l évidence : pour une entreprise, il est essentiel de mettre en place des politiques de sécurité claires régissant le partage d informations enregistrées sur SharePoint et de s assurer du respect de ces politiques. N o 8 : Automatisez le reporting de conformité SharePoint ne dispose pas d une interface conviviale et intuitive pour le reporting d activité. C est pourquoi les entreprises doivent d abord convertir les données natives de SharePoint dans un format lisible avant de pouvoir les utiliser. Pour ce faire, elles disposent cependant de technologies dédiées intégrant les autorisations et les détails des activités, avec à la clé la possibilité d automatiser le reporting de conformité. Accélération du reporting ; exploration, filtrage et organisation des données de fichiers journaux ; ajout de métadonnées (type de données, nom du service ou du propriétaire)... les avantages ont de quoi séduire les entreprises. N o 9 : Réagissez immédiatement aux activités suspectes Sur SharePoint, les fonctionnalités natives de contrôle des activités ne permettent pas aux entreprises d analyser automatiquement les connexions et de réagir rapidement à un comportement suspect, par exemple en alertant l administrateur ou en bloquant l accès. En mettant en place des politiques structurées transverses aux bases de données, fichiers et autres composants Web de SharePoint, les entreprises peuvent identifier les activités suspectes et renforcer le contrôle natif des accès. Elles sont alors en mesure de surveiller l activité et réagir immédiatement en cas de menace. N o 10 : Gouverner, c est prévoir En fin de compte, préparation et planification constituent les éléments clés d un déploiement efficace. De prime abord, SharePoint peut paraître simple d utilisation. Pourtant, à mesure que l application gagne du terrain dans votre entreprise, sa gestion pourra devenir de plus en plus complexe et vous risquerez de vous retrouver constamment avec un temps de retard. Commencez par répondre à cette question : quel est votre objectif en installant SharePoint? La collaboration? La gestion de contenus? La business intelligence? Ensuite, dressez la liste de tous les scénarios de sécurité possibles, affectez les 4
ressources suffisantes à la gestion des vulnérabilités prévues et faites un nouveau point six mois plus tard pour identifier d éventuels écarts par rapport aux projections. Sécurisation de SharePoint : c est le moment d agir De par sa polyvalence et sa facilité de déploiement, SharePoint a toutes les chances de s imposer dans toute votre entreprise, tant pour les projets stratégiques que tactiques. Pour déployer SharePoint, seul un minimum de compétences est nécessaire. Vous devez donc être particulièrement attentif sur les questions de sécurité. La méthode idéale? Aborder point par point cette liste de bonnes pratiques et en mettre certaines, voire toutes, en application. Pour sécuriser SharePoint, il n existe pas de solution passepartout car chaque déploiement est unique. Cependant, toute personne installant cet outil de collaboration devrait suivre ces dix bonnes pratiques. Pour approfondir le sujet Téléphone États-Unis : +1 (888) 484-2983 Royaume-Uni : +44 203 450 5486 Afrique du Sud : +27 21 819 2800 Allemagne : +49 69 3807 89081 France : +33 1 57 32 42 68 E-mail : sales@thawte.com Site Web : www.thawte.com/ssl Protégez votre activité et inspirez confiance à vos clients grâce à la sécurité renforcée des certificats numériques signés Thawte, leader mondial de la sécurité en ligne. Stabilité, fiabilité, infrastructure éprouvée, support client irréprochable en 17 ans, Thawte a su s imposer comme le partenaire international de choix pour les entreprises du monde entier. 5