Ce billet présente certaines pratiques et technologies qui offrent une sécurité de haut niveau dans Office 365. Microsoft Office 365 met à la disposition des entreprises, la puissance et la productivité du cloud. Cela permet d’économiser du temps et de l'argent et libèrent des ressources en entreprise afin de s’orienter sur les spécificités métiers. Office 365 c’est la suite de Microsoft Office associées aux derniers outils de communication et de collaboration de Microsoft comme Exchange Online, SharePoint Online et Lync Online. Vous pouvez également télécharger le livre blanc de la sécurité dans Office 365.
En autorisant un prestataire de service externe à stocker et gérer leurs données, les entreprises et organismes doivent prendre en considération la sécurité, la protection, la confidentialité et la propriété des données. Microsoft traite ces sujets avec beaucoup de sérieux et a appliqué l'expérience acquise depuis des années en informatique dans le cloud et sur site pour développer la sécurité et la confidentialité des services Office 365. Microsoft apporte les avantages du cloud et une sécurité de haut niveau et ce quelle que soit la taille de l’entreprise. Microsoft adopte une approche très complète pour protéger vos données à la fois au niveau physique. Microsoft a per exemple investi plus de 2 milliards de dollars dans des centres de données à la pointe de la technologie. De plus la sécurité est prise en compte dès la conception des produits qui seront ajoutés dans Office 365.
Office 365 utilise des datacenters sécurisés pour l’accès physique aux plateformes et aux équipements. Cette sécurité physique et complétée par des technologies antivirus et anti-spam, des mises à jour pour assurer la protection contre les menaces les plus récentes. Toutes Les fonctions et les services de sécurité sont intégrés dans Office 365. Office 365 propose un système d’autorisation granulaire à l’aide de la console d'administration en ligne.
Les enjeux de la sécurité dans Office 365
Les employés devenant de plus en plus mobiles, les informations des entreprises sont accédées par de plus en plus de personnes (interne ou externe à l’entreprise) et ce depuis plus d’emplacement physique avec l’internet et à partir d’équipements très divers comme désormais les smartphones et les tablettes. Ces usages nouveaux augmentent la surface d'attaque de l'infrastructure informatique, c’est-à-dire les possibilités de piratage de vos données. Les attaques informatique deviennent de plus en plus sophistiquées et malveillantes. Aujourd'hui, le cybercrime est souvent pratiqué par des professionnels organisés qui sont essentiellement motivés par l'appât du gain. Il est indispensable d'adopter une sécurité de haut niveau pour protéger vos systèmes et vos données. L'approche intégrale suivie par Microsoft inclut la conception de logiciels et de services plus sûrs, une surveillance efficace et une réponse rapide aux menaces, et une analyse approfondie des menaces émergentes afin d'adopter des mesures au plus vite, avant que ces menaces ne deviennent des problèmes. En raison de la croissance rapide de la volumétrie des données générées par le fonctionnement quotidien des entreprises, la sauvegarde et la récupération des données représentent un coût important pour les départements informatiques. Les entreprises ont besoin de solutions abordables et capables de monter en charge, assurant la disponibilité de leurs données 24 heures sur 24, 7 jours sur 7.
Office 365 peut leur apporter ainsi un un haut niveau de sécurité pour un coût inférieur à des serveurs installés directement en entreprise (sur site ou on premise en anglais). Les clients d'Office 365 n'ont plus à gérer en interne le déploiement et l'administration de solutions coûteuses pour la sauvegarde et la restauration des données, et pour la protection antivirus et anti-spam. Office 365 intègre une grande capacité à monter en charge ainsi qu'un mécanisme de reprise après sinistre pour faire face à des volumes croissants de données métier critiques, à un coût fixe et prévisible. Se distinguant nettement des autres offres d'outils de productivité dans le cloud proposées par d'autres acteurs du marché, Office 365 donne la possibilité de gérer temporairement ou de façon permanente un environnement hybride. La solution hybride permet d'évoluer progressivement vers le cloud ou de conserver certains utilisateurs ou type de données dans le site de l’entreprise.
Office 365 est dotée d’une base sécurisée
Microsoft fournit des services en ligne depuis de nombreuses années. Microsoft Global Foundation Services (GFS) est le groupe responsable de l'hébergement d'Office 365 et de tous les services en ligne de Microsoft. Microsoft GFS est né en 1994 avec la mise en place de MSN au début de l’internet. Il s'est rapidement développé et est devenu au fil des ans l'une des entités les plus importantes d'Internet. L'infrastructure des services en ligne de GFS est régulièrement contrôlée et auditée par des organismes renommés, extérieurs à Microsoft. En raison de notre approche globale et complète de la sécurité et de la confidentialité, Microsoft Global Foundation Services a obtenu les certifications ISO 27001 et EU Safe Harbor, et a réussi l'audit SAS 70 Type II. Office 365 est basé sur une technologie qui a fait ses preuves ; c'est la dernière version de notre produit précédemment nommé BPOS (Business Productivity Online Services), qui compte des centaines de milliers de clients satisfaits. Avec Office 365, vous bénéficiez de toute notre expérience dans le cloud.
Microsoft sait que la sécurité est un travail permanent, pas un état figé. La sécurité doit en permanence être maintenue, améliorée et vérifiée par du personnel expérimenté et formé ; elle nécessite des technologies de mises à jour des logiciels et des matériels ; elle est assurée par les processus très fiables que nous avons mis en place pour la conception, la construction, l'exploitation et la maintenance de nos services.
Les données Office 365 sont stockées dans le propre réseau de centres de données de Microsoft, offrant une haute disponibilité et stratégiquement répartis dans le monde entier. Ces centres sont conçus dès le départ pour protéger les services et les données contre tout risque, qu'il s'agisse d'une catastrophe naturelle ou d'un accès non autorisé. Nous appliquons les meilleures pratiques pour assurer la sécurité physique : matériel très haut de gamme, accès sécurisés, alimentations redondantes, réseaux de fibres redondés, et de nombreuses autres techniques. En raison de la redondance mise en place, les mises à jour peuvent être déployées sans que nos utilisateurs ne constatent l'arrêt de nos systèmes. Nos systèmes sont protégés au niveau logique par une isolation très forte des données, un contrôle permanent et par de nombreuses pratiques et technologies ayant fait leurs preuves. Toutes les tâches relatives à la sécurité physique et logique sont effectuées par notre personnel dans nos centres de données, ce qui allège d'autant votre charge de travail pour le maintien de la sécurité de vos données et systèmes.
Depuis 2002, Microsoft a développé l'Initiative pour l'Informatique de confiance, qui vise à promouvoir en interne comme sur le marché l'adoption des meilleures pratiques dans le domaine de la sécurité. Une part importante de l'Initiative pour l'informatique de confiance réside dans la conception des logiciels qui prennent en compte la sécurité dès le début de leur conception. Ainsi, les produits et les services qui composent Office 365 (Microsoft Exchange Online, Microsoft SharePoint® Online, Microsoft Lync® Online et Microsoft Office Professional Plus) ont été conçus en respectant toutes les pratiques rigoureuses de sécurité définies dans le Microsoft Security Development Lifecycle (SDL). SDL est en permanence mis à jour et communiqué gratuitement à l'industrie du logiciel afin de mettre en place de meilleures pratiques dans le domaine de la sécurité, quels que soient les fournisseurs et les plateformes. Les technologies et les protocoles utilisés permettent à Office 365 de redémarrer rapidement, même après un incident grave.
Confidentialité et propriété des données dans Office 365
Microsoft met en place une politique de sécurité cohérente, fiable et transparente pour le respect de la confidentialité. L’entreprise reste totalement propriétaire de ses données. Le Trust Center explique en détail comment Microsoft gère et utilise les données dans Microsoft Online Services. Lorsqu’une entreprise décide d'arrêter l’utilisation d'Office 365 Microsoft offre 90 jours supplémentaires avec des fonctionnalités réduites pour laisser le temps aux entreprises d'exporter toutes ses données.
Isolation des données dans Office 365
Office 365 est un service mutualisé, ce qui signifie que les données sont réparties sur différentes ressources matérielles. Par conséquent, vos données peuvent être stockées sur le même matériel que celles d'autres clients. C'est la raison qui permet à Office 365 de posséder un coût intéressant pour les entreprises, avec de fortes capacités de montée en charge. Microsoft a conçu cette architecture mutualisée afin qu'Office 365 apporte toutes les garanties de sécurité et de respect de la confidentialité des données de ses utilisateurs. Ainsi, le stockage et le traitement des données sont parfaitement cloisonnés de façon logique entre les clients en utilisant la technologie Active Directory (version adaptée pour l’utilisation dans le cloud par Microsoft). Il existe même pour les entreprises qui souhaitent une isolation supplémentaire une version spécifique d'Office 365 qui stocke les données sur un matériel dédié.
Sécurité intégrée dans Office 365
Contrairement à une installation sur site protégée par un pare-feu et accessible via un réseau privé virtuel (VPN), Office 365 est conçu spécifiquement pour être accédé de manière sécurisée depuis Internet sans VPN. Il existe deux options pour l'identification de l'utilisateur :
- Identifiant Microsoft Online : l'utilisateur crée un compte Microsoft Online Services pour accéder à Office 365. Avec un seul identifiant et un seul mot de passe, l'utilisateur accède à tous les services Office 365. L’application de signature unique assiste l’utilisateur pour le choix et l’utilisation d’un mot de passe fort, ce qui renforce la sécurité des services.
- Identifiant fédéré : L'identification fédérée qui s’appuie sur Active Directory Federation Services (un service de Microsoft Windows Server 2008) déployé sur le réseau interne, chaque utilisateur d'Office 365 s'authentifie avec son identifiant et son mot de passe d'entreprise habituels. Dans ce cas, les identités sont gérées uniquement en interne. Cela permet aussi aux entreprises d'utiliser une authentification à deux facteurs (comme une carte à puce ou un système biométrique en plus du mot de passe) afin de renforcer la sécurité.
Quelle que soit la méthode d’authentification utilisée, les connexions établies avec le service Office 365 à travers Internet sont chiffrées via le protocole standard SSL/TLS à 128 bits. Office 365 implémente d'autres mesures de sécurité pour protéger les informations sensibles, comme S/MIME (Secure/Multipurpose Internet Mail Extensions) pour le chiffrement à clés publiques et les signatures numériques, ainsi que la protection des documents office avec la technologie de Rights Management pour restreindre l’accès et les actions possibles sur les documents Microsoft Office, ou les emails et les messages vocaux.
Avec Office 365, vous accédez à tout votre environnement comme vos boîtes aux lettres, vos sites Web SharePoint et vos stockages de documents. Vous gardez le contrôle sur les politiques de sécurité et les comptes utilisateurs. Ce degré de contrôle vous permet d'appliquer de façon efficace les politiques de sécurité et de confidentialité de votre entreprise. Les politiques et les utilisateurs s'administrent via une console Web ou via Remote PowerShell pour l'automatisation des tâches d’administration.
Antivirus et Office 365 : Forefront Online Protection for Exchange
Pour protéger les emails entrants, sortants et internes ainsi que les fichiers partagés contre les virus et le spam, Office 365 inclut Microsoft Forefront Online Protection for Exchange. Cette solution antivirus couplée à une solution d’anti-spam a été conçue sur plusieurs niveaux. Cette solution utilise simultanément plusieurs moteurs d'analyse pour identifier de façon très précise les menaces éventuelles et les bloquer, en minimisant le risque des faux positifs. Les technologies Forefront incluses dans Office 365 sont constamment mises à jour avec les dernières signatures de menaces, afin de vous protéger contre les nouvelles menaces sans que vous ayez à intervenir.