COVID-19 Continuité d’activité

Cloud

logopitxxl

Chers clients et partenaires commerciaux,

Face à la crise sanitaire majeure que nous subissons tous, je tiens à vous informer des mesures
que nous avons prises chez Pérenne’IT afin d’assurer la continuité de nos activités.

Depuis mardi 17 Mars matin, dans le respect de la sécurité de chacun et des directives gouvernementales,
toutes nos équipes techniques, commerciales et administratives sont pleinement opérationnelles en télétravail.

Elles sont à votre service pour vous aider à maintenir au mieux votre système d’information, voire à l’adapter si nécessaire. Pour mieux vous servir, nous vous invitons à nous joindre en priorité par mail :

• pour toute demande de support technique vous pouvez ouvrir automatiquement un ticket en envoyant un mail à l’adresse générique support@perenne-it.fr ou en cas de nécessité nous appeler au 01 39 23 97 67.
• Pour toute autre type de demande, adm@perenne-it.fr
Les rendez-vous téléphoniques et conférences prévus en ligne sont maintenus,
les rendez-vous initialement prévus en présentiel pourront être transformés en visioconférences ou téléconférences.

Dans cette crise d’une ampleur sans précédent, qui nous affecte tous individuellement
et collectivement mais avec une intensité inégale, la solidarité s’impose.
Nous sommes mobilisés pour vous aider au mieux, face aux difficultés que vous pourriez rencontrer,
et tout particulièrement pour le télétravail de vos collaborateurs si nécessaire.
Nous restons à votre disposition pour toute question, et nous ne manquerons pas de continuer à vous informer
en fonction de l’évolution de la situation.

Ajouter « envoyer en tant que » à toutes les boites à lettres.

Cloud Exchange Online Powershell

Dans Exchange Online vous avez la possibilité de donner les droits à un utilisateur d’envoyer en tant que toutes les boites à lettres rapidement en powershell.

Cela peut être utile pour un robot ou un relais nécessitant d’envoyer les mails en se faisant passer pour l’utilisateur.

1 – La commande à exécuter

Remplacer « user@domain.com » par l’adresse du compte devant obtenir les droits.

Get-Mailbox -ResultSize unlimited -Filter {(RecipientTypeDetails -eq 'UserMailbox')} | Add-RecipientPermission -Trustee "user@domain.com" -AccessRights "SendAs"

 

2 – Le détail de la commande

La première partie de la commande permet d’obtenir l’ensemble des utilisateurs de type « UserMailbox ».

Get-Mailbox -ResultSize unlimited -Filter {(RecipientTypeDetails -eq 'UserMailbox')}

La seconde partie de la commande permet d’ajouter le droit « Envoyer en tant que » à l’utilisateur « user@domain.com » sur l’ensemble des boites à lettres obtenu avec la première commande.

Add-RecipientPermission -Trustee "user@domain.com" -AccessRights "SendAs"

 

3 – La vérification

La commande suivante permet d’afficher tous les droits destinataire sur toutes les boites à lettres :

Get-Mailbox -ResultSize unlimited -Filter {(RecipientTypeDetails -eq 'UserMailbox')} | Get-RecipientPermission | where {$_.trustee -ne "NT AUTHORITY\SELF"}

 

4 – Le retour arrière

La commande suivante permet de supprimer le droit attribué à tous les utilisateurs lors de la première étape.

Get-Mailbox -ResultSize unlimited -Filter {(RecipientTypeDetails -eq 'UserMailbox')} | Remove-RecipientPermission -Trustee "user@domain.com" -AccessRights "SendAs"

Sources Microsoft :
Add-RecipientPermission
Get-RecipientPermission
Remove-RecipientPermission

Le BYOD Bring Your Own Device, Comment l’encadrer ?

Cloud Cyberattaque Cybersécurité Microsoft Sécurité

Le  BYOD Image BYOD (Bring Your Own Device)

C’est en 2012 que le terme a commencé à faire le buzz.
Peut-être parce qu’il évoque l’esprit start-up ? Mais c’est quoi au juste, le  BYOD ?
Le BYOD consiste à apporter au travail ses outils numériques personnels pour travailler.
À la clé : gains de productivité, flexibilité, mobilité… et danger ?

Gérer une flotte aussi disparate fonctionnant sous des systèmes d’exploitation différents relève du casse-tête.
La grande crainte de la DSI : faire entrer le loup dans la bergerie.
De quoi donner des cauchemars à nos experts responsables de la sécurité.

Pour le cabinet Gartner, le  BYOD relève moins de la politique d’achat et de fourniture des postes de travail que d’une stratégie applicative.
Pour la directeur de recherche, il convient d’appréhender la tendance du  BYOD de manière très large,
comme un signe de la nécessaire modernisation d’un système d’information trop rigide pour les besoins modernes de flexibilité :
« Considérer les activités  BYOD comme un problème temporaire généré par des employés frustrés serait une erreur tragique. Il s’agit d’une transformation permanente et irréversible.

Avec le RGPD, comment mieux encadrer le BYOD

La mise en place du RGPD peut être l’occasion de revoir les pratiques du  BYOD.
Avec la mise en place du RGPD, la question de la conformité se surajoute à celle de la sécurité.
C’est l’occasion de remettre les process internes à plat car, comme le rappelle la CNIL, l’employeur est responsable de la sécurité des données personnelles de son entreprise,
y compris lorsqu’elles sont stockées sur des terminaux dont il n’a pas la maîtrise physique ou juridique » pour peu qu’il ait autorisé l’accès au système d’information.

Une politique de BYOD passe par un ensemble de bonnes pratiques, à la fois organisationnelles et techniques.
Sur le plan organisationnel, la charte utilisateurs doit être toilettée et introduire de nouveaux garde-fous.
Cette refonte de la charte s’accompagne d’un plan de formation. Une piqûre de rappel pour rappeler les basiques.  https://www.perenne-it.fr/expertise/diagnostic-rgpd-perenneit/

Réduire les menaces liées au  BYOD

Le phénomène d’utilisation d’appareils personnels sur le lieu de travail, qui a engendré une réduction massive des coûts, une plus grande flexibilité des utilisateurs et un éventail plus large d’appareils.
Les impératifs de sécurité ne changent pas, quel que soit le propriétaire de l’appareil ou le système d’exploitation qu’il exécute.
En gardant cette remarque à l’esprit, voici quelques conseils pour réduire les menaces internes liées à l’utilisation d’appareils personnels sur le lieu de travail
– Sachez quand vous devez dire non
– Ayez une politique de  BYOD
– Identifiez les responsabilités en amont
– Envisagez des réseaux ou services segmentés
– Utilisez les outils de gestion des appareils mobiles (MDM)
– Imposez des paramètres de sécurité standard
– Rendez obligatoires les mises à jour des applications et du système d’exploitation
– Formez les utilisateurs
– Ayez un plan pour les incidents de sécurité
– Utilisez la surveillance

La gestion des terminaux mobiles, plus connue sous son nom anglais Mobile Device Management 
(ou encore MDM).

Quand on parle de la mobilité en entreprises ou encore du Bring Your Own Device (BYOD), il est difficile de passer à côté des applications de gestion des terminaux mobiles.
Il faut dire qu’elles sont quasi indispensables pour qui veut gérer ses smartphones, tablettes et ordinateurs portables,
que ce soit pour des questions de sécurité, de mises à jour, de contrôle à distance, etc.  https://docs.microsoft.com/fr-fr/intune/fundamentals/what-is-device-management

Avec ce type de solution, les experts sécurité reprennent la main

et automatisent toutes les mesures de sécurité des réseaux informatiques vulnérables aux cyberattaques.

Comment ? En la couplant avec l’identification de l’utilisateur.
Quand il se connecte via son login d’entreprise, la solution lui demande son autorisation pour installer la configuration de sécurité. Elle est alors installée dans l’appareil.
de sécurité, l’identité est la première étape.

81 % des brèches de sécurité viennent en effet de vols d’identité en ligne, d’après une étude Verizon.
Alors les techniques vont de plus en plus loin

grâce à des systèmes comme Active directory, l’identification est multi-factorielle.

 

L’analyse comportementale

Pardon de vous l’apprendre, mais nous avons tous des comportements plus ou moins routiniers sur nos ordinateurs de travail. « On reçoit un nombre moyen d’emails à peu près similaire tous les jours, on se connecte à peu près toujours du même endroit, avec le même appareil… »

Le terrain idéal pour faire tourner un algorithme de machine Learning !

L’analyse comportementale fonctionne en deux étapes. D’abord, une phase d’apprentissage et d’observation du parcours de l’utilisateur. Ensuite, en les comparant aux données récoltées, la solution contrôle les comportements. Ils sont jugés suspects s’ils diffèrent de la petite routine habituelle et deviennent une menace potentielle.
Dans ce cas, l’algorithme alerte la DSI ou traite immédiatement le dysfonctionnement. https://www.netwrix.com/

Avis Pérenne’IT

La protection des données repose aussi sur des dispositifs techniques qui passe par :
– une authentification forte (certificat électronique, carte à puce…)
– le chiffrement des flux d’informations (VPN, HTTPS…).
– des solutions de gestion des terminaux (Mobile Device management MDM)
– des solutions de gestion des applications mobiles (Mobile application management MAM)

 

PME: CASB or not CASB ?

PME: CASB or not CASB ?

Cloud Cybersécurité Sécurité

CASB: Vous avez forcément dû en entendre parler mais pas forcément oser demander de quoi il s’agit !

CASB signifie Cloud Access Security Broker

Il s’agit d’un dispositif de sécurité qui se place entre les utilisateurs de services Cloud et les fournisseurs de service.

De plus en plus d’entreprises mettent en œuvre un, voire plusieurs CASB pour lutter contre les dangers du « shadow IT ». Le shadow IT ce sont les applications SAAS (par exemple WeTransfer, Dropbox, …) . Ces applications sont souscrites directement par les utilisateurs et les services. Or le shadow IT est hors de contrôle de la DSI et induit donc des risques majeurs de sécurité pour les entreprises et les utilisateurs.

Le CASB va permettre:

  • de traiter ces risques
  • d’imposer une politique de sécurité
  • de respecter les réglementations, même lorsque les services Cloud sont en dehors du périmètre de contrôle de la DSI

La mise en œuvre pertinente d’un CASB sera granulaire et progressive, afin d’atteindre les objectifs de sécurité sans compromettre la confiance des utilisateurs ni réduire l’efficacité de leur travail.

Selon le Gartner, le CASB peut intégrer 4 types de fonctionnalités

  • La visibilité sur les services utilisés en shadow IT, et les utilisateurs qui y accèdent
  • La sécurité des données pour protéger les données sensibles
  • La protection contre les menaces  accès par des équipements ou utilisateurs non autorisés, depuis des zones géographiques suspectes ou horaires étranges ..
  • Gouvernance: donne de la visibilité sur le respect des contraintes réglementaires, notamment la protection des données personnelles, en IAAS et désormais en SAAS

CASB et PME: L’avis de Pérenne’IT

Incontournables dans les grands comptes, l’adoption d’un CASB dans les PME se développe rapidement aujourd’hui. Les raisons : l’accroissement des risques d’une part et de la démocratisation des solutions d’autres part. En effet la plupart des solutions CASB sont désormais disponibles…  en SAAS !

Pour en savoir plus, vous pouvez consulter le Magic Quadrant de Gartner

145 plaintes en raison du RGPD

RGPD

Depuis l’entrée en vigueur du règlement général sur la protection des données, nous pouvons estimer le nombre de plaintes à 145 000. Ce chiffre a été publié par la Commission européenne.  

 

RGPD

 

Rappelons que ce règlement prévoit de renforcer les droits des internautes et impose à toutes les entreprises de demander un consentement explicite pour utiliser les données personnelles des utilisateurs. Tout cela au sein de l’union européenne. De plus, il permet aux citoyens de savoir quand leurs données sont piratées. La Commission européenne souhaite préparer les plus petites entreprises afin de répondre aux exigences du RGPD, notamment grâce à des clauses standard de certification d’un code de conduite. La Commission veille à ce que l’application du règlement se fasse de façon harmonieuse sur l’ensemble du continent. Elle s’assure également à ce que les petites entreprises répondent à toutes les exigences mises en place. Cependant, pour plusieurs associations de défense des droits des internautes, les objectifs du RGPD ne sont pas totalement atteints. Elles nous informent que les internautes continuent d’accepter l’utilisation de leurs données d’une façon qui n’est ni “libre” ni “éclairée”.  

Près d’un an après la mise en place du RGPD, environ 145 000 plaintes ont été déposées et un peu moins de 450 dossiers paneuropéens ont été ouverts. En effet, les acteurs du numérique offrent souvent les mêmes services dans plusieurs pays de l’UE. La Commission française de l’informatique et des libertés (CNIL) a informé que les infractions seront sévèrement punies en cas de non-respect. Nous pouvons tout de même relever un bémol, la Grèce, le Portugal et la Slovénie n’ont pas encore traduit le règlement dans leurs législations nationales.   

Nous pensons chez Perenne’it que le RGPD n’est pas une contrainte mais une opportunité.
Nous fournissons des recommandations concrètes pour cheminer vers une conformité RGPD durable.  

 

Ci-dessous, notre diagnostic RGPD :  

https://www.perenne-it.fr/wp-content/uploads/2017/12/Diagnostic-RGPD-P%C3%A9renneIT.pdf