Guide de sécurité pour Microsoft 365

Gérer les identités en mettant en place des politiques et des procédures de contrôle d’accès pour tous les comptes de personnes, de services, de solutions ou d’appareils, et en les documentant.

Pourquoi c’est important : la mise en place d’exigences en matière de gestion des identités et des accès (GIA) constitue la première ligne de défense pour les services basés sur le nuage. Il est essentiel de veiller au respect des politiques et procédures normalisées et de s’assurer que seules les personnes autorisées puissent accéder aux locataires et aux services M365 du GC et les gérer de manière centralisée.

Service connexe : Microsoft Entra ID (anciennement Azure Active Directory).

Exigences en matière de licence 

• Sécurité M365 E5 : Microsoft Entra ID P2, Microsoft Defender pour l’Identité et Microsoft Defender pour les applications en nuage.

Tâches à accomplir 

1. Empêcher l’utilisation des anciennes méthodes d’authentification. Les protocoles de messagerie ci-dessous prennent en charge ces anciennes méthodes d’authentification.
   • SMTP authentifié : utilisé pour envoyer des messages électroniques authentifiés.
   • Autodiscover : utilisé par la clientèle Outlook et EAS pour localiser les boîtes aux lettres dans Exchange Online et s’y connecter.
   • Exchange ActiveSync (EAS) : utilisé pour se connecter aux boîtes aux lettres dans Exchange Online.
   • Exchange Online PowerShell : utilisé pour se connecter à Exchange Online avec PowerShell à distance. Si l’authentification de base est bloquée pour Exchange Online PowerShell, le module Exchange Online PowerShell doit être utilisé. Pour obtenir des instructions, se reporter à Connexion à Exchange Online PowerShell à l’aide de l’authentification multifactorielle.
   • Exchange Web Services (EWS) : il s’agit d’une interface de programmation utilisée par Outlook, Outlook pour Mac et des applications tierces.
   • IMAP4 : utilisé par la clientèle de messagerie IMAP.
   • MAPI sur HTTP (MAPI/HTTP) : le principal protocole d’accès à la boîte aux lettres utilisé par Outlook 2010 SP2 et les versions ultérieures.
   • Carnet d’adresses en mode hors connexion : copie des collections de listes d’adresses téléchargées et utilisées par Outlook.
   • Outlook Anywhere (RPC sur HTTP) : protocole d’accès aux boîtes aux lettres prises en charge par toutes les versions actuelles d’Outlook.
   • POP3 : utilisé par la clientèle de messagerie POP.
   • Reporting Web Services : utilisé pour récupérer les données des rapports dans Exchange Online.
   • Universal Outlook : utilisé par l’application Courriel et Calendrier de Windows 10.
   • Autres clientèles : autres protocoles connus pour utiliser les anciennes méthodes d’authentification.
2. Si vous utilisez les services de fédération Active Directory (ADFS) sur place, tenez compte des points suivants :
   1. définir l’AMF Microsoft Entra comme méthode d’authentification principale;
   2. bloquer l’ancienne méthode d’authentification pour l’accès à l’extranet;
   3. activer le verrouillage de l’extranet sur le serveur mandataire de l’application Web des ADFS.
   4. Sur le serveur des ADFS :
      1. installer un certificat de confiance;
      2. appliquer des paramètres de sécurité supplémentaires pour limiter les attaques par interception : activer TLS 1.3, autoriser l’utilisation de TLS 1.2, s’il y a lieu, notamment pour des raisons de compatibilité, de conformité aux exigences d’audits internes ou de surveillance des menaces;
      3. mettre en œuvre le protocole HSTS (HTTP Strict Transport Security);
      4. utiliser des jetons SAML signés;
      5. activer la protection étendue pour l’authentification;
      6. restreindre l’accès aux points d’extrémité des ADFS;
      7. surveiller et enregistrer l’activité dans le cadre des ADFS;
      8. définir la durée de validité d’un jeton en fonction du degré de tolérance au risque du ministère;
      9. empêcher les attaques par rejeu de jetons;
      10. conserver les certificats de signature de manière sécurisée, restreindre l’accès à ceux-ci et les gérer en respectant les pratiques exemplaires relatives au cycle de vie des clés cryptographiques.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.1 ^{Note de bas de page 11}
• Exigences de configuration relatives à la gestion des comptes ^{Note de bas de page 23}
• Mesures de protection du nuage du gouvernement du Canada n^o 1 : Protéger les comptes et les identités des utilisateurs ^{Note de bas de page 4}
• Gouvernement du Canada - Ligne directrice sur la sécurité des mots de passe ^{Note de bas de page 24}
• Gouvernement du Canada - Considérations relatives à l’utilisation de la cryptographie dans les services d’informatique en nuage commerciaux ^{Note de bas de page 25}
• Ligne directrice sur l’authentification en nuage ^{Note de bas de page 26}
• Lignes directrices sur l’authentification multifactorielle ^{Note de bas de page 27}

Références supplémentaires 

• Algorithmes cryptographiques pour l’information NON CLASSIFIÉ, PROTÉGÉ A et PROTÉGÉ B (ITSP.40.111) ^{Note de bas de page 28}
• Conseils sur la configuration sécurisée des protocoles réseau (ITSP.40.062) ^{Note de bas de page 29}
• Centre for Internet Security (CIS) Microsoft 365 Foundations Benchmark, v3.0.0, Sections 5.1.2.1, 5.2.2.2, 5.2.2.5, 5.2.3.1 ^{Note de bas de page 30}
• CIS Microsoft Azure Foundations Benchmark, Sections 1.2.4, 1.2.5, 1.2.6, 1.2.7, 1.21 ^{Note de bas de page 31}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AC-04, AC-07, AC-12, AU-12, IA-02, IA-02(1), IA-02(8), IA-07, SC-08(1), SC‑12, SC-13, SC-17, SC-23, SI-04

L’authentification multifactorielle (AMF) est une méthode d’authentification qui exige l’utilisation de plusieurs facteurs de vérification, tels que :

• quelque chose que la personne connaît (par exemple, un mot de passe);
• quelque chose que la personne possède (par exemple, un appareil fiable comme un téléphone mobile);
• quelque chose qui caractérise la personne (par exemple, des données biométriques).

L’AMF peut être assurée à l’aide d’un authentifiant multifactoriel ou d’une combinaison appropriée de deux authentifiants à facteur unique. Dans la mesure du possible, privilégier une AMF résistante à l’hameçonnage.

Pourquoi c’est important : le recours à l’AMF constitue une mesure essentielle pour réduire considérablement le risque de compromission de comptes et renforcer la posture de sécurité globale du GC. L’AMF apporte une couche de protection supplémentaire à une stratégie de mots de passe forts, car elle permet de vérifier qu’une personne est bien la personne qu’elle prétend être lorsqu’elle accède à des services en ligne. Grâce à l’AMF, les comptes M365 demeurent protégés contre les accès non autorisés, même si le mot de passe de la personne est compromis.

Service connexe : Microsoft Entra ID

Exigences en matière de licence 

• M365 E5 Security, Microsoft Entra ID P2 et Microsoft Defender XDR.

Tâches à accomplir

1. Activer l’AMF résistante à l’hameçonnage pour chaque titulaire de compte, conformément aux Exigences de configuration relatives à la gestion des comptes ^{Note de bas de page 32}.
2. Veiller à ce que des authentifiants appropriés soient mis en place pour le niveau d’assurance 3 des identifiants du groupe utilisateur final, conformément à la Ligne directrice du gouvernement du Canada (GC) sur l’authentification multifactorielle (AMF) ^{Note de bas de page 27}.
3. Veiller à ce que des authentifiants appropriés soient mis en place pour le niveau d’assurance 4 des identifiants du groupe utilisateur hautement privilégié, conformément à la Ligne directrice du gouvernement du Canada (GC) sur l’authentification multifactorielle (AMF) ^{Note de bas de page 27}.
4. Mettre en application les règles de l’AMF pour tout le groupe utilisateur au moyen de stratégies d’accès conditionnel.
5. Désactiver les anciennes méthodes d’AMF pour tout le groupe utilisateur, notamment celles reposant sur le SMS, le courriel et l’appel vocal.
6. Si la mise en place d’une AMF résistante à l’hameçonnage n’est pas envisageable et que Microsoft Authenticator est utilisé, le configurer de manière à réduire les attaques par demande d’authentification répétée liées à l’AMF, à permettre l’affichage de renseignements contextuels sur les tentatives de connexion et à n’autoriser l’accès qu’à partir d’appareils gérés par le GC ou conformes aux stratégies d’accès conditionnel.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de l’identité - Sections 4.1.3, 4.1.6 ^{Note de bas de page 33}
• Directive sur la gestion de la sécurité - Section B.2.3.1 ^{Note de bas de page 11}
• Exigences de configuration relatives à la gestion des comptes ^{Note de bas de page 32}
• Mesures de protection du nuage du gouvernement du Canada n^o 1 - Protéger les comptes et les identités des utilisateurs ^{Note de bas de page 4}
• Ligne directrice sur l’assurance de l’identité ^{Note de bas de page 34}
• Ligne directrice sur l’authentification multifactorielle ^{Note de bas de page 27}
• Ligne directrice sur l’authentification en nuage ^{Note de bas de page 26}

Références supplémentaires

• Guide sur l’authentification des utilisateurs dans les systèmes de technologie de l’information (ITSP.30.031 v3) ^{Note de bas de page 35}
• Centre for Internet Security (CIS) Microsoft 365 Foundations Benchmark, Sections 5.1.2.1, 5.2.2.2, 5.2.2.5, 5.2.3.1 ^{Note de bas de page 30}
• CIS Microsoft Azure Foundations Benchmark, Sections 1.2.4, 1.2.5, 1.2.6, 1.2.7 1.21 ^{Note de bas de page 31}

Contrôles de sécurité connexes issus des ITSG-33

• IA-02(1), IA-02(2), IA-05, IA-07

Les pirates informatiques exploitent la confiance dans les environnements d’authentification fédérée afin d’accéder à des données protégées. Pour ce faire, ces personnes obtiennent des privilèges d’accès dans les environnements sur place, ce qui leur permet de contourner les mécanismes mis en place par l’organisation pour contrôler l’accès aux ressources infonuagiques et sur place, et (ou) de compromettre les justificatifs d’identité des personnes chargées de l’administration des systèmes permettant de gérer les ressources infonuagiques.

Afin de réduire davantage la surface d’attaque et de limiter l’impact des attaques par usurpation de justificatifs d’identité entre les environnements sur place et infonuagiques, les comptes, groupes et rôles d’administration infonuagiques hautement privilégiés ne devraient pas être synchronisés à partir des environnements sur place. Il faudrait également éviter d’utiliser l’authentification unique fédérée (comme pour les comptes sur place) pour ces comptes et privilégier plutôt une authentification native en nuage, par exemple des comptes infonuagiques dédiés dans Entra ID. Veuillez consulter la Ligne directrice sur l’authentification en nuage ^{Note de bas de page 26} pour obtenir d’autres renseignements.

Pourquoi c’est important : l’utilisation de comptes dédiés pour les tâches privilégiées permet d’isoler les opérations sensibles, réduisant ainsi le risque d’atteinte à la sécurité si un compte est compromis. En séparant les comptes privilégiés sur place des abonnements M365, il est possible d’empêcher les incidents de sécurité de se propager d’un environnement à l’autre et de s’assurer qu’un niveau d’autorisation élevé n’est accordé qu’en cas de nécessité.

Service connexe : Microsoft Entra ID

Exigence en matière de licence 

• Sécurité M365 E5 : Microsoft Entra ID P2

Tâches à accomplir 

1. S’assurer que les comptes privilégiés sont distincts, exclusivement natifs en nuage et ne sont liés à aucune boîte aux lettres Exchange, à aucun compte OneDrive ni à aucun compte Teams.
2. Définir deux comptes d’urgence pour l’accès en cas d’urgence, surveiller leurs connexions et activer les alertes.
3. Désigner deux à cinq personnes chargées de l’administration générale pour le ministère ou l’organisme.
4. Régler l’option « Notifier tous les administrateurs quand d’autres administrateurs réinitialisent leur mot de passe » sur « Oui » pour que toutes ces personnes reçoivent des notifications chaque fois que le mot de passe est réinitialisé.
5. Mettre en place un processus de gestion des comptes privilégiés, et le mettre à jour annuellement.
6. Ne pas synchroniser les comptes administratifs privilégiés ou de services sur place à l’aide d’Entra ID.

Instruments de politique applicables du Conseil du Trésor

• Directive sur la gestion de la sécurité - Section B.2.3.2.4 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 1 - Protéger les comptes et les identités des utilisateurs ^{Note de bas de page 4}
• AMOPS 2017-01, Section 6.2.3 Gestion de l’identité, des justificatifs d’identité et de l’accès ^{Note de bas de page 12}
• Ligne directrice sur l’authentification en nuage ^{Note de bas de page 26}

Références supplémentaires

• Guide sur l’authentification des utilisateurs dans les systèmes de technologie de l’information (ITSP.30.031 v3) ^{Note de bas de page 35}
• Guide sur la défense en profondeur pour les services fondés sur l’infonuagique (ITSP.50.104) ^{Note de bas de page 19}
• CIS Microsoft 365 Foundations Benchmark, Sections 1.1.1, 1.1.2, 1.1.3 ^{Note de bas de page 30}
• CIS Microsoft Azure Foundations Benchmark, Sections 1.9, 1.16, 1.25 ^{Note de bas de page 31}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-01, AC-02, AC-02(4), AC-02(7), AC-06, AC-06(2), SI-04, SI-04(5)

Mettre en œuvre des mécanismes de contrôle de l’accès en fonction des rôles (RBAC pour Role-Based Access Control) en appliquant le principe du moindre privilège, en utilisant soit des rôles intégrés, soit des rôles personnalisés adaptés au niveau de privilèges minimal requis pour des fonctions professionnelles spécifiques. Mettre en place des processus robustes de gestion des accès afin de garantir que le groupe utilisateur ne se voit accorder que les accès indispensables à l’exercice de leurs fonctions.

Pourquoi c’est important : pour renforcer la posture de sécurité, prévenir les atteintes à la sécurité des données et limiter les abus d’autorisation, il est essentiel de mettre en œuvre et d’appliquer des politiques d’accès basées sur le principe du privilège minimal et de veiller à ce que seules les autorisations RBAC nécessaires soient accordées au groupe utilisateur, en fonction du rôle spécifique qu’il assume.

Service connexe : Microsoft Entra ID

Exigence en matière de licence 

• Sécurité M365 E5 : Microsoft Entra ID P2

Tâches à accomplir

1. Mettre en œuvre et appliquer les mécanismes du RBAC en respectant le principe du moindre privilège pour l’ensemble des services M365.
2. Limiter l’accès du groupe utilisateur invité et exiger l’autorisation de la personne responsable du secteur opérationnel et de la personne responsable pour la cybersécurité désignée par le ministère pour la création de tout compte du groupe utilisateur invité.
3. Limiter l’accès des membres du groupe utilisateur externe aux services M365 en fonction des besoins opérationnels.
4. Contrôler l’autorisation du partage de données externes par le biais de groupes de sécurité spécifiques.
5. S’assurer qu’il n’existe que des groupes publics approuvés ou gérés par l’organisation.
6. Configurer des « vérifications d’accès » pour le groupe utilisateur invité au moins une fois par mois.
7. Configurer des « vérifications d’accès » pour les comptes privilégiés au moins une fois par mois.
8. Activer la fonctionnalité « Customer Lockbox » afin de limiter la communication de renseignements sensibles du GC au personnel de soutien de Microsoft.
9. Établir et documenter un processus de gestion des droits d’accès.
10. Procéder à des audits annuels des droits de gestion des accès afin de vérifier que les niveaux d’accès sont appropriés et de garantir la conformité.
11. S’assurer que l’accès du groupe utilisateur aux environnements est géré à l’aide de groupes de sécurité dans Power Platform.
12. Veiller à ce que les rôles de sécurité dans Power Platform soient configurés de manière à donner accès à la quantité minimale de données opérationnelles nécessaires aux fonctions du groupe utilisateur.
13. Exiger que toutes les attributions de rôles privilégiés aient une date d’expiration ne dépassant pas un an et éviter les attributions permanentes ou à durée indéterminée.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.2 ^{Note de bas de page 11}
• Exigences de configuration relatives à la gestion des comptes ^{Note de bas de page 32}
• Mesures de protection du nuage du gouvernement du Canada n^o 2 - Gérer l’accès ^{Note de bas de page 4}
• AMOPS 2017-01, Section 6.2.3 - Gestion de l’identité et des justificatifs en matière d’accès ^{Note de bas de page 12}
• Ligne directrice sur l’authentification en nuage ^{Note de bas de page 26}

Références supplémentaires 

• CIS Microsoft 365 Foundations Benchmark, Sections 1.2.1, 1.3.6, 5.1.3.1, 5.3.2, 5.3.3, 7.2.8, 9.1.1, 9.1.2, 9.18 ^{Note de bas de page 25}
• CIS Microsoft Azure Foundations Benchmark, Section 1.22 ^{Note de bas de page 26}
• CIS Microsoft Dynamics 365 Power Platform, Sections 1.1, 2.2 ^{Note de bas de page 31}

Contrôles de sécurité connexes issus des ITSG-33 :

• AC-01, AC-02, AC-02(2), AC-02(7), AC-03, AC-06, AC-06(7)

Un poste de travail administratif dédié (DAW), également appelé poste de travail à accès privilégié (PAW), est un point d’extrémité client configuré pour :

• n’exécuter que des activités administratives et des logiciels autorisés;
• désactiver l’accès à Internet afin d’empêcher l’utilisation de services tels que la messagerie électronique et la navigation sur le Web;
• établir une base de référence pour les hôtes administratifs conforme aux Exigences de configuration de la gestion des points d’extrémité;
• limiter l’accès administratif aux emplacements approuvés et fiables, tels que l’espace d’adresses IP du ministère.

En plus de l’utilisation d’un DAW, au minimum pour les rôles M365 à accès privilégié, des mécanismes d’authentification tels que l’AMF résistante à l’hameçonnage sont appliqués comme couche de protection supplémentaire afin de sécuriser les justificatifs d’identité administratifs.

Pourquoi c’est important : le fait de limiter ces postes de travail aux fonctions essentielles et de désactiver les services non essentiels réduit l’exposition des comptes dotés de privilèges élevés aux cybermenaces. Cette approche ciblée permet de prévenir le piratage des comptes administrateur et de bloquer toute éventuelle élévation des privilèges, ce qui contribue de manière décisive à la protection de la sécurité et de l’information de l’organisation.

Services connexes : Microsoft Entra ID, Microsoft Defender Firewall.

Exigence en matière de licence

• Sécurité M365 E5 : Microsoft Entra ID P2

Tâches à accomplir 

1. Utiliser des DAW pour l’ensemble des tâches administratives.
2. Bloquer tout trafic sur le réseau entrant par défaut, en n’autorisant des exceptions que pour l’optimisation de la distribution (ou des services équivalents) afin de faciliter les mises à jour du système et les services d’AMF.
3. Limiter le trafic sortant aux protocoles essentiels tels que DNS, DHCP et HTTPS.
4. Imposer une AMF résistante à l’hameçonnage lors de l’accès à un DAW.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.2 ^{Note de bas de page 11}
• Exigences de configuration de la gestion des points d’extrémité ^{Note de bas de page 37}
• Exigences de configuration relatives à la gestion du système ^{Note de bas de page 23}

Références supplémentaires 

• Les 10 mesures de sécurité des TI : n^o 3 Gestion et contrôle des privilèges d’administrateur (ITSM.10.094) ^{Note de bas de page 38}

Contrôles de sécurité connexes issus des ITSG-33 

• IA-02(1), AC-06, AC-06(5), CM-07, SC-07, SC-07(5)

L’accès conditionnel est l’outil utilisé par Entra ID pour regrouper les signaux, prendre des décisions et appliquer les politiques organisationnelles. Une stratégie d’accès conditionnel définit les applications ou services à protéger, les conditions dans lesquelles ces applications ou services sont accessibles, ainsi que le groupe utilisateur auquel la politique s’applique. Les stratégies sont appliquées après avoir effectué l’authentification du premier facteur. Par exemple, il convient d’envisager la mise en place de politiques visant à empêcher tout appareil non autorisé d’accéder à des renseignements opérationnels ou personnels sensibles.

Pourquoi c’est important : les stratégies d’accès conditionnel permettent de sécuriser l’identité de tout le groupe utilisateur, empêchant ainsi de manière proactive l’exploitation des comptes compromis. Ces politiques permettent de bloquer efficacement tout accès non autorisé et l’utilisation d’appareils non gérés, protégeant ainsi les ressources sensibles du gouvernement contre les menaces potentielles.

Services connexes : Microsoft Entra ID, Microsoft Intune, Microsoft Defender.

Exigence en matière de licence 

• Sécurité M365 E5 : Microsoft Entra ID P2

Tâches à accomplir 

Paramètres du groupe utilisateur

1. Exiger l’enregistrement à l’AMF Azure à partir d’emplacements fiables ou au moyen d’autres méthodes de vérification d’identité.
2. Bloquer l’accès en cas de comportements de connexion à risque.
3. Configurer la protection par jeton pour les connexions.
4. Restreindre l’accès privilégié des comptes sur place aux portails d’administration Microsoft et à l’API de gestion des services Windows Azure ^{Note de bas de page 39}.

Paramètres de l’appareil 

5. Bloquer le trafic sur le réseau non autorisé et n’autoriser que le trafic provenant exclusivement de plages d’adresses IP approuvées par le GC ou d’une liste de pays préapprouvés, telle que définie par le dirigeant principal ou la dirigeante principale de la sécurité (DPS) du ministère.
6. Appliquer l’authentification à l’aide d’appareils délivrés et gérés par le GC, conformes aux Exigences de configuration de la gestion des points d’extrémité ^{Note de bas de page 37} au moyen des stratégies d’accès conditionnel.
7. Bloquer l’accès non autorisé aux données sensibles et restreindre l’accès aux renseignements sensibles aux seuls appareils délivrés et gérés par le GC.
8. Empêcher toute session persistante dans le navigateur et configurer les paramètres du navigateur de manière à ce que les sessions ne persistent pas après la fermeture.
9. Bloquer les flux d’authentification par code sur les appareils.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.2 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 2 - Gérer l’accès ^{Note de bas de page 4}
• AMOPS 2017-01, Section 6.2.3 - Gestion de l’identité, des justificatifs d’identité et de l’accès ^{Note de bas de page 12}

Références supplémentaires 

• CIS Microsoft 365 Foundations Benchmark, v3.0.0, Sections 5.2.2.3, 5.2.2.4, 5.2.2.6, 5.2.2.7, 5.2.2.8 ^{Note de bas de page 30}
• CIS Microsoft Azure Foundations Benchmark, v2.1.0, Sections 1.2.1, 1.2.2, 1.2.3 ^{Note de bas de page 31}
• Bloquer les flux d’authentification avec une stratégie d’accès conditionnel

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AC-06, AC-12, AC-20(3), IA-05, IA-07, IA-10, SC-07, SC-07(5), SC-23

La gestion de l’identité privilégiée permet un accès juste à temps pour les tâches privilégiées dans une limite de temps définie, adaptée à l’identité et aux rôles du groupe utilisateur. Dans le GC, un rôle privilégié M365 comprend tout rôle par défaut ou personnalisé qui répond à un ou plusieurs des critères suivants :

• rôles d’administration intégrés étiquetés comme « PRIVILÉGIÉS » dans Microsoft Entra ID;
• rôles d’administration SharePoint et Exchange;
• toutes les autorisations de rôle personnalisé conformes aux lignes directrices de la Gestion des comptes privilégiés dans les Exigences de configuration relatives à la gestion des comptes ^{Note de bas de page 32}.

Pourquoi c’est important : l’application du principe d’« aucun accès permanent » fait en sorte qu’il soit nécessaire d’obtenir l’approbation d’une personne autorisée. L’accès est alors limité dans le temps.

Les privilèges administratifs persistants ou permanents permettent aux personnes chargées de l’administration des systèmes d’effectuer des tâches en bénéficiant d’un accès illimité aux données de l’organisation. Si un compte privilégié doté de privilèges administratifs permanents est compromis, les dommages causés aux systèmes concernés peuvent être bien plus importants.

Service connexe : Microsoft Entra ID

Exigence en matière de licence 

• Sécurité M365 E5 : Microsoft Entra ID P2

Tâches à accomplir

1. Gérer les comptes privilégiés à l’aide d’une solution de gestion de l’identité privilégiée afin de garantir le respect du principe du moindre privilège, en adoptant par défaut une stratégie d’accès sans privilège permanent et en évitant les attributions de rôles permanentes.
2. Configurer et accorder l’accès sur la base d’un accès temporaire et limité dans le temps aux ressources ou aux privilèges, en fonction d’exigences spécifiques et uniquement lorsque cela est nécessaire, par le biais d’un processus documenté de gestion des accès privilégiés.
3. Exiger une justification documentée du secteur opérationnel pour l’accès à un rôle privilégié pendant une période d’activation fixe, nécessitant une réauthentification pour réactiver l’accès au rôle.
4. Informer les personnes chargées de la vérification désignées par les responsables des secteurs opérationnels lors de l’attribution et de l’activation du rôle.
5. Revoir les privilèges lorsqu’une personne est transférée dans une autre unité opérationnelle ou section interne.
6. Révoquer les privilèges lorsqu’une personne quitte l’organisation.
7. Veiller à ce que toutes les actions soient consignées et vérifiées et qu’elles fassent l’objet d’un examen périodique par une personne autorisée à l’approuver^{Note de bas de page 1}.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.2 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 2 - Gérer l’accès ^{Note de bas de page 4}

Références supplémentaires 

• Les 10 mesures de sécurité des TI visant à protéger les réseaux Internet et l’information (ITSM.10.089) - Mesure 3 ^{Note de bas de page 40}
• CIS Microsoft 365 Foundations Benchmark, Section 5.3.1 ^{Note de bas de page 30}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-02, AC-02(2), AC-06, AC-06(5), AU-06, AU-12, IA-11, PS-04, PS-05

Les mots de passe restent le mécanisme d’authentification le plus répandu. Ils permettent de contrôler les accès et contribuent ainsi à garantir la sécurité des réseaux et la protection de l’information. Les mots de passe faibles ou compromis constituent l’une des principales causes de violations. Utiliser les paramètres de politique de mot de passe d’Entra ID pour configurer la complexité du mot de passe, le verrouillage du mot de passe et les politiques de mot de passe par défaut.

Pourquoi c’est important : l’harmonisation des politiques relatives aux mots de passe avec la Ligne directrice du gouvernement du Canada sur la sécurité des mots de passe ^{Note de bas de page 24} du GC augmente la résilience contre les attaques par mot de passe, telles que les attaques par force brute, et incite le groupe utilisateur à avoir en tout temps de bonnes habitudes en matière de mot de passe.

Service connexe : Microsoft Entra ID

Exigence en matière de licence 

• Sécurité M365 E5 : Microsoft Entra ID P2

Tâches à accomplir 

1. Configurer les stratégies sur les mots de passe conformément à la Ligne directrice du GC sur la sécurité des mots de passe ^{Note de bas de page 24}.
2. Désactiver la fonctionnalité de réinitialisation de mot de passe en libre-service pour tout le groupe utilisateur (et les comptes privilégiés).

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.1 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 2 - Gérer l’accès ^{Note de bas de page 4}
• Ligne directrice sur l’authentification en nuage ^{Note de bas de page 26}
• Gouvernement du Canada - Ligne directrice sur la sécurité des mots de passe du GC ^{Note de bas de page 24}

Référence supplémentaire 

• Norme sur la gestion du contrôle d’accès logique de SPC ^{Note de bas de page 41}

Contrôles de sécurité connexes issus des ITSG-33 

• IA-05, IA-05(1)

La Directive sur la gestion de la sécurité - Annexe J : Norme sur la catégorisation de sécurité ^{Note de bas de page 42} fournit de l’information détaillée sur les types de catégories de sécurité qui doivent être appliqués aux différents types de biens, de renseignements ou de services, notamment l’importance de s’assurer que les documents sont traités selon la cote de sécurité indiquée.

Pourquoi c’est important : la catégorisation et l’étiquetage de sécurité des documents, des courriels et des autres données en fonction du niveau de préjudice qui pourrait survenir s’ils étaient compromis sont essentiels pour gérer les renseignements sensibles et protégés. En établissant des pratiques exemplaires pour le partage de données et la collaboration, les ministères et organismes peuvent mettre en œuvre des politiques sur le numérique appropriées afin d’améliorer la protection et la surveillance de l’information numérique du GC.

Service connexe : Microsoft Purview

Exigences en matière de licence 

• Sécurité M365 E5 : Microsoft Defender pour XDR.
• Conformité M365 : Protection de l’information Microsoft Purview, Microsoft Defender pour les applications en nuage.

Tâches à accomplir 

1. Demander conseil aux responsables de l’accès à l’information et de la protection des renseignements personnels (AIPRP) avant de stocker des renseignements personnels dans des environnements infonuagiques.
2. Configurer des stratégies de classification des données afin de protéger les documents et les courriels.
3. Activer le paramètre « Autoriser les utilisateurs à appliquer des étiquettes de confidentialité pour le contenu ».
4. Exiger une justification pour abaisser le niveau de classification.
5. Appliquer un marquage visuel sur les documents ou les courriels, en utilisant des en-têtes, des pieds de page ou des filigranes, selon le cas.

Instruments de politique applicables du Conseil du Trésor 

• Annexe E de la Directive sur la gestion de la sécurité : Procédures obligatoires relatives aux mesures de sécurité de la gestion de l’information - Section E.2.2.2.1 ^{Note de bas de page 43}
• Annexe J de la Directive sur la gestion de la sécurité : Norme sur la catégorisation de sécurité ^{Note de bas de page 42}

Références supplémentaires 

• Politique sur la sécurité des documents confidentiels du Cabinet ^{Note de bas de page 44}
• CIS Microsoft 365 Foundations Benchmark, Section 9.1.6 ^{Note de bas de page 30}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AC-16, MP-03

Les dirigeantes ou les dirigeants principaux de l’information (DPI) des ministères sont chargés de vérifier l’emplacement des services infonuagiques, conformément à la section 4.3.2.4 de la Directive sur les services et le numérique ^{Note de bas de page 14} pour les données au repos. L’exigence relative à la résidence ne s’applique pas aux données en transit.

Pourquoi c’est important : selon la Ligne directrice sur les services et le numérique ^{Note de bas de page 45}, la résidence des données est importante parce qu’elle peut avoir une incidence sur la confiance du public canadien dans les décisions du gouvernement. Le public peut considérer comme risqué le stockage de ses données sensibles à l’extérieur des frontières du Canada. Il existe un besoin croissant de s’assurer que les données sont protégées et conformes aux exigences relatives à la résidence, à la protection de la vie privée et à la sécurité.

Service connexe : le centre d’administration M365 permet aux personnes chargées de l’administration des systèmes de définir l’emplacement des données de leur locataire.

Exigence en matière de licence 

• Conformité M365 : audit

Tâches à accomplir 

1. Veiller à ce que l’emplacement physique du stockage des données soit vérifié pour les services M365 existants et nouveaux avant toute activation, conformément à la section 4.3.2.4 de la Directive sur les services et le numérique ^{Note de bas de page 14}.
2. Effectuer une évaluation des risques pour toutes les données traitées par des services M365 non canadiens, y compris une évaluation de la sensibilité des données ainsi que des risques juridiques et liés à la protection de la vie privée et à la sécurité, et obtenir l’approbation des autorités ministérielles compétentes avant de recourir au service. Utiliser les rapports d’évaluation de la sécurité des technologies de l’information s’appliquant aux fournisseurs de services infonuagiques (FSI) du CCC pour M365 afin d’orienter l’évaluation de la posture de sécurité et des risques résiduels du service infonuagique.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur les services et le numérique - Section 4.3.2.4
• Mesures de protection du nuage du gouvernement du Canada n^o 5 - Emplacement des données ^{Note de bas de page 4}
• Directive sur les services et le numérique, Section 4.4 ^{Note de bas de page 45}

Référence supplémentaire

• M365 – Rapport sommaire de l’évaluation de sécurité du CCC ^{Note de bas de page 1} (en anglais)

Contrôles de sécurité connexes issus des ITSG-33 

• CA-06, RA-03

Suivre les recommandations du CCC pour les algorithmes cryptographiques et la configuration des protocoles cryptographiques, afin de protéger la confidentialité et l’intégrité des données en transit et au repos. Utiliser des systèmes centralisés de gestion des clés pour garantir l’intégrité et la disponibilité des clés cryptographiques.

Pourquoi c’est important : le chiffrement est une mesure de contrôle essentielle pour assurer en tout temps la confidentialité et l’intégrité des données protégées. Les données protégées qui sont transmises ou stockées sans mécanismes de chiffrement approuvés peuvent être exposées à des risques de falsification ou de communication à des parties non autorisées.

Services connexes : Microsoft Purview, Microsoft Intune.

Exigences en matière de licence 

• Conformité M365 E5 : Protection de l’information Microsoft Purview, Chiffrement de messages Microsoft Purview, Clé client Microsoft Purview et Microsoft Defender pour les applications en nuage.

Tâches à accomplir 

1. Chiffrer les courriels classés « Protégé B » à l’aide de l’ICP Entrust (maCLÉ) ou, à défaut, d’une autre solution approuvée par le GC.
2. Chiffrer les données stockées sur les appareils contenant des renseignements sensibles.
3. Veiller à ce que toutes les données en transit soient chiffrées par défaut, en utilisant au minimum la version 1.3 du protocole TLS. Autoriser l’utilisation de la version 1.2 du protocole TLS lorsque cela est nécessaire pour des raisons de compatibilité, de conformité aux audits internes ou de surveillance des menaces.
4. Suivre les recommandations du CCC concernant les algorithmes cryptographiques (ITSP.40.111) et la configuration des protocoles cryptographiques (ITSP.40.062).
5. Si Microsoft Purview est configuré pour les outils eDiscovery, les titulaires de comptes dotés du rôle de déchiffrement RMS (rights management server) peuvent consulter des fichiers chiffrés uniquement si ceux-ci sont chiffrés à l’aide de la protection des informations de Microsoft Purview. Avant d’activer cette fonctionnalité, les ministères devraient effectuer une évaluation de sécurité. Tout risque résiduel doit être documenté et approuvé par l’autorité compétente^{Note de bas de page 2}.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.6.3 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 6 - Protection des données inactives ^{Note de bas de page 4}
• Mesures de protection du nuage du gouvernement du Canada n^o 7 - Protection des données en transit ^{Note de bas de page 4}

Références supplémentaires 

• Algorithmes cryptographiques pour l’information NON CLASSIFIÉ, PROTÉGÉ A et PROTÉGÉ B (ITSP.40.111) ^{Note de bas de page 28}
• Conseils sur la configuration sécurisée des protocoles réseau (ITSP.40.062) ^{Note de bas de page 29}
• Guide sur la défense en profondeur pour les services fondés sur l’infonuagique (ITSP.50.104), sous-section 4.5 ^{Note de bas de page 19}
• Guide sur le chiffrement des services infonuagiques (ITSP.50.106) ^{Note de bas de page 46}

Contrôles de sécurité connexes issus des ITSG-33 

• CA-06, IA-07, SC-08, SC-08(1), SC-13, SC-28, SC-28(1), RA-03

Mettre en œuvre des politiques de prévention de la perte de données (PPD) afin de garantir que les courriels et les fichiers sont classés par catégorie, examinés et surveillés. Bloquer les activités suspectes et les flux de renseignements provenant de canaux non autorisés.

Pourquoi c’est important : des solutions de PPD efficaces constituent un rempart supplémentaire contre le piratage de données, qu’elles soient intentionnelles ou accidentelles. Les services de PPD peuvent aider à détecter et à bloquer les atteintes à la sécurité des données et les fuites de données, et à prendre les mesures qui s’imposent.

Service connexe : Microsoft Purview

Exigences en matière de licence 

• Sécurité M365 E5 : Microsoft Defender pour XDR.
• Conformité M365 E5 : Prévention de la perte de données Microsoft et Microsoft Defender pour les applications en nuage.

Tâches à accomplir 

1. Activer les stratégies de DLP pour les services M365 tels que Teams, Exchange, SharePoint et OneDrive.
2. Utiliser la DLP pour surveiller et bloquer les flux d’informations non autorisés.
3. Activer les stratégies de DLP au niveau des services pour analyser le contenu d’Exchange Online et de SharePoint Online et détecter certains types de renseignements sensibles, tels que les numéros d’assurance sociale (NAS), les numéros de carte de crédit ou les mots de passe.
4. Contrôler le partage de documents par domaine à l’aide d’une liste d’autorisation.
5. Interdire aux personnes de l’extérieur qui utilisent les services de partager des fichiers dont elles ne sont pas propriétaires.
6. Définir des délais d’expiration pour les liens de partage externes.
7. Optimiser l’utilisation des fonctionnalités de la DLP automatisées avec les fonctionnalités de sécurité M365 disponibles sous la licence standard E5 du GC.
8. S’assurer que les stratégies de la DLP sont activées et configurées pour restreindre l’utilisation des connecteurs dans Power Platform.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.7.1 ^{Note de bas de page 11}
• Annexe E de la Directive sur la gestion de la sécurité : Procédures obligatoires relatives aux mesures de sécurité de la gestion de l’information ^{Note de bas de page 43}
• Mesures de protection du nuage du gouvernement du Canada n^o 9 - Services de sécurité des réseaux ^{Note de bas de page 4}

Références supplémentaires 

• CIS Microsoft 365 Foundations Benchmark, Sections 3.2.1, 3.2.2 ^{Note de bas de page 30}
• CIS Microsoft Dynamics 365 Power Platform, v1.0.0, Sections 2.4, 3.4 ^{Note de bas de page 36}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AC-04

Mettre en œuvre des stratégies de conservation des données afin de s’assurer que l’information est conservée pendant la durée requise par les lois, les politiques ou les besoins opérationnels. Supprimer ou archiver automatiquement les données lorsqu’elles ne sont plus nécessaires afin de réduire les risques et de soutenir la conformité aux exigences de sécurité et de protection des renseignements personnels du GC.

Pourquoi c’est important : des pratiques de conservation efficaces des données contribuent à réduire le risque d’accès non autorisé à des informations obsolètes ou inutiles. Elles facilitent le respect des lois et des politiques, limitent l’exposition aux risques d’atteinte à la sécurité des données et garantissent que les données sensibles ne sont conservées que pour la durée nécessaire.

Services connexes : Microsoft Purview, Microsoft Teams, Microsoft SharePoint et OneDrive

Exigence en matière de licence 

• Conformité M365 E5

Tâches à accomplir 

1. Mettre en œuvre des stratégies de conservation des données afin d’empêcher la suppression des journaux, selon la section 1.5.2 du Guide sur la consignation d’événements ^{Note de bas de page 47}, le profil de risque ministériel et les besoins opérationnels.
2. Configurer des stratégies de conservation Microsoft Purview afin de conserver ou de supprimer les courriels, les fichiers et les messages de clavardage conformément aux exigences de sécurité et de gestion de l’information du ministère.
3. Examiner régulièrement les stratégies de conservation afin de s’assurer qu’elles demeurent alignées sur les besoins opérationnels, les obligations de conformité et les risques de sécurité.
4. S’assurer que les opérations d’élimination sont consignées et vérifiables, et limiter leur exécution aux rôles autorisés.
5. Veiller à ce que les périodes de conservation des données soient officiellement établies, documentées et approuvées selon les exigences législatives, opérationnelles et des politiques.

Instrument de politique applicable du Conseil du Trésor 

• Directive sur les services et le numérique, Annexe J : Norme sur les systèmes qui gèrent l’information et les données - Section J.2.2.2 ^{Note de bas de page 63}

Références supplémentaires

• Guide sur la consignation d’événements - Section 1.5.2 : Conservation et préservation des journaux ^{Note de bas de page 47}
• Orientation à l’intention des employés fédéraux : rudiments de la gestion de l’information ^{Note de bas de page 48}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AU-09, AU-11, AU-12, SI-12

Utilisez Exchange Online Protection (EOP) pour protéger les points d’extrémité ministériels et le groupe utilisateur contre l’hameçonnage et les autres attaques par logiciels malveillants liées aux courriels.

Pourquoi c’est important : un nombre considérable d’atteintes à la sécurité des données et de cyberévénements commence par des attaques par hameçonnage, qui constituent l’un des principaux moyens utilisés pour infecter les appareils du GC à l’aide de logiciels malveillants. Le renforcement des configurations d’Exchange Online pour détecter et prévenir l’hameçonnage peut réduire la fréquence des attaques par logiciels malveillants.

Services connexes : Exchange Online Protection (EOP), Microsoft 365 Defender

Exigence en matière de licence 

• Sécurité M365 E5 : Microsoft Defender pour Office 365 Plan 2.

Tâches à accomplir 

1. Autoriser l’envoi à partir d’adresses IP dans le Sender Policy Framework (SPF), activer le DomainKeys Identified Mail (DKIM) pour tous les courriels sortants et veiller à ce que tous les messages sortants soient signés.
2. Mettre en place une stratégie DMARC (Domain-based Message Authentication, Reporting and Conformance) minimale de « p=aucun » et publier les enregistrements DMARC pour tous les domaines, en ajoutant le CCC comme destinataire des rapports agrégés à l’adresse dmarc@cyber.gc.ca, conformément aux Exigences en matière de configuration pour les services de gestion des courriels ^{Note de bas de page 49}.
3. Restreindre le « partage externe » des calendriers afin d’empêcher l’accès par des personnes à l’extérieur du GC, en n’autorisant des exceptions que pour les domaines figurant sur la liste ministérielle (accessible seulement depuis le réseau interne du gouvernement du Canada) approuvée par le GC et pour les cas d’utilisation documentés et approuvés par le ministère.
4. Configurer le filtrage des connexions pour gérer le trafic de courriel. Ne pas ajouter d’adresses IP autorisées dans la stratégie de filtrage des connexions.
5. Définir des stratégies d’Exchange Online Protection (EOP) afin de détecter les pourriels, de signaler les activités d’envoi suspectes et de configurer des alertes à l’intention des personnes chargées de l’administration des systèmes.
6. Activer le filtre de types de pièces jointes courants pour la protection contre les logiciels malveillants.
7. Créer et appliquer une stratégie de lutte contre l’hameçonnage.
8. Créer des stratégies de purge automatique du jour zéro pour les pourriels et les messages d’hameçonnage.
9. S’assurer qu’aucun domaine d’expédition n’est autorisé pour les stratégies antipourriels.
10. Définir les mesures à prendre en cas de détection de pourriels en masse.
11. Définir les mesures à prendre en cas de détection de pourriels.
12. Créer des stratégies de Liens fiables pour les messages électroniques.
13. Activer les pièces jointes sécurisées en mode bloc.
14. Définir le seuil du niveau d’hameçonnage sur 2 ou plus.
15. Activer la protection contre l’usurpation d’identité.
16. S’assurer d’activer la veille des boîtes aux lettres, y compris la protection contre l’usurpation d’identité basée sur la veille des boîtes aux lettres.
17. Déplacer les messages détectés comme étant issus d’une usurpation d’identité au moyen de la veille des boîtes aux lettres vers la quarantaine.
18. Mettre en quarantaine les messages détectés provenant de domaines usurpés.
19. Ne pas définir le niveau de Spam Confidence Level (SCL) à -1 dans les règles de flux de messagerie.
20. Veiller à ce que les règles de flux de messagerie bloquent le transfert automatique des courriels vers des domaines externes^{Note de bas de page 3}.
21. Activer les notifications à l’intention du groupe utilisateur interne qui envoie des logiciels malveillants.
22. Afficher une mise en garde afin de signaler au groupe utilisateur les courriels reçus d’expéditeurs ou d’expéditrices externes^{Note de bas de page 4}.
23. Activer MailTips pour informer le groupe utilisateur final des problèmes potentiels liés aux courriels.
24. Activer la mesure de précaution relative à l’usurpation d’identité.
25. Activer la mesure de précaution relative à l’usurpation du nom du domaine.
26. Désactiver tous les services non utilisés pour les boîtes aux lettres individuelles.
27. Restreindre l’installation de compléments Outlook et limiter l’accès à des fournisseurs de stockage supplémentaires dans Outlook sur le Web.
28. Mettre en place un processus de gestion des boîtes aux lettres archivées ou inactives.
29. Définir le nombre maximal de destinataires internes auxquels le groupe utilisateur peut envoyer des messages en une heure.
30. Bloquer le groupe utilisateur ayant atteint la limite de messages.
31. Définir le nombre maximal de destinataires externes auxquels le groupe utilisateur peut envoyer des messages par heure.
32. Conserver les pourriels en quarantaine pendant 30 jours.
33. S’assurer que les stratégies antipourriels d’Exchange Online sont configurées pour avertir les personnes chargées de l’administration de la surveillance des courriels et de la réponse aux menaces.
34. Limiter l’utilisation de l’envoi direct.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.3.3 ^{Note de bas de page 11}
• Exigences en matière de configuration pour les services de gestion des courriels ^{Note de bas de page 49}

Références supplémentaires 

• Liste des domaines ministériels du GC (accessible seulement depuis le réseau interne du gouvernement du Canada) approuvée par le Comité d’examen de l’architecture intégrée du GC (CEAI GC) ^{Note de bas de page 50}
• CIS Microsoft 365 Foundations Benchmark, Sections 2.1.1 à 2.10, 6.5.1 ^{Note de bas de page 30}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AC-04, CA-03a, CA-03b, CM-07, SC-13, SI-03, SI-04, SI-08

Microsoft Teams doit être configuré pour permettre une collaboration sécurisée et empêcher l’accès non autorisé aux données et à l’information sensible du GC.

Pourquoi c’est important : les outils de collaboration peuvent facilement être utilisés pour transférer des fichiers et des renseignements protégés à des tiers. Ces outils doivent être configurés de manière à bloquer les flux de données non autorisés et à garantir que le partage ne se fasse qu’avec les personnes autorisées.

Service connexe : Microsoft Teams

Exigences en matière de licence 

• Conformité M365 E5 : Protection de l’information Microsoft Purview, Conformité des communications Microsoft Purview.

Tâches à accomplir 

1. Veiller à ce que le groupe utilisateur comprenne la catégorisation du site Teams (par exemple, un site Teams peut être approuvé uniquement pour des informations non classifiées, tandis qu’un autre peut être approuvé pour des informations « Protégé B »).
2. Veiller à ce que le groupe utilisateur comprenne ses responsabilités en matière de gestion de l’information, notamment en ce qui concerne la sauvegarde des décisions prises dans le dépôt ministériel de gestion de l’information.
3. Les propriétaires de sites Teams sont responsables de la gestion de leurs groupes M365, y compris des contrôles d’accès sécurisés permettant l’accès à ces groupes.
4. Examiner les applications Microsoft, tierces et de locataire que l’organisation autorisera à utiliser dans Teams.
5. Désactiver l’accès externe, sauf si la collaboration avec des personnes externes s’avère nécessaire. Au besoin, configurer l’accès uniquement aux domaines approuvés par le CEAI GC, conformément à la liste ministérielle (accessible seulement depuis le réseau interne du gouvernement du Canada) approuvée par le GC ou aux exigences opérationnelles approuvées du ministère.
6. Autoriser les messages Teams uniquement vers les domaines approuvés par le CEAI GC ou vers ceux répondant aux exigences opérationnelles du ministère.
7. Désactiver l’accès « Invité », sauf si l’organisation en a besoin. Limiter le nombre de personnes invitées dans l’environnement, en veillant à la conformité avec la politique et les procédures d’accès des personnes invitées définies dans la mesure de protection du nuage du gouvernement du Canada n^o 2 ^{Note de bas de page 4}.
8. Restreindre les autorisations accordées aux personnes invitées en limitant le partage de fichiers et en empêchant les personnes invitées d’inviter d’autres personnes.
9. Désactiver les services de partage de fichiers s’ils n’ont pas été approuvés pour une utilisation dans l’organisation.
10. Activer Microsoft Defender pour Office 365 et Safe Documents pour Teams.
11. Veiller à ce que le groupe utilisateur anonyme ne soit pas autorisé à accéder directement aux réunions; il doit attendre dans la salle d’attente.
12. Personnaliser et afficher la déclaration sur la protection des renseignements personnels dans la fenêtre de connexion à la réunion.
13. Empêcher le groupe utilisateur anonyme et les personnes qui se connectent par téléphone de démarrer les réunions.
14. Veiller à ce que le groupe utilisateur qui se connecte par téléphone passe par la salle d’attente virtuelle.
15. Restreindre les clavardages dans les réunions afin d’exclure les personnes participantes anonymes.
16. Activer le chiffrement de bout en bout en tant que fonctionnalité disponible dans Teams, en permettant au groupe utilisateur de l’activer si nécessaire.
17. Fournir des mécanismes permettant au groupe utilisateur de signaler ses préoccupations liées à la sécurité dans Teams.
18. Paramétrer « DisallowInfectedFileDownload » sur « true » pour empêcher le téléchargement de fichiers infectés.
19. Désactiver l’option permettant aux personnes au sein de l’organisation de communiquer avec le groupe utilisateur de Teams dont les comptes ne sont pas gérés par une organisation.
20. Activer la protection des liens sécurisés pour les adresses URL (localisateurs de ressources uniformes) partagés dans Microsoft Teams.
21. Fournir une formation au groupe utilisateur sur les pratiques exemplaires relatives à la visioconférence, par exemple :
    1. veiller à ce que seules les conversations non classifiées aient lieu lorsqu’une personne se connecte à un appel ou à une réunion Teams;
    2. assurer le respect des règlements sur la sensibilité de l’information et la protection des renseignements personnels lors des appels audio et vidéo;
    3. utiliser des méthodes sécurisées pour l’enregistrement des réunions et le stockage des enregistrements dans un emplacement sécurisé, à accès contrôlé;
    4. utiliser des ID de réunion uniques pour chaque séance afin d’empêcher tout accès non autorisé.
22. Effectuer des examens de la liste des domaines explicitement autorisés pour le partage externe au moins une fois par trimestre.

Instrument de politique applicable du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.3.3 ^{Note de bas de page 11}

Références supplémentaires 

• Facteurs à prendre en considération pour permettre la collaboration dans Microsoft Teams (accessible seulement depuis le réseau interne du gouvernement du Canada)^{Note de bas de page 51} (en anglais)
• Liste des domaines ministériels du GC (accessible seulement depuis le réseau interne du gouvernement du Canada) approuvée par le CEAI GC ^{Note de bas de page 50}
• SPC - Collaboration entre locataires – Facteurs à prendre en considération pour les partenaires du GC qui adoptent M365 (accessible seulement depuis le réseau interne du gouvernement du Canada)^{Note de bas de page 52}
• CIS Microsoft 365 Foundations Benchmark, Sections 7.2.1, 7.2.3, 7.2.5, 7.2.7, 7.2.9, 7.3.3, 8.5.1, 8.5.3, 8.5.5, 8.6.1 ^{Note de bas de page 30}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-02, AC-03, AC-04, AC-06, AT-02, CA-03a, CM-07, SC-13, SI-03, SI-04

Les salles Microsoft Teams (SMT) constituent un ensemble de solutions de visioconférence proposées par différents fournisseurs et certifiées par Microsoft. Les SMT permettent de transformer les espaces de réunion en une expérience Teams riche et axée sur la collaboration, où les réunions peuvent être lancées en un seul clic, projetées instantanément sur l’écran de la salle et partagées avec des personnes participant à distance. Les appareils de SMT présentent un profil de sécurité différent de celui d’un point d’extrémité client classique et sont donc considérés comme des appareils dédiés, auxquels s’appliquent des mesures de renforcement et de sécurité adaptées.

Pourquoi c’est important : les outils de téléconférence modernes, intégrés de manière sécurisée aux espaces de travail et aux outils numériques, facilitent et permettent la collaboration entre les membres du groupe utilisateur au sein d’un ministère ainsi qu’avec des personnes d’autres ministères à l’échelle du GC. La sécurisation des SMT permet d’empêcher tout accès non autorisé et toute écoute clandestine, préservant ainsi l’intégrité et la confidentialité des communications gouvernementales.

Service connexe : Microsoft Teams

Exigence en matière de licence 

• Licence Teams Rooms Pro

Tâches à accomplir 

1. Limiter le stockage des données des membres du groupe utilisateur final sur les SMT aux seules données consignées dans les fichiers journaux à des fins de dépannage et de soutien.
2. S’assurer qu’aucune donnée des membres du groupe utilisateur final ne soit transférée vers l’appareil des SMT ni accessible par celui-ci.
3. Remplacer les mots de passe par défaut des appareils des SMT par un mot de passe unique conforme à la Ligne directrice du gouvernement du Canada sur la sécurité des mots de passe ^{Note de bas de page 24}, ou configurer la solution de gestion des mots de passe des comptes administrateur local (LAPS), lorsqu’elle est disponible.
4. Veiller à ce que les appareils des SMT soient placés dans une zone réseau sécurisée afin de réduire les possibilités de vecteurs d’attaque.
5. Restreindre l’accès aux SMT uniquement aux adresses IP et URL approuvées (par exemple, Windows Update, Microsoft Intune) afin de prendre en charge la gestion de l’appareil dédié, tout en bloquant tout autre trafic sur le réseau.
6. Utiliser des licences Teams Rooms Pro et inscrire les salles Teams dans Defender pour les points d’extrémité.
7. Évaluer les risques liés à la sécurité physique, y compris le vol ou la falsification des appareils des SMT dans des lieux non sécurisés, avant le déploiement.
8. Mettre à jour le micrologiciel des appareils des SMT en utilisant le mécanisme de mise à jour précisé par le fournisseur afin de tenir les appareils à jour.
9. Mettre en place des procédures opérationnelles comportant des rôles et responsabilités clairement définis pour le fonctionnement et l’entretien des SMT, notamment l’application des rustines de sécurité et la surveillance.
10. Effectuer une évaluation de la sécurité, dont l’évaluation des risques liés à la sécurité physique, tels que le vol ou la falsification des appareils des SMT dans des environnements non sécurisés, et obtenir une autorisation d’exploitation avant le déploiement.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Sections B.2.3.3, B.2.3.7.3, B.2.3.7.1, B.2.6, B.2.7.4, C.2.3.3.2 ^{Note de bas de page 11}
• Gouvernement du Canada - Ligne directrice sur la sécurité des mots de passe ^{Note de bas de page 24}

Références supplémentaires 

• Exigences de base en matière de sécurité pour les zones de sécurité de réseau (ITSP.80.022) ^{Note de bas de page 53}
• Considérations de conception relatives au positionnement des services dans les zones (ITSG-38) ^{Note de bas de page 54}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AC-04, CA-02, CA-06, RA-03, SC-07, SC-07(5), SI-02, SI-04, SI-12, IA-05, IA-05(1)

Microsoft OneDrive et SharePoint doivent être configurés de manière à empêcher l’accès non autorisé aux données protégées du GC, la perte de données et le partage non autorisé de fichiers avec des tiers.

Pourquoi c’est important : les dépôts de données et les outils de collaboration peuvent facilement être utilisés pour transférer des fichiers et des renseignements protégés à des personnes non autorisées. Ces outils doivent être configurés de manière à bloquer les flux de données non approuvés et assurer le partage uniquement avec les personnes autorisées.

Services connexes : SharePoint et OneDrive

Exigences en matière de licence

• Sécurité M365 E5 : Microsoft Defender pour Office 365 Plan 2, Safe Documents et Application Guard pour Office 365.
• Conformité M365 E5 : Protection des données Microsoft Purview

Tâches à accomplir 

1. Activer Defender pour Office 365 pour SharePoint.
2. Activer la fonctionnalité Pièces jointes sécurisées (Safe Attachments) pour SharePoint et OneDrive.
3. Configurer la protection contre les logiciels malveillants dans le locataire.
4. Empêcher le téléchargement de fichiers infectés à partir de M365 SharePoint.
5. Bloquer la synchronisation OneDrive à partir d’appareils non gérés.
6. Limiter le partage externe dans OneDrive au groupe utilisateur de l’organisation. Contrôler le partage externe dans SharePoint en le limitant aux personnes invitées existantes ou aux membres de l’équipe de collaboration externes préautorisés.
7. Empêcher les personnes invitées dans SharePoint de partager à nouveau du contenu qui ne leur appartient pas.
8. Gérer le partage externe dans SharePoint au moyen de listes d’autorisation de domaines.
9. Paramétrer l’expiration automatique de l’accès des personnes invitées aux sites ou à OneDrive.
10. S’assurer que la fonctionnalité Liens fiables de Microsoft Defender pour Office 365 est activée pour les applications Office.
11. Désactiver les macros lorsqu’elles ne sont pas utilisées.
12. Configurer l’analyse de l’exécution des macros.
13. Désactiver les macros à moins qu’elles ne se trouvent dans des fichiers fiables (signature ou emplacement).
14. Bloquer les macros provenant d’Internet.
15. S’assurer que les applications intégrées par des tiers ne sont pas autorisées.
16. Définir le partage de liens par défaut en mode lecture seule.
17. Activer la fonctionnalité de protection Liens fiables pour les URL partagées dans OneDrive et SharePoint.
18. Déconnecter les personnes qui n’utilisent plus SharePoint Online.
19. Offrir une formation sur l’utilisation sécurisée de OneDrive et de SharePoint qui traite du partage de fichiers, de la gestion des autorisations, des paramètres d’accès, des risques liés au partage de liens et de la restauration ou du retour à une version précédente de fichiers.

Instrument de politique applicable du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.3.3 ^{Note de bas de page 11}

Référence supplémentaire 

• CIS Microsoft 365 Foundations Benchmark, Sections 7.2.1, 7.2.3, 7.2.5, 7.2.7, 7.2.9, 7.3.3, 8.5.1, 8.5.3, 8.5.5, 8.6.1 ^{Note de bas de page 30}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-02, AC-03, AC-04, AC-06, AC-12, AC-20(3), AT-02, CM-07, SI-03, SI-04

Les obstacles à l’information doivent être évalués et mis en œuvre, au besoin, afin d’empêcher la communication et la collaboration entre des personnes ou des groupes, conformément aux exigences opérationnelles et légales.

Pourquoi c’est important : certains ministères ou titulaires de rôles ne doivent ni communiquer ni partager des informations en raison d’obligations légales, de protection de la vie privée ou de conformité. Par exemple, les politiques en matière d’obstacles à l’information peuvent être utilisées pour empêcher la communication entre des groupes de membres du personnel spécifiques pendant le processus d’approvisionnement. En l’absence de restrictions, des informations sensibles ou protégées peuvent être communiquées de façon inappropriée, ce qui augmenterait le risque de poursuites judiciaires ou de non‑conformité.

Services connexes : Microsoft Teams, SharePoint, Exchange Online

Exigence en matière de licence

• Conformité M365 E5 : Obstacles à l’information dans Microsoft Purview

Tâches à accomplir 

1. Évaluer la mise en œuvre des stratégies en matière d’obstacles à l’information, au besoin, afin de restreindre la communication entre des personnes ou des groupes spécifiques pour répondre aux exigences opérationnelles.

Instruments de politique applicables du Conseil du Trésor :

• Directive sur la gestion de la sécurité — section B.2.3.2.2 ^{Note de bas de page 8}

Références supplémentaires :

• Aucune

Contrôles de sécurité connexes issus des ITSG-33 :

• AC-03, AC-04, CA-03c

Les points d’extrémité connectés à M365 doivent être renforcés conformément aux Exigences de configuration de la gestion des points d’extrémité ^{Note de bas de page 37} du GC et être gérés de manière centralisée.

Pourquoi c’est important : les points d’extrémité sont l’une des cibles les plus courantes des personnes malveillantes, et les points d’extrémité compromis peuvent avoir une incidence importante sur la confidentialité et l’intégrité des données du GC. Le renforcement des points d’extrémité empêche les attaques et permet aux équipes de sécurité de détecter les incidents et d’y répondre plus efficacement.

Services connexes : Microsoft Defender pour les points d’extrémité, Microsoft Intune

Exigences en matière de licence

• Sécurité M365 E5 : Microsoft Defender pour Endpoint Plan 2, Microsoft Defender pour les applications en nuage et Microsoft Defender pour XDR.
• Conformité M365 E5 : Microsoft Defender pour les applications en nuage, fonctionnalité de DLP de Microsoft Endpoint

Tâches à accomplir 

1. Empêcher tout appareil non autorisé d’accéder à des renseignements opérationnels ou personnels sensibles.
2. Utiliser des points d’extrémité émis et gérés par le GC et s’assurer que l’appareil est conforme aux Exigences de configuration de la gestion des points d’extrémité ^{Note de bas de page 37}.
3. Activer la fonctionnalité de chiffrement BitLocker sur tous les lecteurs de disque (lecteur de disque dur, disque à circuits intégrés [SSD] et clé USB) et s’assurer qu’elle est active.
4. Activer le pare-feu de Microsoft Defender.
5. Sécuriser les profils privés, publics et de domaine en activant le pare-feu de Windows Defender.
6. S’assurer que Microsoft Defender pour les applications en nuage est activé et configuré correctement.
7. Activer Microsoft Defender Antivirus et s’assurer qu’il est à jour.
8. Activer la protection en temps réel de Microsoft Defender Antivirus pour Linux.
9. Activer la protection fournie par le biais du nuage (Cloud-Delivery Protection) de Microsoft Defender Antivirus pour Linux.
10. Activer Microsoft Defender pour le capteur du point d’extrémité et s’assurer qu’il collecte correctement les données.
11. Résoudre les problèmes de communication de Microsoft Defender pour les points d’extrémité.
12. Activer la protection anti-sabotage (Tamper Protection).
13. Mettre à jour les définitions de Microsoft Defender Antivirus.
14. Mettre à jour les définitions de Microsoft Defender Antivirus pour Linux.
15. Mettre à jour les composants de base de Microsoft Defender pour les points d’extrémité.
16. Résoudre les problèmes de connectivité du service infonuagique de Microsoft Defender Antivirus.
17. Activer la protection fournie par le biais du nuage (Cloud-Delivery Protection).
18. Activer tous les paramètres de protection contre les exploits au niveau du système.
19. S’assurer que les capacités de surveillance du comportement des personnes qui utilisent l’appareil sont configurées de manière à signaler toute activité suspecte.
20. Activer la surveillance en temps réel.
21. Activer la surveillance des comportements.
22. Activer l’analyse des courriels.
23. Activer l’analyse complète des lecteurs amovibles.
24. Analyser tous les fichiers téléchargés et les pièces jointes.
25. Autoriser l’analyse des scripts.
26. Activer la fonctionnalité de calcul du hachage des fichiers.
27. Activer la protection du réseau en mode bloc.
28. S’assurer que la protection contre les applications potentiellement indésirables (PUA) est activée.
29. Activer la protection avancée contre les rançongiciels.
30. Configurer l’accès contrôlé aux dossiers en mode activé ou en mode audit, en autorisant les exceptions uniquement pour les besoins opérationnels approuvés.
31. Bloquer le contenu exécutable de la clientèle de messagerie et de messagerie Web, en autorisant des exceptions uniquement pour les cas approuvés par l’organisation.
32. Empêcher les applications Office :
    1. de créer des processus enfants;
    2. de créer des contenus exécutables;
    3. d’injecter du code dans d’autres processus.
33. Empêcher JavaScript ou VBScript de lancer du contenu exécutable téléchargé.
34. Bloquer l’exécution de scripts potentiellement obscurcis.
35. Bloquer l’exécution des fichiers exécutables, sauf s’ils répondent aux critères de prévalence, d’âge ou de liste fiable.
36. Surveiller la création de processus provenant des commandes PowerShell PSExec et Windows Management Instrumentation.
37. Empêcher Adobe Reader de créer des processus enfants.
38. Bloquer la persistance par le biais d’un abonnement aux événements WMI.
39. Bloquer l’usage abusif de pilotes signés vulnérables exploités.
40. Empêcher toutes les applications Office de créer des processus enfants.
41. Régler la « durée de verrouillage du compte » à 15 minutes ou plus.
42. Régler le paramètre « Réinitialiser le compteur de verrouillage de compte après » à 15 minutes ou plus.
43. Régler le « seuil de verrouillage du compte » à 1 à 10 tentatives de connexion non valides.
44. Interdire l’accès hors ligne aux partages.
45. Corriger les chemins d’accès non cotés pour les services Windows.
46. Remplacer les chemins d’accès aux exécutables de service par des emplacements protégés communs.
47. Modifier les comptes de service d’éviter la mise en cache des mots de passe dans le registre Windows.
48. Supprimer les comptes d’accès sans restriction pour Linux.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.3.3 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 3 - Sécuriser les points d’extrémité ^{Note de bas de page 4}
• Exigences de configuration de la gestion des points d’extrémité ^{Note de bas de page 37}
• Orientation sur la gestion des rustines ^{Note de bas de page 55}

Références supplémentaires 

• Les 10 mesures de sécurité des TI visant à protéger les réseaux Internet et l’information (ITSM.10.089) ^{Note de bas de page 40}
• CIS Microsoft Intune for Windows 11 Benchmark, Section 3.11.42.2, 21.1 à 21.10 ^{Note de bas de page 56}
• CIS Microsoft 365 Foundations Benchmark, Section 2.4.3 ^{Note de bas de page 30}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-02, AC-03, AC-06, AC-07, AC-20(3), IA-05, CM-05, CM-06, CM-07, SC-07, SC-28, SC-28(1), SI-02, SI-03, SI-04, SI-16

Les appareils mobiles, comme les autres points d’extrémité client, nécessitent une gestion rigoureuse de l’inventaire, et des mesures de sécurité et des activités de surveillance exhaustives. Les solutions de gestion des appareils mobiles permettent aux organisations de surveiller et de configurer ces appareils de manière centralisée, tout en appliquant les mesures de protection appropriées décrites dans les Exigences de configuration de la gestion des points d’extrémité.

Pourquoi c’est important : puisque les appareils mobiles donnent accès aux services M365, ils représentent un vecteur d’attaque supplémentaire qui doit être sécurisé. Les personnes malveillantes s’attaquent de plus en plus aux points d’extrémité mobiles et, sans renforcement adéquat, ces appareils peuvent être exploités pour obtenir un accès non autorisé aux données de l’organisation. Le renforcement de la sécurité des appareils mobiles permet de garantir que l’accès à M365 reste protégé contre les menaces en constante évolution.

Services connexes : Microsoft Defender pour les points d’extrémité, Microsoft Intune, Service de gestion des appareils mobiles d’entreprise (GAME) de SPC.

Exigence en matière de licence : s. o.

Tâches à accomplir 

1. Veiller à ce que les stratégies de mot de passe des appareils mobiles soient configurées conformément à la Ligne directrice du gouvernement du Canada sur la sécurité des mots de passe ^{Note de bas de page 24}.
2. Interdire la réutilisation des mots de passe.
3. Définir des mots de passe qui n’expirent jamais.
4. Bloquer l’accès aux appareils débridés (ou enracinés).
5. Configurer les appareils pour qu’ils se verrouillent automatiquement après une période d’inactivité.
6. Configurer les appareils de manière à ce qu’ils effacent les données après plusieurs tentatives de connexion infructueuses, afin de prévenir les attaques par force brute.
7. Activer le chiffrement sur tous les appareils mobiles pour sécuriser les données au repos.
8. Mettre en œuvre des solutions de défense sur les appareils mobiles pour détecter et atténuer de manière proactive les menaces qui visent ces appareils.
9. Mettre en œuvre des fonctionnalités de gestion à distance des appareils mobiles, notamment des options permettant de verrouiller ou d’effacer à distance les appareils perdus ou volés.
10. Imposer des configurations de sécurité avancées afin de se protéger contre les attaques Internet courantes.
11. Empêcher les personnes invitées d’accéder au locataire M365 depuis un appareil mobile.
12. Exiger que seuls les appareils émis et gérés par le GC soient utilisés pour accéder aux ressources de l’organisation.
13. Veiller à ce que les applications professionnelles M365 ne soient accessibles qu’à partir des comptes utilisateur approuvés du GC.

Instruments de politique applicables du Conseil du Trésor

• Directive sur la gestion de la sécurité - Section B.2.3.3.3 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 3 - Sécuriser les points d’extrémité ^{Note de bas de page 4}
• Exigences de configuration de la gestion des points d’extrémité ^{Note de bas de page 37}
• Gouvernement du Canada - Ligne directrice sur la sécurité des mots de passe ^{Note de bas de page 24}
• Orientation sur la gestion des rustines ^{Note de bas de page 55}

Références supplémentaires :

• Les 10 mesures de sécurité des TI visant à protéger les réseaux Internet et l’information (ITSM.10.089) ^{Note de bas de page 40}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-02, AC-03, AC-07, AC-11, AC-17(2), AC-19, AC-20(3), IA-05, IA-05(1), SC-28, SC-28(1), SI-04

Microsoft Power Platform (anciennement PowerApps et Microsoft Flow) est une plateforme qui intègre des applications, des connecteurs et une plateforme de données pour automatiser les processus, analyser les données et créer des solutions qui fonctionnent avec M365 et d’autres services.

Pourquoi c’est important : il est essentiel de renforcer la configuration de Microsoft Power Platform, car cela permet de renforcer considérablement le cadre de sécurité, de protéger les données sensibles contre les accès non autorisés et les atteintes, de garantir la conformité aux normes réglementaires et de réduire au minimum les vulnérabilités des applications et des flux de travail de l’organisation. Cela permet non seulement de préserver l’intégrité des données d’une organisation, mais aussi de renforcer la confiance en garantissant la fiabilité et la résilience de ses opérations technologiques.

Service connexe : Microsoft Power Platform

Exigence en matière de licence : M365 E5

Tâches à accomplir 

1. S’assurer que la configuration de l’option « Définir les extensions de fichiers bloquées » dans Power Platform est conforme à la liste de blocage approuvée par l’organisation.
2. Veiller à ce que l’accès à l’environnement soit limité géographiquement en fonction de l’emplacement.
3. S’assurer que l’isolation entre locataires est activée pour les applications et les flux de Power Platform afin d’empêcher tout accès externe non autorisé.
4. S’assurer que l’emplacement de stockage des données pour toutes les opérations est réglé sur le Canada.

Instrument de politique applicable du Conseil du Trésor

• Directive sur la gestion de la sécurité - Section B.2.3.3.3 ^{Note de bas de page 11}

Référence supplémentaire

• CIS Microsoft Dynamics 365 Power Platform, Sections 2.3, 2.4, 2.5, 3.3 ^{Note de bas de page 36}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AC-04, CM-06

Activer uniquement les agents, applications et services d’IA qui répondent aux exigences de sécurité ministérielles et qui ont été expressément approuvés. Évaluer ou désactiver toutes les applications tierces, en particulier celles qui tentent de se connecter aux services M365 de l’organisation.

Pourquoi c’est important : l’application de ces mesures de contrôle garantit que seules les applications approuvées peuvent permettre d’accéder aux données sensibles, réduisant ainsi considérablement les risques d’atteinte à la sécurité des données et de communication non autorisée des données.

Services connexes : Microsoft Entra ID, Microsoft Teams

Exigences en matière de licence

• Sécurité M365 E5 : Microsoft Defender XDR, Microsoft Defender pour les applications en nuage et Microsoft Defender pour les points d’extrémité
• Conformité M365 E5 : Microsoft Defender pour les applications en nuage, Protection et gouvernance de l’information, et Gestion des risques internes Purview

Tâches à accomplir 

1. Veiller à ce que seuls les services, applications et agents IA M365 approuvés soient activés.
2. Désactiver les applications tierces par défaut. Analyser et faire évaluer l’intégrité de la chaîne d’approvisionnement avant d’utiliser des applications ou des services tiers.
3. Exiger un processus de consentement administratif.
4. Configurer les stratégies d’autorisation des applications dans Microsoft Teams.

Instruments de politique applicables du Conseil du Trésor :

• Directive sur la gestion de la sécurité - Section B.2.6.3 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 12 - Configuration des marchés de l’informatique en nuage ^{Note de bas de page 4}
• AMOPS 2017-01 - Section 6.2.5 : Gestion des biens et de la configuration ^{Note de bas de page 12}

Référence supplémentaire

• CIS Microsoft 365 Foundations Benchmark, Sections 5.1.2.2, 5.1.5.3, 8.4.1 ^{Note de bas de page 30}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-03, AC-06, CM-07, SR-06

Collecter des données sur tous les biens de l’organisation et activer la fonctionnalité de journalisation, selon le processus de gestion des journaux d’audit de l’organisation. Examiner ces journaux au moins une fois par semaine afin de détecter les anomalies ou les événements inhabituels susceptibles d’indiquer des menaces.

Pourquoi c’est important : l’activation de la journalisation pour tous les biens organisationnels garantit une surveillance complète et une détection rapide des anomalies, ce qui facilite une intervention précoce pour prévenir les atteintes à la sécurité et minimiser les dommages potentiels.

Services connexes : Microsoft 365 Defender, Microsoft Purview

Exigences en matière de licence

• Sécurité M365 E5 : Microsoft Defender XDR, Microsoft Defender pour les applications en nuage et Microsoft Defender pour les points d’extrémité
• Conformité M365 E5 : Microsoft Defender pour les applications en nuage, Protection et gouvernance de l’information, et Gestion des risques internes Purview

Tâches à accomplir 

1. Activer la fonctionnalité de journalisation et la surveillance des services M365, conformément au Guide sur la consignation d’événements du GC.
2. S’assurer que la fonctionnalité d’audit des boîtes aux lettres est activée pour l’ensemble des membres du groupe utilisateur.
3. S’assurer que la recherche dans les journaux d’audit de M365 est activée.
4. Exploiter l’API Activité de gestion M365 pour extraire des renseignements sur les actions et les événements des membres du groupe utilisateur et du groupe administrateur, les systèmes et les stratégies à partir des journaux d’activité de M365 et de Microsoft Entra.
5. Configurer le service pour qu’il envoie les enregistrements des journaux d’audit à un centre de journalisation centralisé, s’il en existe un.
6. Activer la fonctionnalité d’audit des boîtes aux lettres pour les membres du groupe utilisateur à l’aide des journaux spécifiques suivants :
   1. éléments de messagerie consultés : enregistre les accès aux données de messagerie;
   2. requêtes de recherche lancées : consigne les recherches effectuées dans une boîte aux lettres;
   3. envoi : consigne l’envoi de courriels, la réponse à des courriels ou le transfert de courriels.
7. S’assurer que l’option « AuditBypassEnabled » est désactivée pour toutes les boîtes aux lettres.
8. Activer et configurer la protection des comptes prioritaires pour les comptes à haut risque, tels que ceux des gestionnaires de médias sociaux, des dirigeants principaux et dirigeantes principales des finances et des administrateurs généraux et administratrices générales.
9. S’assurer que la journalisation de l’activité liée à l’environnement est activée pour Power Platform.
10. Créer une stratégie d’application OAuth qui permet de repérer les nouvelles applications OAuth.
11. Créer une stratégie de découverte d’applications permettant de repérer les nouvelles applications en nuage et en vogue au sein de l’organisation.
12. Déployer un collecteur de journaux pour découvrir les activités de TI dans l’ombre (Shadow IT).
13. Créer une stratégie d’activités personnalisées pour recevoir des alertes au sujet de particularités d’utilisation suspecte.
14. Désigner des membres du personnel responsables de la surveillance et de l’audit des journaux.
15. Surveiller en permanence les événements et le rendement des systèmes.
16. Veiller à ce que les rapports soient examinés au moins une fois par semaine, y compris les suivants :
    1. rapports d’accès pour tous les comptes administratifs;
    2. rapport Microsoft Entra concernant les « connexions présentant un risque »;
    3. changements dans le groupe de rôles utilisateur;
    4. rapport sur l’activité d’attribution des comptes;
    5. attributions de groupes de rôles d’administration non générale;
    6. rapport d’activité sur la réinitialisation des mots de passe en libre-service;
    7. rapport de correspondance de la stratégie de la DLP;
    8. rapport d’incidents liés à la stratégie de la DLP;
    9. rapport sur les faux positifs et les annulations liés à la stratégie de la DLP;
    10. rapport sur les domaines usurpés;
    11. rapport sur les entités restreintes;
    12. rapport sur l’état de la protection contre les menaces;
    13. rapport sur l’utilisation des applications;
    14. modifications des rôles de sécurité pour Power Platform.
17. Configurer les alertes et les notifications afin qu’elles soient envoyées au personnel de sécurité ou des opérations, au moyen d’adresses électroniques valides ou directement à un centre des opérations de sécurité.
18. Élaborer un plan pour répondre aux incidents de sécurité et en comprendre l’impact, selon le Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC)^{Note de bas de page 59}.
19. S’assurer de revoir les règles de transfert des courriels au moins une fois par mois.
20. Surveiller la création de nouvelles applications Power dans l’environnement Power Platform.
21. Surveiller les activités d’étiquetage de sensibilité hautement prioritaires, telles que celles qui sont collectées par le journal d’audit et l’Explorateur d’activités de Microsoft Purview.

Instruments de politique applicables du Conseil du Trésor

• Directive sur la gestion de la sécurité - Section B.2.3.7.1 ^{Note de bas de page 11}
• Mesure de protection du nuage du GC n^o 11 — Journalisation et surveillance ^{Note de bas de page 4}
• AMOPS 2017-01 — Section 6.3.1 Information à l’intention des accompagnateurs ^{Note de bas de page 12}
• Guide sur la consignation d’événements ^{Note de bas de page 47}

Références supplémentaires 

• Guide sur la défense en profondeur pour les services fondés sur l’infonuagique (ITSP.50.104), Section 4.8 ^{Note de bas de page 19}
• Les 10 mesures de sécurité des TI visant à protéger les réseaux Internet et l’information (ITSM.10.089), n^o 1 ^{Note de bas de page 40}
• CIS Microsoft 365 Foundations Benchmark, Sections 2.1.11, 2.1.12, 2.1.13, 2.3.1, 2.3.2, 2.4.1, 3.1.2, 5.1.5.1, 5.2.6.1, 6.1.3, 6.1.4, 6.4.1 ^{Note de bas de page 30}
• CIS Microsoft Azure Foundations Benchmark, Section 1.4 ^{Note de bas de page 31}
• CIS Microsoft Dynamics 365 Power Platform, Sections 4.1, 4.2, 4.3 ^{Note de bas de page 36}

Contrôles de sécurité connexes issus des ITSG-33 

• AU-04, AU-06, AU-09, AU-12, IR-04, IR-08, SI-04

Il est essentiel de saisir les journaux de sécurité, les alertes et les détections des différents services M365 à l’aide d’un service central de journalisation de la sécurité afin d’améliorer les capacités de détection et de réponse de l’organisation et de l’ensemble du GC.

Pourquoi c’est important : l’intégration des journaux de sécurité et d’autres sources de données dans un système de journalisation centralisé permet aux centres des opérations de sécurité (SOC) intégrés et aux ministères d’obtenir les informations prioritaires en temps réel, nécessaires pour détecter et traiter efficacement les événements de sécurité.

Services connexes : s. o.

Exigences en matière de licence

• Sécurité M365 E5 : Microsoft Defender XDR, Microsoft Defender pour les applications en nuage et Microsoft Defender pour les points d’extrémité
• Conformité M365 E5 : Microsoft Defender pour les applications en nuage, Protection et gouvernance de l’information, et Gestion des risques internes Purview

Tâches à accomplir 

1. Mettre en œuvre et intégrer dans la mesure du possible une solution de journalisation centralisée. Les fonctionnalités qui facilitent l’automatisation de l’analyse des événements et des comportements et qui offrent des alertes en temps réel peuvent aider un ministère et le GC dans son ensemble à cerner plus efficacement les menaces pour la sécurité et les incidents de sécurité.
2. Déployer les capteurs de cyberdéfense du CCC (par exemple, capteurs basés sur le nuage, l’hôte et le réseau) après la signature de protocoles d’entente en envoyant un courriel à l’adresse CDOServiceDeployments@cyber.gc.ca.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.7.1 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 4 - Comptes de surveillance de l’organisation ^{Note de bas de page 4}
• Mesures de protection du nuage du gouvernement du Canada n^o 9 - Services de sécurité des réseaux ^{Note de bas de page 4}
• Mesures de protection du nuage du gouvernement du Canada n^o 10 - Services de cyberdéfense ^{Note de bas de page 4}
• Guide sur la consignation d’événements ^{Note de bas de page 47}

Référence supplémentaire

• Aucune

Contrôles de sécurité connexes issus des ITSG-33 

• AU-06, SI-04

Mettre en œuvre un programme de gestion des risques internes afin de détecter les activités non autorisées au sein de l’organisation, d’enquêter à leur sujet et de prendre les mesures appropriées. La corrélation de divers signaux dans M365 peut aider à cerner les risques internes, qu’ils découlent d’un événement accidentel ou d’un acte malveillant, tels que le vol de propriété intellectuelle, les fuites de données et les atteintes à la sécurité.

Pourquoi c’est important : il est important d’enquêter sur les activités non autorisées, qu’il s’agisse d’un événement accidentel ou d’un acte malveillant, au sein de l’organisation et de prendre des mesures à leur égard afin de protéger les informations du ministère. Combinée aux outils de PPD, la gestion des risques internes permet d’obtenir un contexte essentiel. Il s’agit là d’une intégration qui améliore l’application des politiques, ce qui permet une meilleure application des règles et un repérage plus efficace des risques.

Service connexe : Microsoft Purview

Exigences en matière de licences 

• Sécurité M365 E5 : Microsoft Defender XDR et Microsoft Defender pour les points d’extrémité.
• Conformité M365 E5 : Gestion des risques internes Microsoft Purview

Tâches à accomplir 

1. Configurer des stratégies de gestion des risques internes afin de traiter des risques spécifiques, tels que le vol de données par des membres du personnel qui quittent l’organisation, les fuites d’informations sensibles et les atteintes à la sécurité.
2. Élaborer et tenir à jour un plan d’intervention en cas d’incidents spécialement conçu pour gérer les menaces internes de manière efficace et efficiente.
3. Réaliser des audits et des évaluations au moins une fois par trimestre afin de cerner les changements accidentels, les menaces potentielles d’origine interne et les vulnérabilités au sein de l’organisation.
4. Mettre en place des mécanismes clairs et confidentiels permettant au personnel de signaler les activités suspectes sans crainte de représailles.
5. Améliorer en permanence les stratégies de gestion des risques internes en tenant compte des résultats d’analyses et de la rétroaction sur les incidents.
6. Veiller à ce que toutes les activités de gestion des risques internes soient conformes aux normes juridiques et aux principes de protection des renseignements personnels, notamment en pseudonymisant par défaut les données liées au personnel et en utilisant des contrôles d’accès basés sur les rôles et des journaux d’audit afin de garantir la protection des renseignements personnels des membres du personnel.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.8 ^{Note de bas de page 11}
• Directive sur le filtrage de sécurité - Section 4.5.4.3 ^{Note de bas de page 57}
• Mesure de protection du nuage du gouvernement du Canada n^o 11 - Journalisation et surveillance ^{Note de bas de page 4}

Référence supplémentaire

• Comment protéger votre organisation contre les menaces internes (ITSAP.10.003) ^{Note de bas de page 58}

Contrôles de sécurité connexes issus des ITSG-33 

• AC-02(7), AC-03, AU-06, CA-07, IR-04, IR-06, IR-08, SI-04

Les ministères et organismes sont tenus d’élaborer des plans organisationnels visant à intervenir en cas d’événements ou d’incidents de sécurité touchant les services M365, et à en comprendre les répercussions, conformément au PGEC GC. Les plans ministériels doivent également soutenir la gestion intégrée du cycle de vie de la continuité des activités ministérielles, ainsi que les plans, processus et procédures de gestion de la cybersécurité ministériels, afin d’assurer la prestation continue des services.

Il appartiendra aux ministères d’appuyer le cadre opérationnel global du GC pour la gestion des cyberévénements (par exemple, le PGEC GC) en adoptant une approche intégrée qui aligne leur PGEC sur leur plan de continuité des activités, afin d’assurer la mise en place de rôles et de responsabilités clairs et de processus de soutien permettant une réponse rapide aux cyberévénements.

Pourquoi c’est important : la capacité du GC à répondre rapidement aux événements de cybersécurité de manière cohérente et coordonnée est essentielle pour garantir la sécurité et la résilience des programmes et de la prestation de services du GC.

Services connexes : Microsoft Sentinel, Microsoft Defender pour les points finaux

Exigence en matière de licence : s. o.

Tâches à accomplir 

1. S’assurer de tenir compte des services M365 et des scénarios opérationnels connexes dans le PGEC du ministère.
2. Signaler les événements de sécurité fondés sur l’infonuagique en suivant le protocole de gestion des événements de sécurité liés à l’informatique en nuage de Microsoft (accessible seulement depuis le réseau interne du gouvernement du Canada)^{Note de bas de page 60}.
3. Effectuer des exercices de simulation afin de mettre à l’épreuve le PGEC ministériel et d’en garantir l’efficacité.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Annexe D : Procédures obligatoires relatives aux mesures de sécurité en matière de gestion de la continuité des activités
• Mesure de protection du nuage n^o 13 - Planifier la continuité ^{Note de bas de page 4}
• AMOPS 2017-01 - Section 6.3 Opérations de sécurité ^{Note de bas de page 12}
• PGEC du GC ^{Note de bas de page 59}

Références supplémentaires 

• Procédure normalisée de gestion des événements dans l’informatique en nuage du GC
• Modèle ministériel de PGEC GC (accessible seulement depuis le réseau interne du gouvernement du Canada)

Contrôles de sécurité connexes issus des ITSG-33 

• IR-03, IR-06, IR-08

Il est essentiel de recenser les biens essentiels et de mettre en œuvre un plan robuste de reprise après sinistre pour assurer la continuité des services et minimiser l’incidence des perturbations sur les opérations essentielles du gouvernement.

Pourquoi c’est important : pour minimiser les temps d’arrêt et la perte de données en cas de perturbation, il est essentiel de recenser avec précision les biens essentiels et d’élaborer un plan de reprise après sinistre efficace. En assurant une reprise rapide des services de TI, tels que M365, les ministères et organismes peuvent assurer la continuité de leurs activités, soutenir la prestation des services essentiels et maintenir la confiance du public dans la résilience des programmes du GC.

Service connexe : s. o.

Exigence en matière de licence : s. o.

Tâches à accomplir 

1. Effectuer un exercice d’identification des données détaillé et adapté aux besoins du ministère ou de l’organisme. Mettre l’accent sur le recensement des biens essentiels à la mission, en les classant par ordre de priorité en fonction de leur importance et de leur disponibilité pour les activités de l’organisation. Assurer l’harmonisation avec les objectifs de continuité des activités et de gestion des risques.
2. Utiliser les résultats de l’exercice d’identification des données pour créer un plan de reprise après sinistre solide. Ce plan doit au minimum prévoir un centre de relève avec réplication des données en temps réel. S’assurer qu’il permet de répondre à l’objectif de point de rétablissement, à l’objectif de temps de reprise et à l’exigence relative au temps d’arrêt maximal admissible du ministère ou de l’organisme, comme l’indiquent les exigences opérationnelles.
3. Définir des procédures concrètes pour la reprise des services en cas de perturbation, notamment les rôles, les responsabilités et les protocoles de communication clairs, afin de guider efficacement la réponse et de minimiser les temps d’arrêt.
4. Réaliser annuellement des mises à l’essai et un examen du plan de reprise après sinistre pour en vérifier l’efficacité. Mettre à jour le plan si nécessaire pour tenir compte des changements dans l’environnement opérationnel, du paysage technologique, des biens ou des exigences organisationnelles. Intégrer les leçons tirées des essais ou des incidents réels.
5. Choisir un outil de reprise après sinistre harmonisé avec le plan de reprise après sinistre et qui soutient l’infrastructure et les besoins spécifiques ministériels. S’assurer que l’outil est compatible et évolutif et qu’il permet d’atteindre les objectifs de reprise définis dans le plan de reprise après sinistre.

Instruments de politique applicables du Conseil du Trésor :

• Directive sur la gestion de la sécurité – Annexe D : Procédures obligatoires relatives aux mesures de sécurité en matière de gestion de la continuité des activités ^{Note de bas de page 61}
• Mesure de protection du nuage n^o 13 - Planifier la continuité ^{Note de bas de page 4}
• Orientation sur l’utilisation sécurisée des services commerciaux d’informatique en nuage : Avis de mise en œuvre de la Politique sur la sécurité (AMOPS) - Section 6.3 Opérations de sécurité ^{Note de bas de page 12}
• Guide de sécurité pour les solutions de système d’information, Section 3.8 ^{Note de bas de page 62}

Référence supplémentaire 

• Aucune

Contrôles de sécurité connexes issus des ITSG-33 

• CP-02, CP-04, CP-06, CP-07, CP-10, IR-09

Les ministères et organismes sont censés mettre en œuvre les configurations de référence M365 en tant que configuration minimale au sein du locataire ministériel, en tenant compte de leurs activités et de leur contexte des menaces. Tout écart par rapport à la configuration de référence doit être géré dans le cadre d’un processus structuré de contrôle des changements garantissant que les changements sont évalués afin d’en déterminer les éventuelles répercussions sur la sécurité. Il s’agit notamment de mettre à jour régulièrement la base de référence ministérielle afin d’y intégrer les mises à jour du GC concernant le guide et les configurations connexes.

Un examen de la sécurité doit être effectué pour vérifier les répercussions possibles des changements. Lorsque des changements sont susceptibles d’accroître le niveau de risque résiduel, les ministères et organismes doivent consulter l’agente désignée ou l’agent désigné pour la cybersécurité afin d’obtenir des conseils supplémentaires.

Pourquoi c’est important : la mise en œuvre d’un processus de gestion des changements apportés aux configurations améliore la posture de sécurité globale, car elle permet de faire en sorte que chaque changement fasse l’objet d’une évaluation, d’une autorisation et d’une documentation approfondies avant d’être déployé. Ainsi, il sera possible non seulement d’empêcher les changements non autorisés susceptibles de rendre l’environnement vulnérable aux attaques, mais aussi, s’il y a lieu, d’annuler rapidement tout changement et de déterminer clairement les responsabilités si un changement apporté accidentellement entraîne des atteintes à la sécurité ou des problèmes de conformité.

Service connexe : s. o.

Exigence en matière de licence : s. o.

Tâches à accomplir 

1. Établir des configurations de référence et des procédures de gestion des changements.
2. Mettre à jour les configurations de référence ministérielles tous les trimestres ou de manière ponctuelle pour intégrer les nouvelles mises à jour de M365 et faire face à l’évolution des menaces pour la sécurité.
3. Mettre en place un processus officiel pour tous les changements apportés aux configurations dans le locataire M365, incluant les étapes de proposition, d’examen et d’autorisation.
4. Évaluer minutieusement les répercussions de chaque changement sur la sécurité, notamment sur le modèle de réponse à la menace existant et la posture de cybersécurité globale.
5. Effectuer périodiquement des examens et des audits des configurations M365 pour garantir leur conformité avec les configurations de référence, détecter les changements non autorisés et rajuster en fonction des mises à jour des fonctionnalités et paramètres de Microsoft.

Instruments de politique applicables du Conseil du Trésor 

• Directive sur la gestion de la sécurité - Section B.2.3.3.1 ^{Note de bas de page 11}
• Mesures de protection du nuage du gouvernement du Canada n^o 12 - Configuration des marchés de l’informatique en nuage ^{Note de bas de page 4}
• AMOPS 2017-01 - Section 6.2.5 Gestion des biens et de la configuration ^{Note de bas de page 12}

Référence supplémentaire

• Aucune

Contrôles de sécurité connexes issus des ITSG-33 

• CM-02, CM-03, CM-04