GCC High pour Microsoft Teams : les exigences de sécurité

Les exigences de base de Microsoft Teams Government Cloud High fournissent un ensemble cohérent de contrôles de sécurité pour tous les clients d’Office 365 GCC High. Pour répondre à ces exigences, vous devez mettre en place des contrôles de sécurité appropriés pour vous conformer aux lois sur la protection de la vie privée, la sécurité et les lois connexes. Les tableaux d’exigences comprennent les exigences qui s’appliquent à tous les clients de GCC High ainsi que les exigences supplémentaires propres à l’adoption d’Office 365 par les gouvernements étrangers.

Cette section présente les exigences relatives à la haute sécurité de Teams GCC.

• La conformité à Azure AD Premium est requise pour prendre en charge les fonctionnalités suivantes :
• Accès conditionnel basé sur l’identité, comme l’authentification multifacteur et les restrictions d’application (contrôle d’accès)
• Examens d’accès des utilisateurs dans le Centre de sécurité et de conformité Office 365 (gouvernance)

Ces contrôles sont décrits plus en détail dans les sections suivantes.

Protection du réseau

La protection du réseau comprend la sécurité du réseau, la disponibilité et la fiabilité du réseau. La sécurité du réseau comprend la configuration de pare-feu, d’IPS et d’autres dispositifs de sécurité réseau. La disponibilité du réseau comprend la configuration des équilibreurs de charge et du DNS. La fiabilité du réseau comprend la configuration de la surveillance et de la gestion de la configuration du réseau.

Prévention de la perte de données

La prévention de la perte de données (DLP) est un ensemble de technologies qui aident à protéger les données sensibles contre l’accès, l’utilisation, la divulgation ou la destruction non autorisés. Les solutions DLP peuvent être déployées à différentes couches d’une organisation :

• Les appareils réseau peuvent inspecter le trafic entrant et sortant du réseau à la recherche de modèles indiquant des renseignements personnels. Une politique DLP pourrait être définie pour bloquer tout courriel contenant des numéros de carte de crédit ou de sécurité sociale lorsqu’il passe par l’appliance réseau.
• Les terminaux tels que les ordinateurs portables, les ordinateurs de bureau, les tablettes et les téléphones intelligents peuvent être équipés d’un logiciel pour identifier les informations sensibles transmises. Par exemple, l’ordinateur portable d’un employé peut être équipé d’un logiciel pour détecter les numéros de carte de crédit envoyés via une connexion non chiffrée lorsqu’il est absent de votre réseau d’entreprise. Si cela se produit, l’employé serait averti qu’il y a eu une tentative de transmission de données sensibles via une connexion non sécurisée et un message contextuel lui demandant ce qu’il aimerait faire ensuite : continuer à envoyer des données de manière non sécurisée ou cesser complètement de les envoyer.

Accès et gestion des appareils

• Appliquez le contrôle d’accès des appareils. Le contrôle d’accès aux appareils est la première étape pour sécuriser un environnement d’entreprise, empêchant les appareils non autorisés de se connecter à votre réseau. Cela comprend l’identification et l’authentification des utilisateurs et des appareils qui tentent de se connecter à votre réseau ou à vos ressources, ainsi que l’application de l’autorisation pour chaque paire utilisateur/appareil avant de les autoriser à entrer dans votre système.
• Appliquez les politiques de sécurité des appareils. Une fois que vous avez pris le contrôle de qui a accès à quoi, il est important d’appliquer des politiques de sécurité sur ces appareils afin qu’ils restent sécurisés lorsqu’ils accèdent ou stockent de l’information. Ces politiques devraient inclure des exigences telles que des mots de passe forts; le chiffrement des données stockées localement ou en transit; désactiver les fonctions indésirables telles que la fonctionnalité Bluetooth si l’utilisateur n’en a pas besoin; exiger des mises à jour automatiques pour les systèmes d’exploitation, les applications et les micrologiciels; bloquer les sources de logiciels malveillants connus (comme les sites Web contenant des virus); définir des cas d’utilisation acceptables pour l’utilisation de chaque type d’appareil (par exemple, aucune navigation personnelle autorisée sur les ordinateurs portables de l’entreprise).

Protection des communications, collecte de journaux et rapports

Vous pouvez choisir d’avoir une protection des communications, une collecte de journaux et des rapports. Avec ce paramètre, seules les autorisations minimales requises pour exécuter ces fonctions sont accordées par défaut. Il s’agit du niveau minimal de privilège requis pour les normes de sécurité de votre organisation.

Vous pouvez également choisir d’avoir un accès complet à toutes les fonctionnalités de GCC High pour Microsoft Teams.

En conclusion

Nous nous engageons à aider les clients gouvernementaux à tirer le meilleur parti de leurs investissements dans les produits et services Microsoft. Nous nous engageons également à maintenir un environnement sécurisé pour les agences et les ministères fédéraux pour leurs données et leurs communications. Ce billet de blogue couvre certaines de ces exigences car elles s’appliquent spécifiquement à Teams. Si vous avez des questions sur la façon dont votre organisation peut bénéficier de l’utilisation de GCC High pour MS Teams, veuillez cliquer sur l’image « Let’s Connect » ci-dessous pour une consultation gratuite :