Alors que les nouvelles réglementations imposent aux chefs d’entreprises d’assurer la protection de leurs données sensibles, comment assumer les fuites des données lorsqu’elles sont générées par des logiciels de confiance? Le constat est sans appel, les entreprises suisses optent souvent pour les solutions de Microsoft avec un fort intérêt pour le cloud. Cela revient à confier à des prestataires externes les services informatiques de l’entreprise. Cette démarche n’est pas sans risque!

Une des solutions de Microsoft est d’externaliser l’Active directory. Cet annuaire regroupe un grand nombre de données sensibles comme définies dans les nouvelles règlementations (RGPD notamment). Il contient toutes les données sur les employés (nom, téléphone, mail, identifiant, etc…), sur les objets connectés (imprimantes, fax, etc…), et enfin sur les logiciels internes. Or cette offre démontre des limites d’un point de vue sécuritaire. Une de ses fonctions reste «détonante». Toute personne possédant une adresse mail de l’entreprise peut accéder à un portail Web (https://portal.azure.com). Grâce à ses accès, elle peut récupérer la liste du personnel, des objets connectés et applications, et de façon surprenante, inviter des personnes externes à se connecter à l’interface.

En conclusion, cette option peut faciliter le travail des pirates dans les attaques de grandes ampleurs comme pour les campagnes de phishing ciblées ou les «arnaques au président» (ordre de virement frauduleux destiné à détourner des fonds). Pour savoir si une entreprise est concernée par ce risque, il suffit de demander conseil à un expert en sécurité informatique.

Explication technique: https://blog.e-xpertsolutions.com/azure-ad-et-securite-bon-menage