Chiffrement des messages Purview : choisir la bonne protection et éviter les pièges
Envoyer un document sensible à l'extérieur par courriel reste un geste quotidien. Le chiffrement des messages de Microsoft Purview permet de protéger ces envois sans outil supplémentaire. Mais entre les options de protection, l'expérience des destinataires et les règles automatiques, les choix faits au déploiement conditionnent son efficacité réelle.
Fonctionnement et options de protection
Le chiffrement des messages Purview s'appuie sur le service Azure Rights Management. Le message est chiffré et associé à des droits d'utilisation : qui peut l'ouvrir, et ce que le destinataire peut en faire. Le service doit être activé dans le locataire, ce qui est le cas par défaut dans la plupart des locataires récents ; vérifiez-le avant toute autre configuration.
Le chiffrement ne remplace pas TLS, qui protège le transport entre serveurs. Il protège le contenu lui-même, y compris une fois arrivé dans la boîte du destinataire, et permet de restreindre l'usage du message.
Deux options sont disponibles d'emblée :
- Chiffrer uniquement (Encrypt-Only) : le message est chiffré, mais le destinataire peut le transférer, l'imprimer ou le copier. C'est l'option la plus simple pour échanger avec des partenaires sans les gêner.
- Ne pas transférer (Do Not Forward) : le destinataire peut lire et répondre, mais ne peut ni transférer, ni imprimer, ni copier le contenu. Les pièces jointes Office restent protégées après téléchargement.
Le comportement des pièces jointes avec « Chiffrer uniquement » dépend d'un paramètre du locataire, qui détermine si elles sont téléchargées déchiffrées. Ce choix a des conséquences directes sur la protection une fois le fichier enregistré ; vérifiez sa valeur actuelle.
Des modèles personnalisés ou des étiquettes de confidentialité avec chiffrement permettent d'aller plus loin : limiter l'accès à un domaine partenaire, fixer une date d'expiration, accorder des droits précis. C'est souvent la meilleure voie lorsque les étiquettes sont déjà déployées.
L'expérience des destinataires externes
Un destinataire disposant d'un compte Microsoft 365 et d'un client Outlook récent ouvre généralement le message de manière transparente. Les autres, par exemple sur une messagerie grand public, reçoivent un message d'enveloppe les invitant à lire le contenu sur un portail web, après s'être authentifiés avec leur compte ou à l'aide d'un code à usage unique envoyé par courriel.
Ce message d'enveloppe ressemble beaucoup à ce qu'imitent les campagnes d'hameçonnage. Personnaliser sa présentation avec l'identité visuelle de l'entreprise et prévenir les partenaires réguliers réduit les confusions. Les fonctions avancées, comme plusieurs modèles de marque, l'expiration ou la révocation des messages envoyés, relèvent du chiffrement avancé et d'une licence plus élevée.
Le code à usage unique n'est pas une authentification forte. Il prouve l'accès à la boîte de destination, pas l'identité de la personne. Si cette boîte est compromise, le message chiffré l'est aussi. Pour les échanges les plus sensibles, limitez l'accès à des comptes identifiés via un modèle ou une étiquette.
Appliquer le chiffrement par des règles de flux
Les règles de flux de messagerie permettent d'appliquer automatiquement le chiffrement, par exemple :
- lorsque l'objet contient un mot-clé convenu, comme « [confidentiel] » ;
- lorsqu'un message destiné à l'extérieur contient des informations sensibles détectées ;
- pour tous les envois d'un service donné vers un domaine partenaire.
La règle par mot-clé est la plus répandue et la plus fragile : elle repose entièrement sur la discipline de l'utilisateur. Une condition fondée sur la détection de contenus sensibles, ou une étiquette appliquée par défaut, est plus fiable. À l'inverse, une règle qui retire le chiffrement des messages entrants ou sortants doit être strictement justifiée.
Les pièges courants
- Passerelles et outils tiers : une passerelle de sécurité ou un outil d'archivage situé en aval ne peut pas analyser un contenu chiffré ; prévoyez son comportement.
- Réponses externes : selon le client du destinataire, une réponse peut ne pas être chiffrée ; informez les utilisateurs.
- Boîtes partagées et délégués : vérifiez que les personnes qui doivent lire les réponses chiffrées y parviennent.
- Applications mobiles et clients anciens : testez les combinaisons réellement utilisées chez vos partenaires.
- Super-utilisateur : la fonction qui permet de déchiffrer tout contenu protégé doit rester désactivée ou réservée à un compte de service maîtrisé.
Ce qu'un audit vérifie
- L'activation du service Azure Rights Management et la configuration IRM du locataire.
- Le paramètre de déchiffrement des pièces jointes en mode « Chiffrer uniquement ».
- Les règles de flux qui appliquent ou retirent le chiffrement, et leurs conditions.
- Les modèles et étiquettes de chiffrement disponibles et leur usage réel.
- La personnalisation du message d'enveloppe.
- L'état de la fonction super-utilisateur et ses membres.