Power Automate : quand un flux de trois clics exfiltre vos données
Avec une licence Microsoft 365 standard, n'importe quel utilisateur peut créer un flux Power Automate qui copie chaque pièce jointe reçue vers un stockage personnel. Aucune alerte, aucune validation. La Power Platform est un formidable outil de productivité, mais elle ouvre un canal d'exfiltration que beaucoup d'organisations ne surveillent pas.
Le risque : des connecteurs vers l'extérieur
Power Automate s'appuie sur des centaines de connecteurs. Certains pointent vers des services grand public : messageries personnelles, stockage en ligne personnel, réseaux sociaux. D'autres, comme le connecteur HTTP, permettent d'envoyer des données vers n'importe quelle adresse. Un flux combinant Outlook ou SharePoint en déclencheur et un service personnel en action suffit à faire sortir des données en continu, avec l'identité de l'utilisateur et sans passer par vos contrôles de messagerie.
Le scénario n'est pas seulement malveillant : un collaborateur bien intentionné qui veut « retrouver ses fichiers sur son téléphone » crée exactement le même flux.
L'environnement par défaut
Chaque tenant possède un environnement par défaut dans lequel tous les utilisateurs disposant d'une licence peuvent créer des applications et des flux. C'est là que s'accumulent les créations spontanées, souvent sans propriétaire identifié après un départ. Une gouvernance minimale consiste à :
- renommer l'environnement par défaut pour signaler sa vocation de productivité personnelle ;
- y appliquer la stratégie DLP la plus restrictive ;
- restreindre la création de nouveaux environnements aux administrateurs ;
- créer des environnements dédiés, avec des règles adaptées, pour les solutions métier.
Des fonctionnalités de gouvernance supplémentaires, comme les environnements gérés, sont disponibles selon les licences Power Platform ; elles évoluent régulièrement.
Les stratégies DLP de la Power Platform
Distinctes de la DLP Purview, les stratégies de protection des données de la Power Platform classent les connecteurs en trois groupes :
| Groupe | Effet |
|---|---|
| Professionnel (Business) | Connecteurs utilisables ensemble dans une même application ou un même flux |
| Non professionnel (Non-business) | Utilisables entre eux, mais jamais combinés avec un connecteur professionnel |
| Bloqué | Inutilisables |
En plaçant les connecteurs Microsoft 365 dans le groupe professionnel et les services personnels dans le groupe bloqué, on empêche le scénario d'exfiltration décrit plus haut. Certains connecteurs Microsoft essentiels ne peuvent pas être bloqués. Pour quelques connecteurs, un filtrage plus fin des actions ou des points de terminaison est possible.
Déployer sans casser l'existant
- Inventoriez les flux et applications existants, par exemple avec les cmdlets d'administration PowerApps ou le kit de démarrage du Centre d'excellence.
- Identifiez les connecteurs réellement utilisés et leurs propriétaires.
- Prévenez les créateurs concernés avant d'appliquer une stratégie : les flux qui la violent sont suspendus.
- Appliquez une stratégie au niveau du tenant, puis des stratégies spécifiques par environnement.
Point d'attention. Les connecteurs nouvellement ajoutés par Microsoft rejoignent le groupe par défaut défini dans la stratégie. Si ce groupe par défaut est « Professionnel », chaque nouveau connecteur peut être combiné avec vos données sans revue préalable.
Ce qu'un audit vérifie
- L'existence d'une stratégie DLP Power Platform couvrant l'environnement par défaut.
- Le classement des connecteurs vers des services personnels et du connecteur HTTP.
- Le groupe par défaut attribué aux nouveaux connecteurs.
- Qui peut créer des environnements.
- Les flux orphelins ou appartenant à des comptes désactivés.