Microsoft a investi massivement dans le matériel, les logiciels, les réseaux, la sécurité et les opérations de ses centres de données pour offrir à Microsoft 365 un niveau élevé de performance, d’accès et de disponibilité. Microsoft peut détecter et surmonter rapidement ses propres erreurs opérationnelles, pannes du site, défaillances matérielles et problèmes réseau conformément à ses accords de niveau de service qui sont axés sur la disponibilité des applications. Ces mesures ne protègent néanmoins pas votre entreprise contre les nombreux problèmes de perte de données courants avec Microsoft 365 :
Suppressions accidentelles
- Risque pour les données : Au cours d’une journée de travail, les administrateurs informatiques et les employés ordinaires suppriment régulièrement des profils utilisateur Microsoft 365, des e-mails, pièces jointes et fichiers Exchange Online, des fichiers OneDrive for Business et des contenus SharePoint Online. Ces suppressions peuvent être accidentelles, ou délibérées puis regrettées. (Il nous est déjà tous arrivé d’avoir besoin de nous référer à un e-mail que nous avions supprimé la veille.)
- Niveau de protection assuré par Microsoft : Les suppressions de ce type sont répliquées au niveau du réseau. L’ancienneté des ressources aggrave le problème : les données plus anciennes risquent être définitivement supprimées et irrécupérables. Les suppressions plus récentes de ressources moins anciennes sont moins problématiques ; en effet, les fichiers et les e-mails supprimés de façon réversible peuvent être récupérés à court terme dans la Corbeille ou le dossier Éléments supprimés.
Failles des règles de rétention
- Risque pour les données : Tout changement ou inadaptation des priorités dans les règles de rétention de Microsoft 365 peut entraîner une suppression définitive des données. Pour remédier à ce problème, il faut vérifier et mettre à jour régulièrement les règles de rétention.
- Niveau de protection assuré par Microsoft : Les clients Microsoft 365 sont responsables de la gestion des règles de rétention. Cela étant, si pour quelque raison que ce soit, une suppression définitive se produit en raison de l’obsolescence des règles de rétention existantes, Microsoft n’a pas la possibilité de récupérer la ressource supprimée.
Menaces de sécurité internes
- Risque pour données : Les ressources Microsoft 365 doivent être protégées non seulement contre les suppressions ordinaires non malveillantes, mais également contre toute altération ou destruction malveillante des données par des employés, sous-traitants ou partenaires mal intentionnés.
- Niveau de protection par Microsoft : À l’exception des suppressions récentes de ressources peu anciennes, Microsoft ne dispose d’aucune protection contre la destruction ou l’altération malveillante en interne des données Microsoft 365.
Menaces de sécurité externes
- Risque pour les données : Les données Microsoft 365 sont exposées à la destruction ou à la modification par différents malwares, le plus souvent des ransomwares, qui chiffrent les données des utilisateurs et les prennent en otage contre rançon payée en ligne. Ces attaques peuvent être lancées par des pirates, des cybercriminels ou des États hostiles.
- Niveau de protection assuré par Microsoft : Microsoft offre des protections relativement limitées contre les attaques par malware, telles que les ransomwares, et une capacité limitée à restaurer la version antérieure à l’attaque des fichiers chiffrés ou modifiés par les malwares.
Migration depuis Microsoft Office sur site
- Risque pour les données : Pour effectuer une migration entre la suite d’applications Microsoft Office traditionnelle sur site et les services Microsoft 365 dans le Cloud, il faut généralement remplacer l’ancienne solution de protection des données par une nouvelle, prenant en charge le Cloud. Les deux solutions de sauvegarde sont souvent incompatibles, ce qui empêche de restaurer les anciennes données dans le nouvel environnement.
- Niveau de protection assuré par Microsoft : Microsoft ne propose aucune solution pour résoudre les problèmes de pertes de données survenant pendant la migration entre Office et Microsoft 365. Rares sont les solutions de protection des données d’autres éditeurs qui intègrent une fonctionnalité de sauvegarde pour Office et Microsoft 365 : ces solutions couvrent l’un ou l’autre, mais pas les deux.
Problèmes juridiques et de conformité
- Risque pour les données : Les obligations réglementaires (comme le RGPD de l’Union européenne) et les problèmes juridiques peuvent augmenter les coûts engendrés par les pertes de données non protégées décrites ci-dessus. La perte définitive de données Microsoft 365 peut exposer l’entreprise à des problèmes importants : amendes réglementaires nationales ou sectorielles ; sanctions pénales (dommages et intérêts, procès perdu si l’entreprise est incapable de produire les preuves numériques demandées) ; pertes de revenus et chute du cours des actions ; perte de confiance des clients ; atteinte à l’image de marque.
- Niveau de protection assuré par Microsoft : Compte tenu de tous les risques de perte de données associés décrits ci‑dessus, Microsoft 365 n’est pas conçu pour protéger les entreprises contre les différents risques de non-conformité et vulnérabilités juridiques. Par exemple, après une attaque par ransomware, une société qui stocke dans SharePoint Online les données personnelles de ses clients résidents de l’Union, risque de ne pas pouvoir répondre aux demandes de copies de ces données, et donc de contrevenir au RGPD.
