Sécurité Google Workspace : 13 actions pour blinder votre domaine

Google fournit une infrastructure ultra-résiliente, avec des datacenters certifiés ISO 27001, 27017 et 27018, et active de nombreuses protections par défaut. Mais la configuration du domaine, elle, reste de votre responsabilité. Ce guide passe en revue les 13 actions concrètes à mener pour blinder un environnement Google Workspace de TPE/PME, des réglages d'authentification à la sauvegarde, en passant par la gouvernance du partage Drive, un point à surveiller de près.

Pourquoi auditer la sécurité de votre Google Workspace

Des millions d'organisations utilisent Google Workspace dans le monde. L'infrastructure est solide, mais les réglages laissés par défaut n'exploitent qu'une partie du potentiel de sécurité du domaine. Trois angles morts méritent une vérification prioritaire dans une TPE/PME :

• des comptes sans validation en 2 étapes activée ;
• un partage Drive laissé en mode « toute personne disposant du lien » ;
• des comptes employés compromis servant de porte d'entrée à un incident.

Des outils comme Vault, le DLP ou le Context-Aware Access, selon l'édition, ne protègent rien tant qu'ils ne sont pas activés et configurés : les actions ci-dessous détaillent ces réglages, étape par étape.

Verrouiller l'authentification (actions 1 à 3)

Action 1 : Validation en 2 étapes obligatoire pour tous

C'est la première action absolue. Dans admin.google.com, rendez-vous dans Sécurité > Authentification > Validation en 2 étapes, puis appliquez les réglages suivants :

1. autoriser les utilisateurs à activer la validation en 2 étapes : Oui ;
2. application : activée pour tous ;
3. méthodes autorisées : application d'authentification et clés de sécurité, à privilégier ;
4. période d'inscription : 14 jours, pour laisser le temps de configurer ;
5. à l'expiration : forcer la validation en 2 étapes.

Pour les comptes super-administrateurs, une clé de sécurité FIDO2 doit être obligatoire.

Action 2 : Programme Protection Avancée pour les comptes critiques

Le Programme Protection Avancée de Google est le niveau de sécurité maximal pour les comptes très exposés : dirigeants, comptabilité, ressources humaines. Il impose des clés FIDO2, bloque automatiquement les téléchargements non vérifiés, ajoute une vérification supplémentaire lors des récupérations de compte et limite l'accès des applications tierces. L'inscription se fait compte par compte depuis g.co/advancedprotection ; l'administrateur peut l'autoriser ou la bloquer dans Sécurité > Authentification > Programme Protection Avancée.

Action 3 : Context-Aware Access

Disponible sur les éditions Enterprise (Standard et Plus), le Context-Aware Access est l'équivalent Google de l'accès conditionnel de Microsoft : il définit qui peut accéder à quoi, depuis où et comment. Quelques politiques de base très efficaces :

• bloquer les connexions depuis les pays hors France et hors Union européenne ;
• exiger un appareil chiffré pour accéder à Drive ;
• bloquer l'accès depuis une adresse IP extérieure à l'entreprise ;
• bloquer les applications tierces non approuvées.

La configuration se trouve dans Sécurité > Contrôle des accès et des données > Accès contextuel.

Protéger les données et les e-mails (actions 4 à 7)

Action 4 : Gouvernance des partages Drive

C'est un risque majeur : des fichiers partagés en « toute personne disposant du lien ». Dans Applications > Google Workspace > Drive et Docs > Paramètres de partage, appliquez les réglages obligatoires suivants :

1. partage extérieur à l'organisation : désactivé, ou limité aux domaines de confiance ;
2. lien par défaut : restreint, aux seules personnes ajoutées explicitement ;
3. avertissement systématique lors d'un partage externe ;
4. blocage du téléchargement, de l'impression et de la copie pour les Drive externes sensibles.

Pour auditer l'existant, utilisez les journaux d'audit de Drive ou des outils tiers afin d'identifier les partages publics historiques.

Action 5 : Anti-hameçonnage et anti-spam avancés

Gmail intègre nativement des filtres contre l'hameçonnage et le spam. Encore faut-il pousser les réglages. Dans Applications > Google Workspace > Gmail > Sécurité, activez la protection avancée contre l'hameçonnage et les logiciels malveillants, la détection des liens malveillants, la protection contre l'usurpation d'identité, l'avertissement sur les e-mails externes inhabituels. À partir de Business Standard, activez aussi le bac à sable de sécurité des pièces jointes : il se trouve dans la rubrique voisine Spam, hameçonnage et logiciels malveillants.

Action 6 : DMARC, SPF et DKIM côté DNS

Votre domaine doit publier les trois enregistrements DNS d'authentification des e-mails. Sans eux, n'importe qui peut envoyer un message qui semble provenir de votre domaine :

• SPF : v=spf1 include:_spf.google.com ~all ;
• DKIM : généré par Google, puis publié côté DNS, depuis Gmail > Authentifier l'e-mail ;
• DMARC : commencez par une politique p=none pour observer, puis durcissez en p=quarantine avec une adresse de rapport.

Action 7 : Prévention de fuite de données (DLP)

Le DLP, inclus dans les éditions Enterprise, détecte automatiquement les données sensibles : numéros de carte bancaire, IBAN, numéros de sécurité sociale, données médicales, coordonnées clients. Quelques politiques recommandées : avertir l'utilisateur lors de l'envoi externe d'un fichier contenant plusieurs IBAN, bloquer le partage public d'un fichier contenant des numéros de sécurité sociale et journaliser toute mention de données sensibles dans Drive. La configuration se trouve dans Sécurité > Contrôle des accès et des données > Protection des données.

Archiver et sauvegarder (actions 8 et 9)

Action 8 : Google Vault, l'archivage légal

Google Vault, inclus dans Business Plus, Enterprise et Education, permet de définir des politiques de conservation des e-mails et de Drive (durée choisie en jours, ou conservation illimitée), de rechercher dans toutes les boîtes mail de l'organisation, d'exporter à des fins forensiques en cas de litige ou de contrôle, et de suspendre la suppression sur des données ciblées. Il est utile pour les secteurs réglementés et peut faciliter la réponse aux demandes liées au RGPD (droit d'accès, droit à l'effacement), sans être exigé par ce règlement.

Action 9 : La sauvegarde tierce, indispensable

Une idée fausse persiste : « Google sauvegarde mon Drive. » En réalité, Google assure la résilience de l'infrastructure, pas la sauvegarde longue durée. Un fichier supprimé reste 30 jours dans la corbeille ; une fois celle-ci vidée, l'administrateur dispose encore de 25 jours pour le restaurer, puis il est perdu définitivement. Un rançongiciel qui chiffre un Drive synchronisé peut aussi propager le chiffrement dans le cloud : Drive pour ordinateur sait désormais le détecter et restaurer les versions antérieures, mais seulement à partir de Business Standard. Plusieurs solutions de sauvegarde tierce existent ; pour les TPE techniques, une synchronisation vers un NAS local reste possible, au prix d'une administration manuelle.

Maîtriser les appareils et les accès (actions 10 et 11)

Action 10 : Gestion des appareils

Dans Appareils > Mobiles et points de terminaison, imposez un verrouillage d'écran obligatoire sur les mobiles et ordinateurs accédant à Workspace, un mot de passe d'appareil d'au moins 8 caractères, le chiffrement de l'appareil, l'effacement à distance et une liste blanche d'applications autorisées (règles de mot de passe, gestion des applications et effacement complet relèvent de la gestion avancée, incluse à partir de Business Plus). Pour les postes Windows et Mac, la validation des points de terminaison remonte l'état de l'appareil, que l'accès contextuel (éditions Enterprise) peut exiger avant d'autoriser l'accès.

Action 11 : Revue des super-administrateurs

Google recommande plusieurs super-administrateurs, chacun géré par une personne distincte, mais en nombre limité, même en PME : trop d'administrateurs démultiplie la surface d'attaque. Concrètement :

1. rétrogradez les administrateurs non essentiels vers des rôles métier (administrateur de la messagerie, administrateur de Drive) ;
2. placez les comptes super-administrateurs sur une adresse dédiée plutôt que sur un compte nominatif utilisé au quotidien ;
3. protégez ces comptes par une clé FIDO2 obligatoire ;
4. évitez de recevoir des e-mails sur le compte super-administrateur, afin de limiter l'exposition à l'hameçonnage direct.

Superviser et former (actions 12 et 13)

Action 12 : Tableau de bord de sécurité et alertes

Toutes les éditions disposent du centre d'alerte ; les éditions Enterprise y ajoutent un tableau de bord de sécurité qui donne une vue des menaces actives, des comptes potentiellement compromis, des tentatives d'hameçonnage reçues et des partages externes inhabituels. Configurez des règles d'alerte sur les événements sensibles : connexion depuis un pays inhabituel, désactivation de la validation en 2 étapes, création d'un nouveau super-administrateur. Les notifications doivent partir vers vous et vers une adresse de groupe dédiée à la sécurité.

Action 13 : Formation des utilisateurs

Les protections techniques s'effondrent si un utilisateur clique sur un lien d'hameçonnage. Une formation annuelle, complétée par des simulations, est donc recommandée. Un plan type combine quelques heures de théorie par an et des simulations trimestrielles, avec un objectif simple : faire baisser nettement le taux de clic sur les faux e-mails au fil des campagnes.

Plan de mise en conformité en 30 jours

Plutôt que de tout activer d'un coup, étalez le chantier sur quatre semaines pour ne rien casser et embarquer les équipes :

• Semaine 1 : validation en 2 étapes obligatoire pour tous, clés FIDO2 pour les super-administrateurs, revue des administrateurs.
• Semaine 2 : gouvernance Drive, partage par défaut en mode restreint, audit des partages existants.
• Semaine 3 : DMARC en mode observation, DKIM publié, protection avancée de Gmail.
• Semaine 4 : DLP de base orienté RGPD (éditions Enterprise), gestion des appareils, souscription d'une sauvegarde tierce.

Pour une PME de 10 personnes, le coût combiné d'un passage en Business Plus et d'une sauvegarde tierce reste à mettre en regard du coût d'un incident de sécurité.

Comparatif des éditions côté sécurité

Les fonctions de sécurité varient nettement d'une édition à l'autre. Voici les principaux jalons :

Pour une TPE/PME, Business Plus est le meilleur compromis sécurité : il débloque Vault et la gestion avancée des appareils ; le DLP avancé, le Context-Aware Access et le centre de sécurité restent réservés aux éditions Enterprise. Pour comparer plus largement les deux écosystèmes, consultez notre guide Google Workspace face à Microsoft 365 ; et pour le détail des abonnements, notre guide des prix de Google Workspace.

Sécuriser le domaine et former les utilisateurs

Activer correctement ces 13 actions suppose de savoir naviguer dans la console d'administration et de comprendre la logique de chaque réglage. Notre formation Google Workspace certifiante porte, elle, sur les usages quotidiens de la suite (dont le partage et les droits d'accès dans Drive) et n'enseigne pas l'administration de la console.

La formation prépare la certification ICDL « Travailler en équipe à l'aide d'outils collaboratifs en ligne », inscrite au Répertoire Spécifique, dont le passage est inclus dans les quatre formules. Vous la suivez à votre rythme sur la plateforme, avec de la visio individuelle ou du présentiel selon la formule choisie, à partir de 499 € en formule Autonomie. Paiement en plusieurs fois possible, sous réserve d'éligibilité et d'acceptation du prestataire (3 fois sans frais avec Klarna, 4 fois sans frais avec PayPal). Pour les TPE/PME qui équipent aussi leurs équipes en bureautique Microsoft, notre formation Pack Office (Excel, Word et PowerPoint) complète ce socle de compétences.