Sécuriser votre environnement Dynamics 365

Pourquoi la sécurité est importante dans Dynamics 365

Les environnements Dynamics 365 contiennent des données client sensibles, des enregistrements financiers, de la propriété intellectuelle et des workflows critiques. Une faille de sécurité peut entraîner des amendes réglementaires, des dommages à la réputation, des perturbations opérationnelles et une perte de confiance des clients.

Microsoft fournit des contrôles de sécurité de niveau entreprise intégrés dans Dynamics 365 et Power Platform, mais la configuration est votre responsabilité. Les paramètres par défaut sont conçus pour la facilité d'utilisation, pas pour une sécurité maximale. aperçu de la sécurité Power Platform.

Modèle de sécurité en couches

Dynamics 365 met en œuvre une architecture de sécurité multicouche où chaque couche fournit des contrôles indépendants. Comprendre ce modèle est crucial pour mettre en œuvre l'accès au moindre privilège. architecture de sécurité.

Couche 1 : accès à l'environnement (Microsoft Entra ID)

La première couche de défense contrôle qui peut s'authentifier sur le tenant de votre organisation. Ceci est géré via Microsoft Entra ID.

• Accès conditionnel : Appliquer des politiques basées sur l'utilisateur, la localisation, l'appareil et le niveau de risque
• Authentification multi-facteur : Exiger une vérification supplémentaire au-delà des mots de passe
• Protection de l'identité : Détecter et répondre aux risques basés sur l'identité
• Privileged Identity Management : Accès admin juste-à-temps avec workflows d'approbation
• Identités externes : Contrôler la collaboration B2B avec les organisations partenaires

Couche 2 : affectation d'environnement

Après l'authentification Microsoft Entra ID, les utilisateurs doivent être affectés à des environnements Dynamics 365 précis. Cette affectation se gère dans le centre d'administration Power Platform et détermine les environnements auxquels chacun peut accéder.

• Groupes de sécurité d'environnement : Limiter l'accès aux environnements à des groupes Microsoft Entra ID spécifiques
• Types d'environnement : Utiliser des environnements dédiés pour le développement, les tests et la production
• Accès Juste-à-Temps : Accorder un accès temporaire pour des tâches spécifiques
• Revues d'accès : Auditer régulièrement les membres des environnements

Couche 3 : rôles de sécurité (Dataverse)

Les rôles de sécurité définissent ce que les utilisateurs peuvent faire dans un environnement – quelles entités ils peuvent accéder et quelles opérations ils peuvent effectuer. rôles de sécurité et privilèges.

• Profondeur des privilèges : Utilisateur (propres), business unit, parent-enfant, organisation (tous les enregistrements)
• Rôles de sécurité personnalisés : Créer des définitions de rôles alignées avec les fonctions de travail
• Copier et personnaliser : Partir des rôles prédéfinis mais personnaliser au moindre privilège
• Rôles multiples : Les utilisateurs héritent des permissions cumulatives de tous les rôles assignés
• Sécurité au niveau des champs : Contrôler l'accès en lecture/mise à jour aux champs sensibles

Couche 4 : sécurité au niveau des enregistrements

Même avec des rôles de sécurité, vous pouvez restreindre davantage l'accès à des enregistrements spécifiques.

• Sécurité basée sur le propriétaire : Les utilisateurs ne voient que les enregistrements qu'ils possèdent
• Hiérarchie des business units : Les BU parents peuvent accéder aux enregistrements des BU enfants
• Équipes : Regrouper les utilisateurs pour un accès partagé aux enregistrements
• Partage : Accorder un accès ponctuel à des enregistrements spécifiques
• Équipes d'accès : Partager automatiquement les enregistrements basé sur des templates d'équipe

Couche 5 : sécurité au niveau des champs

Protéger les champs sensibles contre toute consultation ou modification non autorisée, même lorsque l'utilisateur a accès à l'enregistrement. C'est indispensable pour les données personnelles, les données financières ou les informations confidentielles.

• Profils de sécurité des champs : Définir quels champs les utilisateurs peuvent lire ou mettre à jour
• Chiffrement : Les champs marqués sécurisés sont chiffrés au repos
• Pistes d'audit : Suivre qui a accédé ou modifié les champs sécurisés
• Impact sur la performance : La sécurité des champs ajoute une surcharge aux requêtes – utiliser judicieusement

Chiffrement et protection des données

Chiffrement au Repos

Toutes les données de Dynamics 365 sont chiffrées au repos avec SQL Transparent Data Encryption (TDE) en AES-256. Par défaut, Microsoft gère les clés de chiffrement, mais les organisations peuvent apporter leurs propres clés (BYOK) pour un contrôle accru. gestion des clés de chiffrement.

• Clés gérées par Microsoft : Option par défaut, rotation automatisée des clés
• Clés gérées par le client : Stocker les clés dans votre Azure Key Vault pour un contrôle total
• Rotation des clés : Plannings de rotation automatisés pour limiter l'exposition
• Conformité : Requis pour certains frameworks réglementaires (HIPAA, ITAR)

Chiffrement en transit

Toutes les communications entre les clients et les services Dynamics 365 utilisent TLS 1.2 ou une version ultérieure, ce qui protège les données contre l'interception lors de leur transmission sur les réseaux.

• Désactiver les protocoles legacy (TLS 1.0, 1.1)
• Appliquer HTTPS pour toutes les intégrations personnalisées
• Utiliser le certificate pinning pour les apps mobiles
• Surveiller les attaques de downgrade de protocole

Prévention de la perte de données (DLP)

Les stratégies DLP empêchent les données sensibles de quitter votre organisation via les connecteurs Power Platform, les e-mails ou les exports. configuration des politiques DLP.

• Classification des connecteurs : Labelliser les connecteurs comme business, non-business ou bloqués
• Restrictions cross-tenant : Bloquer le partage de données avec les tenants externes
• DLP des points de terminaison : Contrôler les captures d'écran, copier/coller dans Power Apps mobile
• Correspondance de modèles : Détecter et bloquer les données sensibles comme les numéros de sécurité sociale
• Portée des politiques : Appliquer les politiques à des environnements spécifiques ou à tout le tenant

Journalisation et surveillance d'audit

Une journalisation complète fournit une visibilité sur les activités utilisateur, les événements de sécurité et les changements système. audit pour Dataverse.

Journalisation d'audit Dataverse

• Audit au niveau entité : Activer l'audit sur des entités spécifiques
• Audit au niveau champ : Suivre les changements sur des champs spécifiques pour la conformité
• Audit d'accès utilisateur : Journaliser toutes les opérations de lecture pour les entités sensibles
• Rétention : Logs d'audit conservés 30-365 jours selon la licence
• Rapports d'audit : Vues intégrées pour l'historique des changements
• Export : Exporter les logs d'audit vers Azure Data Lake pour une rétention à long terme

Journal d'audit unifié Microsoft 365

Les activités Power Platform sont enregistrées dans le journal d'audit unifié, qui offre une visibilité centralisée sur l'ensemble des services Microsoft 365.

• Activités admin : Création d'environnements, changements de politiques DLP
• Activités utilisateur : Lancements d'apps, exports de données
• Rétention : 90 jours standard (jusqu'à 10 ans avec licence E5)
• Recherche et alertes : Rechercher dans les logs et créer des alertes
• Intégration SIEM : Streamer les logs vers Microsoft Sentinel ou SIEM tiers

Journalisation et analytiques d'activité

• Analytiques Power Platform : Tableaux de bord intégrés pour les tendances d'usage
• Application Insights : Télémétrie détaillée pour les apps personnalisées
• Journalisation personnalisée : Mettre en œuvre la journalisation des plugins pour les événements métier
• Alertes : Configurer des alertes pour les comportements anormaux

Sécurisation des intégrations et API

Authentification par service principal

N'utilisez jamais les identifiants d'un utilisateur pour les intégrations entre applications. Les principaux de service (inscriptions d'applications Microsoft Entra ID) fournissent une identité aux applications sans exposer de comptes utilisateurs. authentification serveur à serveur.

• Utilisateurs d'application : Utilisateurs non-interactifs représentant les applications
• Auth basée sur certificat : Utiliser des certificats au lieu des secrets client quand possible
• Rotation des secrets : Faire tourner les secrets client tous les 90 jours minimum
• Moindre privilège : N'accorder que les rôles nécessaires aux service principals
• Surveillance : Suivre les activités des service principals séparément

Bonnes pratiques de sécurité API

• OAuth 2.0 : Exiger des tokens OAuth pour tout accès API
• Scopes : Demander les scopes OAuth minimaux nécessaires
• Rate limiting : Mettre en œuvre le throttling pour prévenir les abus
• Restrictions IP : Limiter l'accès API aux plages IP connues
• Validation des requêtes : Valider toutes les entrées pour prévenir les injections
• Politiques CORS : Restreindre les requêtes cross-origin aux domaines de confiance

Sécurité des webhooks et plugins

• HTTPS uniquement : Les webhooks doivent utiliser des endpoints HTTPS avec des certificats valides
• En-têtes d'authentification : Inclure des secrets partagés ou tokens JWT dans les appels webhook
• Isolation sandbox : Les plugins s'exécutent dans un environnement sandboxé
• Revues de code : Revue de sécurité de tout le code des plugins avant déploiement
• Sanitization des entrées : Ne jamais faire confiance aux entrées utilisateur – valider et sanitizer

Conformité et gouvernance

Conformité réglementaire

Dynamics 365 dispose de certifications de conformité pour les principaux cadres réglementaires, mais les organisations doivent configurer correctement leurs environnements pour répondre à leurs exigences spécifiques. conformité et confidentialité des données.

• RGPD : Droits des personnes concernées (accès, suppression, portabilité), gestion du consentement
• HIPAA : Business Associate Agreement (BAA), chiffrement, journalisation d'audit
• SOC 2 : Contrôles d'accès, gestion des changements, procédures de réponse aux incidents
• ISO 27001 : Exigences du système de gestion de la sécurité de l'information
• FedRAMP : Exigences et contrôles du cloud gouvernemental

Résidence et souveraineté des données

• Sélection géographique : Choisir la région de l'environnement selon les exigences de résidence
• Multi-Geo : Stocker les données dans plusieurs géographies pour les organisations globales
• Transfert de données : Comprendre les implications des transferts transfrontaliers
• Limites de conformité : Utiliser Microsoft Compliance Manager pour évaluer les écarts

Centre d'excellence (CoE)

Mettez en place un cadre de gouvernance pour Power Platform afin de concilier innovation, sécurité et conformité. CoE Starter Kit.

• Stratégie d'environnement : Définir quand et comment provisionner les environnements
• Conventions de nommage : Nommage standardisé pour les ressources et solutions
• Workflows d'approbation : Gates de gouvernance pour les déploiements en production
• Formation des makers : Sensibilisation à la sécurité pour les citizen developers
• Surveillance des ressources : Identifier et remédier aux ressources orphelines ou non conformes

Protection contre les menaces et réponse aux incidents

Microsoft Defender for Cloud Apps

Cloud App Security Broker (CASB) fournissant protection contre les menaces et détection d'anomalies.

• Détection d'anomalies : Identifier les modèles d'activité inhabituels (voyage impossible, téléchargements massifs)
• Politiques de session : Surveillance en temps réel et blocage des sessions risquées
• Découverte d'apps : Détecter le shadow IT et l'usage non autorisé d'apps
• Intégration accès conditionnel : Appliquer des contrôles d'accès adaptatifs

Planification de la réponse aux incidents

• Playbooks : Documenter les procédures de réponse pour les incidents de sécurité
• Rôles et responsabilités : Définir qui fait quoi pendant les incidents
• Plans de communication : Templates pour la notification des utilisateurs et les mises à jour des parties prenantes
• Sauvegarde et récupération : Sauvegardes régulières des environnements, procédures de restauration testées
• Forensics : Préserver les logs d'audit et artefacts pour investigation
• Leçons apprises : Revues post-incident pour améliorer la posture de sécurité

Formation à la sensibilisation à la sécurité

• Simulations de phishing : Tester la sensibilisation des utilisateurs avec des attaques simulées
• Champions de la sécurité : Identifier et former des défenseurs de la sécurité dans chaque équipe
• Communication des politiques : Communiquer régulièrement les politiques de sécurité
• Métriques : Suivre la complétion des formations et les tendances des incidents

Checklist de durcissement de la sécurité

Conclusion

Sécuriser les environnements Dynamics 365 nécessite une attention continue à la gestion des identités, à la protection des données, aux contrôles d'accès, à la journalisation d'audit et à la détection des menaces. La sécurité n'est pas une mise en œuvre ponctuelle mais un processus continu d'évaluation, de durcissement, de surveillance et d'amélioration.

Commencez par les fondamentaux : appliquez la MFA, mettez en œuvre l'accès au moindre privilège via les rôles de sécurité, activez un audit complet et établissez des politiques DLP. Puis ajoutez des contrôles avancés selon votre profil de risque.

Surtout, favorisez une culture de la sécurité où développeurs, administrateurs et utilisateurs comprennent leur rôle dans la protection des données sensibles. Les contrôles techniques sont nécessaires mais insuffisants : les personnes et les processus sont tout aussi essentiels pour maintenir une posture de sécurité solide dans les environnements Dynamics 365.