Gestion des droits relatifs à l’information dans Exchange 2016

[Cette rubrique est une documentation préliminaire et peut être modifiée dans les versions ultérieures. Des rubriques vides sont incluses comme espaces réservés. N’hésitez pas à nous transmettre vos commentaires. Envoyez-nous un e-mail à l’adresse ExchangeHelpFeedback@microsoft.com.]  

S’applique à :Exchange Server 2016

Découvrez comment les administrateurs peuvent utiliser la Gestion des droits relatifs à l’information (IRM) dans Exchange 2016 afin d’empêcher la divulgation d’informations sensibles.

Les e-mails sont utilisés quotidiennement pour échanger des informations sensibles, telles que des informations ou des rapports confidentiels. Puisqu’il est maintenant possible d’accéder à ses e-mails de n’importe quel endroit du monde, les boîtes aux lettres se sont transformées en référentiels contenant de gros volumes d’informations potentiellement sensibles. En conséquence, la fuite d’informations peut représenter une sérieuse menace pour les entreprises. Pour contribuer à la prévention de ce problème, Exchange 2016 inclut des fonctions de Gestion des droits relatifs à l’information (IRM) qui offrent une protection persistante, en ligne et hors connexion, pour les messages électroniques et les pièces jointes. Ces fonctionnalités IRM restent sensiblement identiques à celles d’Exchange 2013.

La fuite d’informations est la divulgation d’informations sensibles à des utilisateurs non autorisés. La fuite d’informations peut s’avérer onéreuse pour une organisation et avoir un large retentissement sur son activité, son personnel, ses clients et ses partenaires. Pour éviter toute violation des réglementations applicables, les organisations doivent se protéger contre les fuites d’information intentionnelles ou accidentelles.

Une fuite d’informations peut avoir un certain nombre de conséquences :

  • Dommages financiers   L’organisation pourrait subir une baisse d’activité, devoir payer des amendes ou faire l’objet d’une couverture médiatique défavorable.

  • Impact négatif sur l’image et la crédibilité   La fuite peut être une source d’embarras pour l’expéditeur et l’organisation.

  • Perte d’avantages concurrentiels   Il s’agit de l’une des conséquences les plus graves. La divulgation de plans de développement ou de fusion et d’acquisition stratégiques peut entraîner des pertes de chiffre d’affaires ou une baisse de la capitalisation boursière pour l’organisation. La perte d’informations de recherche et développement, de données analytiques et de droits de propriété intellectuelle font partie des autres menaces possibles en matière d’avantages concurrentiels.

Bien que les solutions traditionnelles de prévention de la fuite d’informations offrent une protection contre l’accès initial aux données, elles ne fournissent pas une protection constante. Le tableau suivant décrit plusieurs de ces solutions traditionnelles.

 

Solution Description Limites

Protocole TLS (Transport Layer Security)

Le protocole TLS est un protocole Internet normalisé de chiffrement des communications réseau. Dans un environnement de messagerie, le protocole TLS permet de chiffrer les échanges entre serveurs et entre clients et serveurs.

Par défaut, Exchange utilise le protocole TLS pour tous les transferts internes de messages. Le TLS opportuniste est également activé par défaut pour les sessions SMTP avec des hôtes externes (le chiffrement TLS est testé en premier, mais s’il n’est pas disponible, les communications non chiffrées sont autorisées). Il est également possible de configurer la sécurité de domaine en intégrant le mécanisme Mutual TLS pour les organisations externes.

Le protocole TLS protège uniquement la session SMTP entre deux hôtes SMTP. En d’autres termes, TLS protège les informations en mouvement, mais ne protège pas l’information au niveau du message ni dans ses autres aspects. À moins d’utiliser une autre méthode de chiffrement, les messages contenus dans les boîtes aux lettres des expéditeurs et des destinataires restent sans protection.

Pour les e-mails envoyés à des destinataires extérieurs à l’organisation, le protocole TLS ne peut être exigé que pour le premier saut. Lorsqu’un hôte SMTP distant reçoit le message, il peut le relayer à un autre hôte SMTP via une session non chiffrée.

Puisque le protocole TLS est un mécanisme de la couche transport qui est utilisé dans le flux de messagerie, il ne permet pas de contrôler ce que le destinataire fait avec le message.

Cryptage des messages

Les utilisateurs peuvent utiliser des technologies de chiffrement des messages telles que S/MIME.

Les utilisateurs décident si un message doit être chiffré ou non.

Le déploiement d’une infrastructure à clé publique (PKI) avec sa charge connexe de gestion des certificats des utilisateurs et la protection des clés privées entraîne des coûts supplémentaires.

Une fois qu’un message est déchiffré, il n’est pas possible de contrôler ce que le destinataire peut faire avec les informations. Les informations déchiffrées peuvent être copiées, imprimées ou transférées. Par défaut, les pièces jointes enregistrées ne sont pas protégées.

Les serveurs de messagerie ne peuvent pas ouvrir et inspecter les messages qui sont chiffrés par le protocole S/MIME. Par conséquent, ils ne peuvent pas mettre en œuvre de stratégies de messagerie, analyser les messages pour détecter la présence de virus ou effectuer d’autres actions qui nécessitent un accès au contenu des messages.

Enfin, les solutions traditionnelles manquent souvent d’outils de mise en œuvre des principes de protection des informations personnelles permettant d’appliquer les stratégies de messagerie destinées à empêcher les fuites d’informations de manière uniforme. Par exemple, un utilisateur marque un message comme Confidentiel et Ne pas transférer. Une fois le message remis au destinataire, l’expéditeur ou l’organisation ne dispose plus d’aucun moyen de contrôler le message. Le destinataire peut transférer le message volontairement ou accidentellement (en utilisant des fonctions telles que les règles de transfert automatique) à des comptes de messagerie externes, ce qui expose votre organisation à des risques de fuites d’informations importantes.

L’IRM dans Exchange contribue à éviter la fuite d’informations grâce aux fonctionnalités suivantes :

  • Empêcher un destinataire autorisé d’un contenu protégé par IRM de transférer, modifier, imprimer, télécopier, enregistrer ou couper et coller ce contenu.

  • Protéger les formats de fichier de pièce jointe pris en charge en leur conférant le même niveau de protection que celui du message.

  • Prendre en charge l’expiration des messages et pièces jointes protégés par IRM pour qu’ils ne puissent plus être consultés après la période spécifiée.

  • Empêcher la copie d’un contenu protégé par IRM à l’aide de l’Outil Capture d’écran dans Windows.

Toutefois, l’IRM dans Exchange n’empêche pas la divulgation d’informations si les méthodes suivantes sont utilisées :

  • Programmes de capture d’écran tiers.

  • Photographie du contenu protégé par IRM qui s’affiche à l’écran.

  • Mémorisation des informations ou leur transcription manuelle par les utilisateurs.

L’IRM utilise les Services AD RMS (Active Directory Rights Management Services), une technologie de protection des informations dans Windows Server qui fait appel à des certificats ou licences XrML (eXtensible Rights Markup Language) pour certifier les ordinateurs et les utilisateurs, et pour protéger le contenu. Lorsqu’un document ou un message est protégé par les services AD RMS, une licence XrML contenant les droits d’accès au contenu par les utilisateurs est jointe à ce contenu. Pour accéder au contenu protégé par IRM, les applications activées pour AD RMS doivent se procurer une licence d’utilisation pour l’utilisateur autorisé depuis le serveur AD RMS. Les applications Office, telles que Word, Excel, PowerPoint et Outlook, sont activées pour RMS et peuvent être utilisées pour créer et consommer du contenu protégé.

noteRemarque :
L’agent de pré-licence Exchange joint une licence d’utilisation aux messages protégés par le serveur AD RMS dans votre organisation. Pour plus d’informations, reportez-vous à la section Pré-licence, plus loin dans cette rubrique.

Pour en savoir plus sur les Services AD RMS (Active Directory Rights Management Services), reportez-vous à Services AD RMS (Active Directory Rights Management Services).

Les serveurs AD RMS fournissent un service web utilisé pour énumérer et acquérir les modèles de stratégie de droits XrML qui vous permettent d’appliquer la protection IRM aux messages. En appliquant le modèle de stratégie de droits approprié, vous pouvez contrôler si un destinataire est autorisé à répondre au message, répondre à tous, transférer le message, en extraire des informations, l’enregistrer ou l’imprimer.

Par défaut, Exchange est livré avec le modèle Ne pas transférer. Lorsque ce modèle est appliqué à un message, seuls les destinataires du message peuvent le déchiffrer. Les destinataires ne peuvent pas transférer le message, en copier le contenu ou l’imprimer. Vous pouvez créer des modèles RMS supplémentaires sur les serveurs AD RMS de votre organisation pour répondre à vos besoins.

Pour plus d’informations sur les modèles de stratégie de droits, consultez les considérations relatives aux modèles de stratégie AD RMS.

Pour plus d’informations sur la création des modèles de stratégie de droits AD RMS, consultez le guide détaillé sur la création et le déploiement de modèles de stratégie de droits AD RMS.

Par défaut, une organisation Exchange est activée pour l’IRM. Cependant, pour appliquer la protection IRM aux messages, vous devez utiliser au moins l’une des méthodes suivantes :

  • Application manuelle par les utilisateurs dans Outlook   Les utilisateurs peuvent protéger les messages par IRM dans Outlook à l’aide des modèles de stratégie de droits AD RMS auxquels ils ont accès. Ce processus utilise la fonctionnalité IRM dans Outlook, et non dans Exchange. Pour plus d’informations sur l’utilisation de l’IRM dans Outlook, reportez-vous à la rubrique relative à la présentation de l’utilisation de l’IRM pour les messages électroniques.

  • Application manuelle par les utilisateurs dans Outlook sur le web   Lorsqu’un administrateur active l’IRM dans Outlook sur le web (anciennement Outlook Web App), les utilisateurs peuvent protéger les messages qu’ils envoient par IRM et afficher les messages protégés par IRM qu’ils reçoivent. Pour plus d’informations sur l’IRM dans Outlook sur le web, consultez la rubrique Gestion des droits relatifs à l’information dans Outlook Web App.

  • Application manuelle par les utilisateurs dans Exchange ActiveSync   Lorsqu’un administrateur active l’IRM dans Exchange ActiveSync, les utilisateurs peuvent afficher les messages protégés par IRM, y répondre, les transférer et en créer sur les appareils ActiveSync. Pour plus d’informations, reportez-vous à la rubrique Gestion des droits relatifs à l’information (IRM) dans Exchange ActiveSync.

  • Application automatique dans Outlook   Les administrateurs peuvent créer des règles de protection Outlook pour activer une protection IRM automatique des messages. Les règles de protection Outlook sont déployées automatiquement chez les clients Outlook, et la protection IRM est appliquée par Outlook lorsque l’utilisateur compose un message. Pour plus d’informations, reportez-vous à la rubrique Règles de protection Outlook.

  • Application automatique sur les serveurs de boîte aux lettres   Les administrateurs peuvent créer des règles de flux de messagerie (également appelées règles de transport) afin d’activer une protection IRM automatique des messages qui correspond aux conditions spécifiées. Pour plus d’informations, consultez la rubrique Règles de protection de transport.

    noteRemarque :
    La protection IRM n’est pas appliquée à nouveau aux messages qui sont déjà protégés par IRM. Par exemple, si un utilisateur active la protection IRM d’un message dans Outlook ou Outlook sur le web, une règle de protection de transport n’appliquera pas cette protection au même message.

Ce tableau décrit les scénarios d’envoi des messages et indique si la protection IRM est disponible.

 

Scénario L’envoi de messages protégés par IRM est-il pris en charge ? Configuration requise

Envoi de messages au sein de la même organisation Exchange locale.

Oui

Pour plus d’informations sur la configuration requise, reportez-vous à la section Configuration requise pour la gestion des droits relatifs à l’information (IRM) plus loin dans cette rubrique.

Envoi de messages entre différentes forêts Active Directory dans une organisation locale.

Oui

Pour plus d’informations sur la configuration requise, consultez la rubrique relative à la configuration d’AD RMS pour l’intégrer avec Exchange Server 2010 dans plusieurs forêts.

Envoi de messages entre une organisation Exchange locale et une organisation Office 365 dans un déploiement hybride.

Oui

Pour plus d’informations, consultez la rubrique Gestion des droits relatifs à l’information (IRM) dans des déploiements hybrides Exchange.

Envoi de messages à des destinataires externes.

Non

Exchange n’inclut pas de solution permettant l’envoi de messages protégés par IRM à des destinataires externes dans des organisations non fédérées. Pour créer une approbation fédérée entre deux forêts Active Directory à l’aide des Services ADFS (Active Directory Federation Services), reportez-vous à la rubrique Présentation des stratégies d’approbation AD RMS.

Pour mettre en œuvre les stratégies de messagerie et à des fins de conformité réglementaire, Exchange a besoin d’accéder au contenu des messages chiffrés. Pour satisfaire les exigences de découverte électronique afférentes aux litiges, audits réglementaires ou enquêtes internes, un auditeur désigné doit aussi être en mesure de rechercher les messages chiffrés. Pour faciliter ces tâches, Exchange inclut les fonctionnalités de déchiffrement suivantes :

  • Déchiffrement du transport   Autorise l’accès au contenu du message par les agents de transport qui sont installés sur les serveurs Exchange. Pour plus d’informations, consultez la rubrique Déchiffrement du transport.

  • Déchiffrement de l’état de journal   Permet d’effectuer une journalisation standard ou premium afin d’enregistrer une copie déchiffrée des messages protégés par IRM dans des états de journal. Pour plus d’informations, consultez la rubrique Activation du déchiffrement de l’état de journal.

  • Déchiffrement IRM pour Recherche Exchange   Permet à Recherche Exchange d’indexer le contenu des messages protégés par IRM. Lorsqu’un gestionnaire de découverte effectue une recherche de découverte électronique inaltérable, les messages protégés par IRM ayant été indexés font partie des résultats de la recherche. Pour plus d’informations, reportez-vous à la rubrique Configurer IRM pour la recherche et la découverte locale dans Exchange.

Pour activer ces fonctionnalités de déchiffrement, vous devez ajouter la boîte aux lettres de fédération (une boîte aux lettres système créée par Exchange), au groupe de super utilisateurs sur le serveur AD RMS. Pour obtenir des instructions, consultez la rubrique Ajouter la boîte aux lettres de fédération au groupe de super utilisateurs AD RMS.

Pour permettre aux utilisateurs autorisés d’afficher les messages et pièces jointes protégés par IRM, Exchange joint automatiquement une pré-licence aux messages protégés. Ainsi, le client n’a pas besoin de revenir plusieurs fois au serveur AD RMS pour récupérer une licence d’utilisation et autorise la consultation hors ligne des messages protégés par IRM. Le service de pré-licence permet également aux utilisateurs d’afficher les messages protégés par IRM dans Outlook sur le web. Lorsque vous activez les fonctionnalités IRM, la pré-licence est activée par défaut.

Les fonctionnalités IRM utilisent les agents de transport intégrés qui existent dans le service de transport sur les serveurs de boîtes aux lettres. La plupart des agents de transport intégrés sont invisibles et non gérables par les cmdlets de gestion des agents de transport dans l’Environnement de ligne de commande Exchange Management Shell (*-TransportAgent).

Les agents de transport intégrés qui sont associés à l’IRM sont décrits dans ce tableau :

 

Nom de l’agent Gérable ? Événement SMTP ou du catégoriseur Description

Agent de déchiffrement du rapport de journal

Non

OnCategorizedMessage

Fournit une copie en texte clair des messages protégés par IRM qui sont joints à des états de journal.

Agent de pré-licence

Non

OnRoutedMessage

Joint une pré-licence aux messages protégés par IRM.

Agent de déchiffrement RMS

Non

OnSubmittedMessage,

Déchiffre les messages protégés par IRM pour autoriser l’accès au contenu du message par des agents de transport.

Agent de chiffrement RMS

Non

OnRoutedMessage

Applique la protection IRM aux messages marqués par l’agent de transport et chiffre à nouveau les messages déchiffrés au cours du transport.

Agent de déchiffrement de protocole RMS

Non

OnEndOfData

Déchiffre les messages protégés par IRM pour autoriser l’accès au contenu du message par des agents de transport.

Agent de règles de transport

Oui

OnRoutedMessage

Marque les messages répondant aux conditions d’une règle de protection de transport comme devant recevoir une protection IRM par l’agent de chiffrement RMS.

Pour plus d’informations sur les agents de transport, consultez la rubrique Agents de transport.

Par défaut, une organisation Exchange prend en charge l’IRM. Pour réellement implémenter l’IRM dans votre organisation Exchange 2016, votre déploiement doit répondre aux conditions décrites dans ce tableau.

 

Serveur Configuration requise

Cluster AD RMS

Cluster AD RMS est le terme utilisé pour tout déploiement AD RMS, y compris un serveur AD RMS unique. AD RMS est un service web. Par conséquent, vous n’avez pas besoin de configurer un cluster de basculement Windows Server. Pour la haute disponibilité et l’équilibrage de la charge, vous pouvez déployer plusieurs serveurs AD RMS dans le cluster et utiliser la fonctionnalité d’équilibrage de la charge réseau (NLB).

Point de connexion de service   Les applications compatibles AD RMS, telles qu’Exchange, utilisent le point de connexion de service enregistré dans Active Directory pour détecter un cluster AD RMS et les URL. La forêt Active Directory comporte un seul point de connexion de service pour AD RMS. Vous pouvez enregistrer le point de connexion de service pendant ou après l’installation d’AD RMS.

Autorisations   Les autorisations de lecture et d’exécution sur le pipeline de certification du serveur AD RMS (fichier ServerCertification.asmx sur \inetpub\wwwroot\_wmcs\certification\) doivent être attribuées à ces principaux de sécurité :

Super utilisateurs AD RMS   Pour activer le déchiffrement du transport, le déchiffrement d’états de journal, l’IRM dans Outlook sur le web et le déchiffrement IRM pour Recherche Exchange, vous devez ajouter la boîte aux lettres de fédération au groupe des super utilisateurs sur le cluster AD RMS. Pour plus d’informations, consultez la rubrique Ajouter la boîte aux lettres de fédération au groupe de super utilisateurs AD RMS.

Exchange

Exchange 2010 ou version ultérieure est requis.

Un environnement de production ne prend pas en charge l’installation d’AD RMS et d’Exchange sur le même serveur.

Outlook

Les modèles AD RMS de protection des messages sont disponibles dans Outlook 2007 ou version ultérieure.

Les règles de protection Outlook dans Exchange nécessitent Outlook 2010 ou version ultérieure.

Exchange ActiveSync

L’IRM est disponible sur les appareils et les applications mobiles qui prennent en charge la version de protocole Exchange ActiveSync 14.1 ou ultérieure et la balise RightsManagementInformation incluse (les deux étant compris dans le Service Pack 1 Exchange 2010). Les utilisateurs disposant d’appareils pris en charge peuvent utiliser ActiveSync pour afficher, transférer et créer des messages protégés par IRM, ainsi qu’y répondre, sans avoir à se connecter à un ordinateur pour activer l’appareil pour la fonctionnalité. Pour plus d’informations, reportez-vous à la rubrique Gestion des droits relatifs à l’information (IRM) dans Exchange ActiveSync.

Les fonctionnalités IRM d’Exchange prennent en charge les formats de fichiers Office. Vous pouvez étendre la protection IRM à d’autres formats de fichiers en déployant des protections personnalisées. Pour plus d’informations, consultez la section relative aux partenaires pour le contrôle et la protection des informations sur la page Partenaires Microsoft.

L’Environnement de ligne de commande Exchange Management Shell permet de configurer les fonctionnalités IRM dans Exchange. Pour en savoir plus sur les procédures, reportez-vous à la rubrique Procédures de gestion des droits relatifs à l’information.

Après avoir installé et configuré un serveur de boîte aux lettres, vous pouvez utiliser la cmdlet Test-IRMConfiguration pour tester de bout en bout votre déploiement IRM. La cmdlet effectue les tests suivants :

  • Elle inspecte la configuration IRM de votre organisation Exchange.

  • Elle contrôle les informations relatives à la version et aux correctifs du serveur AD RMS.

  • Elle vérifie s’il est possible d’activer un serveur Exchange pour RMS en récupérant le certificat de compte de droits (RAC) et le certificat de licence client.

  • Elle acquiert des modèles de stratégie de droits AD RMS à partir du serveur AD RMS.

  • Elle vérifie que l’expéditeur spécifié peut envoyer des messages protégés par IRM.

  • Elle récupère une licence d’utilisation de super utilisateur pour le destinataire spécifié.

  • Elle acquiert une pré-licence pour le destinataire spécifié.

Pour plus d’informations, consultez la rubrique Test-IRMConfiguration.

Le Connecteur Azure Rights Management (connecteur RMS) est une application facultative qui améliore la protection des données de votre serveur Exchange en utilisant des services de Gestion des droits Azure (Azure RMS) informatiques. Une fois que vous avez installé le connecteur RMS, il protège en continu les données au cours de la durée de vie des informations. Comme ces services sont personnalisables, vous pouvez définir le niveau de protection dont vous avez besoin. Par exemple, vous pouvez limiter l’accès d’utilisateurs spécifiques à des courriers électroniques ou définir des droits d’affichage seul pour certains messages.

Pour en savoir plus sur le connecteur RMS et son installation, consultez la rubrique Déploiement du connecteur Azure Rights Management.

 
Afficher: