Il peut être difficile de comprendre pourquoi ce n’est pas déjà obligatoire, mais Microsoft Corp. dit qu’il obligera bientôt tous les fournisseurs de solutions cloud (CSP) qui aident les entreprises à gérer leur Bureau 365 comptes pour utiliser l’authentification multifacteur. Cette décision intervient au milieu d’une augmentation notable des attaques de phishing et de logiciels malveillants ciblant les employés et les sous-traitants de CSP.
Lorsqu’une organisation achète des licences Office365 auprès d’un partenaire revendeur, le partenaire se voit accorder des privilèges administratifs afin d’aider l’organisation à configurer le locataire et à établir le compte administrateur initial. Microsoft indique que les clients peuvent supprimer cet accès administratif s’ils ne veulent pas ou n’ont pas besoin que le partenaire ait accès après la configuration initiale.
Mais de nombreuses entreprises s’associent à un CSP simplement pour obtenir des prix plus avantageux sur les licences logicielles, pas nécessairement pour que quelqu’un les aide à gérer leurs systèmes Azure/O365. Et ces entités sont plus susceptibles d’ignorer que, simplement en vertu de ce partenariat, elles donnent à quelqu’un de leur CSP (ou peut-être même à des sous-traitants extérieurs travaillant pour le CSP) un accès complet à tous les e-mails et fichiers de leur organisation stockés dans le cloud.
C’est exactement ce qui s’est passé avec une entreprise dont les systèmes de messagerie ont été piratés par des intrus qui ont fait irruption dans PCM Inc., le sixième plus grand CSP au monde. L’entreprise s’était associée à PCM parce que cela revenait beaucoup moins cher que de simplement acheter des licences directement auprès de Microsoft, mais son équipe de sécurité ignorait qu’un employé ou un sous-traitant de PCM conservait un accès complet à tous les e-mails et documents de ses employés dans Office365.
En l’occurrence, l’employé de PCM n’utilisait pas l’authentification multifacteur. Et lorsque le compte de cet employé de PCM a été piraté, il en a été de même pour de nombreux autres clients de PCM.
BreachTrace a contacté Microsoft cette semaine pour savoir si l’entreprise pouvait faire quelque chose pour mieux expliquer ce risque aux clients et aux partenaires CSP. En réponse, Microsoft a déclaré que bien que ses conseils aient toujours été pour les partenaires d’activer et d’exiger l’authentification multifacteur pour tous les administrateurs ou utilisateurs d’agents dans les locataires partenaires, cela la rendrait bientôt obligatoire.
« Pour aider à protéger les clients et les partenaires, nous introduisons de nouvelles exigences de sécurité obligatoires pour les partenaires participant au programme Cloud Solution Provider (CSP), les fournisseurs de panneaux de contrôle et les partenaires Advisor », a déclaré Microsoft dans un communiqué fourni à BreachTrace.
« Cela inclut l’application d’une authentification multifacteur pour tous les utilisateurs des locataires partenaires et l’adoption d’un modèle d’application sécurisé pour leur intégration d’API avec Microsoft », poursuit le communiqué. « Nous avons informé nos partenaires de ces changements et l’application sera déployée au cours des prochains mois. »
Microsoft a déclaré que les clients peuvent vérifier ou supprimer les privilèges d’administration déléguée d’un partenaire de leurs locataires à tout moment, et que des conseils sur la façon de procéder sont disponibles. ici et ici.
Il s’agit d’un changement bienvenu, même s’il est attendu depuis longtemps. D’innombrables violations de données sont liées à des paramètres faibles ou par défaut. Qu’il s’agisse de fonctionnalités logicielles inutiles activées, de mots de passe codés en dur ou de paramètres de sécurité clés facultatifs, les paramètres par défaut sont extrêmement importants car beaucoup trop de gens ne les modifient jamais – ou ils ne savent tout simplement pas qu’ils existent.