Alertes de courrier électronique

La sécurité des courriels configure des actions selon l'expéditeur, les destinataires, le contenu sensible et d'autres critères. L'audit permet de consulter les activités correspondantes reçues par la plateforme. La description suivante prend l’envoi de courriels depuis des terminaux Windows comme exemple ; testez séparément les autres plateformes, clients de messagerie et modes d'accès.

Un état d'envoi, de réception ou de blocage ne prouve pas à lui seul qu'un message est arrivé au serveur destinataire, a été lu ou constitue une fuite de données. Recoupez avec le système de messagerie et le contexte métier.

Les procédures utilisent les libellés anglais de la console d'administration.

Pour la configuration complète, consultez la stratégie de sécurité du courrier électronique.

Pour consulter des alertes existantes, utilisez un compte doté du droit correspondant et passez directement à la recherche des alertes ci-dessous. Ne modifiez pas une stratégie et ne produisez pas d’événements de test pour la seule consultation. Pour vérifier une nouvelle alerte, contrôlez d’abord la règle applicable et son option d’alerte ; seule une personne autorisée à gérer les stratégies les modifie si nécessaire avant le test pilote.

Configurer la sécurité des courriels

1. Pour vérifier un nouvel événement, contrôlez licence, périmètre et durée du terminal pilote dans DLP > Policy, activez Email et ouvrez ses paramètres. Réutilisez une règle adaptée ; les modifications exigent le droit de gestion des stratégies.
2. Vérifiez les conditions d’expéditeur, de destinataire et de contenu sensible, l’ordre des règles et l’action principale. Sélectionnez Audit pour les enregistrements et l’action d’alerte si nécessaire. L’alerte sélectionne aussi l’audit ; désactiver l’audit retire l’alerte. Évaluez l’impact du blocage ; les règles complètes figurent dans le chapitre de stratégie ci-dessus.
3. En cas de modification, enregistrez les paramètres de règle et toute la stratégie, puis attendez sa réception. Avec des courriels tests non sensibles autorisés, vérifiez séparément correspondance, non-correspondance, enregistrements et alertes nécessaires. L’enregistrement ne prouve ni l’exécution ni la remontée. Pour valider un nouveau résultat, avec ou sans modification, confirmez avant le test que le terminal pilote a reçu la stratégie applicable. Sans modification, aucun nouvel enregistrement n’est nécessaire.

Dans une règle de courrier, sélectionner Alert ou Risk Review sélectionne aussi Audit ; désélectionner Audit retire ces deux actions dépendantes. Vérifiez la combinaison avant enregistrement et testez l’exécution et la remontée sur un terminal pilote. Dans DLP > Alerts, filtrez par date, terminal et type et ouvrez les détails disponibles. Vérifiez les alertes séparément des enregistrements de courrier ; le bouton d’export de la liste des alertes ne fonctionne pas pour les exporter.

Vérifier les alertes de courrier

Pour vérifier une nouvelle alerte, après avoir configuré la règle de courrier et choisi l'alerte, attendez son application au terminal pilote, effectuez un test contrôlé et attendez la remontée. Les alertes et les enregistrements d'audit du courrier sont produits et recherchés séparément ; l'un ne garantit pas l'existence de l'autre.

1. Avec un compte administrateur autorisé à consulter les alertes des terminaux concernés, ouvrez DLP > Alerts. Par défaut, la liste couvre aujourd'hui et les 29 jours calendaires précédents ; adaptez les dates si nécessaire. Les mots-clés et filtres avancés s'appliquent aux alertes déjà chargées.

2. Repérez l'alerte par terminal, type, contenu, niveau et état, puis comparez les informations visibles sur l'expéditeur, le destinataire, l'objet et l'heure du test. Limitez l'accès et le partage selon les règles internes, car ces informations peuvent être personnelles ou sensibles pour l'entreprise.

3. Dans la ligne cible, choisissez View. L'ouverture d'une alerte non lue tente de la marquer comme lue ; le détail peut néanmoins s'ouvrir en cas d'échec. Revenez à la liste pour vérifier l'état réel. Vous pouvez aussi choisir Mark as read pour un élément non lu.

4. Pour plusieurs éléments, sélectionnez Batch selection, cochez les cibles, choisissez Mark as read et vérifiez le résultat. Lu indique seulement un état de lecture, pas la suppression du risque, la clôture de l'événement ou le rappel du courrier. Poursuivez la vérification de l'audit et de la remise réelle selon la procédure de l'organisation.

5. Si l'alerte manque, vérifiez le périmètre de la stratégie, les conditions, l'alerte et l'audit associé, l'application et la remontée du terminal, les dates, filtres et droits. Le bouton d'export de la liste n'effectue pas d'export ; une liste vide ou ce bouton ne constitue pas une preuve d'audit complète.

Périmètre du traitement groupé : le marquage groupé ne traite que les alertes sélectionnées encore présentes dans les résultats filtrés actuels. Les alertes sélectionnées auparavant mais masquées après modification du mot-clé ou des filtres avancés ne sont pas incluses ; une nouvelle requête réussie efface la sélection précédente. Vérifiez les filtres et la sélection avant l’action, puis l’état de lecture des alertes attendues.

Audit des courriels et dépannage

Le bouton d’export affiché dans la liste d’audit des courriels ne permet pas d’exporter les enregistrements. Pour obtenir des éléments d’audit, demandez à l’administrateur ou au support les autres méthodes disponibles. Cette liste ne constitue pas une archive complète du contenu et des pièces jointes. Pour l’accès et les étapes de recherche, consultez Audit du courrier électronique.

• Message introuvable : vérifiez politique, périmètre, conditions d'expéditeur et de destinataire, règles sensibles et action d'audit, puis réception et transmission. Contrôlez ensuite période, filtres, pages et visibilité.
• Contenu vide ou invisible : vérifiez les données disponibles et les messages, puis collecte, stockage et droits. Un champ vide ne prouve pas que le message n'avait pas de contenu.
• Liste d'informations sensibles vide : cela indique seulement qu'aucune correspondance n'est affichée dans les détails actuels ; cela ne prouve pas l'absence d'informations sensibles dans le message ou ses pièces jointes.
• État différent du système de messagerie : notez état, heure et parties concernées et vérifiez avec l'administrateur de messagerie. La page d'audit seule n'est pas une preuve de livraison.
• Message bloqué involontairement : examinez action principale, ordre des règles, objets et critères sensibles. Traitez les conséquences selon la procédure de l'organisation avant d'ajuster et de tester à nouveau.