Examen des risques du courrier électronique

La sécurité des courriels configure des actions selon l'expéditeur, les destinataires, le contenu sensible et d'autres critères. L'audit permet de consulter les activités correspondantes reçues par la plateforme. La description suivante prend l’envoi de courriels depuis des terminaux Windows comme exemple ; testez séparément les autres plateformes, clients de messagerie et modes d'accès.

Un état d'envoi, de réception ou de blocage ne prouve pas à lui seul qu'un message est arrivé au serveur destinataire, a été lu ou constitue une fuite de données. Recoupez avec le système de messagerie et le contexte métier.

Les procédures utilisent les libellés anglais de la console d'administration.

Pour la configuration complète, consultez la stratégie de sécurité du courrier électronique.

Configurer la sécurité des courriels

Pour consulter des dossiers d’analyse existants, utilisez la liste ci-dessous avec les droits nécessaires ; ne créez pas de modèle, ne modifiez pas de stratégie et n’envoyez pas de courriel test uniquement pour rechercher. Pour vérifier un nouveau dossier, contrôlez d’abord les règles et le périmètre, puis modifiez et testez seulement si nécessaire.

1. Dans DLP > Policy, vérifiez licence, périmètre et durée de la stratégie du terminal pilote, activez Email et ouvrez ses paramètres. Réutilisez une règle adaptée ; les modifications exigent le droit de gestion des stratégies.
2. Vérifiez expéditeur, destinataire, contenu sensible, ordre des règles et action principale. Pour l’analyse des risques, sélectionnez l’action et le modèle applicable. L’interface sélectionne aussi Audit ; le désactiver retire les actions dépendantes. Évaluez l’effet du blocage ; les règles complètes figurent dans le chapitre de stratégie ci-dessus.
3. En cas de modification, enregistrez la fenêtre de règle et toute la stratégie, attendez sa réception, puis vérifiez correspondance, remontée et résultat avec un courriel test non sensible autorisé. L’enregistrement ne garantit pas la création d’un dossier. Pour valider un nouveau résultat, avec ou sans modification, confirmez avant le test que le terminal pilote a reçu la stratégie applicable. Sans modification, aucun nouvel enregistrement n’est nécessaire.

Dans une règle de courrier, sélectionner Alert ou Risk Review sélectionne aussi Audit ; désélectionner Audit retire ces deux actions dépendantes. Vérifiez la combinaison avant enregistrement et testez l’exécution et la remontée sur un terminal pilote. Dans DLP > Alerts, filtrez par date, terminal et type et ouvrez les détails disponibles. Vérifiez les alertes séparément des enregistrements de courrier ; le bouton d’export de la liste des alertes ne fonctionne pas pour les exporter.

Configurer et vérifier l’analyse des risques

Réutilisez un modèle d’analyse existant adapté ; ne le créez ou ne l’ajustez selon les étapes ci-dessous que si nécessaire.

1. Avec les droits de gestion des modèles, créez un modèle d’approbation ordinaire dans Objects & Templates > Approval Template. Choisissez l’usage « Security Operations » et l’usage associé « Risk Review » ; renseignez le nom, les étapes, les personnes et les options nécessaires, puis confirmez et enregistrez tout le modèle. Vérifiez les participants et le traitement des exceptions ; un modèle enregistré n’est pas une politique appliquée.
2. Vérifiez que la règle de messagerie applicable au terminal pilote sélectionne l’analyse des risques et un modèle adapté. Réutilisez-la si elle convient ; seul un administrateur autorisé la modifie si nécessaire. Cette action sélectionne aussi l’audit dans l’interface. En cas de modification, confirmez la fenêtre de règle et enregistrez toute la stratégie ; sans modification, inutile d’enregistrer à nouveau. Confirmez la réception de la stratégie applicable par le terminal pilote.
3. Effectuez un test contrôlé avec un échantillon non sensible autorisé. Vérifiez séparément l’exécution de la règle, l’enregistrement d’audit et l’apparition du dossier attendu dans Risk Review. Enregistrement de la politique, production d’un enregistrement et création du dossier sont des étapes distinctes. En l’absence de dossier, la présence de l’option ne prouve pas que l’analyse automatique fonctionne ; vérifiez licence, règle, modèle et enregistrement, puis contactez le support.
4. Ouvrez un dossier en attente dans Risk Review et examinez les preuves, l’événement source et l’historique. Avec les droits appropriés, choisissez et soumettez une conclusion selon la procédure interne, puis rouvrez le dossier et vérifiez l’état réel du processus associé. Une conclusion ne signifie pas que le courriel a été rappelé ni que le risque est traité.

L’envoi de toute conclusion, y compris « suivi nécessaire », marque le dossier comme terminé. La page peut afficher la conclusion choisie plutôt que « terminé » et ne permet plus de soumettre une autre conclusion. La clôture du dossier ne garantit pas celle du circuit d’approbation associé. Vérifiez les deux séparément et contactez le support en cas de divergence.

La liste charge au maximum les 500 dossiers les plus récents ; onglets, recherche, compteurs et pagination portent sur ces résultats. Une absence ne prouve pas que le dossier n’existe pas dans l’historique. Les preuves peuvent être incomplètes : vérifiez l’enregistrement source et limitez l’accès et la transmission des informations sensibles.

Audit des courriels et dépannage

Le bouton d’export affiché dans la liste d’audit des courriels ne permet pas d’exporter les enregistrements. Pour obtenir des éléments d’audit, demandez à l’administrateur ou au support les autres méthodes disponibles. Cette liste ne constitue pas une archive complète du contenu et des pièces jointes. Pour l’accès et les étapes de recherche, consultez Audit du courrier électronique.

• Message introuvable : vérifiez politique, périmètre, conditions d'expéditeur et de destinataire, règles sensibles et action d'audit, puis réception et transmission. Contrôlez ensuite période, filtres, pages et visibilité.
• Contenu vide ou invisible : vérifiez les données disponibles et les messages, puis collecte, stockage et droits. Un champ vide ne prouve pas que le message n'avait pas de contenu.
• Liste d'informations sensibles vide : cela indique seulement qu'aucune correspondance n'est affichée dans les détails actuels ; cela ne prouve pas l'absence d'informations sensibles dans le message ou ses pièces jointes.
• État différent du système de messagerie : notez état, heure et parties concernées et vérifiez avec l'administrateur de messagerie. La page d'audit seule n'est pas une preuve de livraison.
• Message bloqué involontairement : examinez action principale, ordre des règles, objets et critères sensibles. Traitez les conséquences selon la procédure de l'organisation avant d'ajuster et de tester à nouveau.