Stratégie de passerelle de déchiffrement
Cette stratégie définit le traitement des fichiers protégés envoyés dans certaines requêtes métier. Elle relève de la stratégie de chiffrement transparent des documents du poste et se gère séparément de la passerelle de sécurité côté serveur et de ses règles de transfert et de conversion. L'enregistrement ne prouve pas qu'un fichier a été déchiffré ni que tous les systèmes métier, transports ou postes sont pris en charge.
Le système destinataire peut recevoir des données en clair. Avant la configuration, vérifiez que le système métier, le parcours de transmission et le stockage respectent les exigences de protection de votre organisation et préparez un plan de retour arrière. Les indications suivantes prennent les requêtes des terminaux Windows comme exemple ; vérifiez séparément les autres plateformes et applications.
Préparation
- Utilisez un compte autorisé à gérer les stratégies de chiffrement des documents. Vérifiez que les postes pilotes sont connectés, sous licence et capables de recevoir la stratégie.
- Confirmez avec le responsable métier les adresses approuvées, les méthodes d'envoi, les exigences de protection et les droits du destinataire. Préparez des fichiers de test ordinaires et protégés, non sensibles et récupérables.
- Vérifiez que l'utilisation en clair est autorisée dans le système destinataire. Ne supposez pas, d'après le nom de la stratégie, que les fichiers restent chiffrés ; ne confondez pas la stratégie du poste avec le déploiement ou le transfert de la passerelle serveur.
Configurer une règle pilote
- Dans le chiffrement des documents, ouvrez Policy. Créez ou modifiez une stratégie pilote et vérifiez son nom, le périmètre des postes et sa période d'effet.
- Ouvrez Other Settings, sélectionnez et activez Decryption Gateway, ouvrez la liste des règles et choisissez Add. Au moins une règle est requise lorsque la fonction est activée.
- Choisissez le Type, saisissez dans Content le motif d'adresse métier approuvé et, si nécessaire, une remarque dans Remarks. L'interface propose Network Layer et Application Layer. Le traitement de couche réseau sous Windows compare les adresses des requêtes aux règles de couche réseau ; confirmez séparément la couche application et les autres plateformes avant toute mise en production.
- Les règles réseau comparent les adresses sans le préfixe
http://ouhttps://.image.test.com/*est un exemple de format et non une adresse métier réelle. Validez l'adresse et le périmètre avec le responsable métier et évitez les motifs trop larges. Testez des exemples correspondants et non correspondants sans supposer que toutes les combinaisons de chemins ou de paramètres sont prises en charge. - Confirmez la règle et les fenêtres de paramètres, enregistrez toute la stratégie et attendez sa réception sur le poste pilote. L'enregistrement ne prouve ni la correspondance d'une requête, ni la conversion d'un fichier, ni son utilisation par le destinataire.
Portée des règles de la couche applicative : Dans certains environnements de navigateur Windows, lorsqu’une page correspondante est au premier plan, la règle peut aussi affecter la lecture d’autres fichiers protégés par le navigateur. Ne supposez pas que son effet se limite à une seule demande de téléversement de cette page. Dans un pilote isolé, testez séparément la page correspondante, d’autres pages et d’autres fichiers ; fermez ensuite les pages concernées et vérifiez le rétablissement. Ne l’utilisez pas en production sans validation.
Dans certains environnements de navigateur Windows, un effet peut persister après la suppression ou la fin d’application d’une stratégie, même après la fermeture d’une page correspondante. La désactivation dans la console ou la fermeture de la page ne prouve pas un rétablissement immédiat. Si la vérification montre que l’effet persiste, enregistrez le travail et évaluez l’impact avec le responsable métier, puis quittez et rouvrez le navigateur concerné selon la procédure de l’organisation. Confirmez l’arrêt des processus concernés avant de tester à nouveau ; quitter peut entraîner la perte de données non enregistrées. Si le rétablissement reste incertain, contactez un administrateur ou le support technique et n’étendez pas le déploiement.
Vérification et dépannage
- Dans le pilote approuvé, envoyez séparément un fichier protégé et un fichier ordinaire. Vérifiez le contenu, l'utilisation et l'état de protection reçus par le système métier. Testez aussi une adresse ou un chemin qui ne doit pas correspondre afin de détecter un périmètre trop large.
- Si le résultat diffère de l'attendu, vérifiez la licence et la réception de la stratégie, l'activation, le type et l'adresse de la règle, le parcours réel d'envoi et les exigences du système métier. Testez séparément les méthodes d'envoi et les types de fichiers ; une réussite ne prouve pas le traitement de toutes les requêtes.
- En cas d'échec ou d'incidence métier, cessez d'élargir le pilote, désactivez ou ajustez la règle conformément aux procédures de l'organisation et vérifiez le rétablissement. Ne supposez pas qu'un échec bloque toujours l'envoi et n'utilisez pas de manière répétée des fichiers sensibles de production pour les tests.
- Si le parcours métier traverse aussi une passerelle de sécurité serveur, vérifiez séparément la stratégie du poste et le système métier ainsi que les règles de conversion de la passerelle. Ces configurations ne se remplacent pas ; testez tout le parcours de manière contrôlée avant la bascule.
Mis à jour le