Le guide du RSSI pour l'évaluation des risques Google Workspace

Pour un responsable de la sécurité, Google Workspace est à la fois un actif critique et un défi de reporting. Il héberge les documents, les identités et les relations externes de l'organisation, et pourtant « quel est notre niveau d'exposition dans Workspace ? » est une question à laquelle la plupart des RSSI ne peuvent répondre avec précision sur demande. Ce guide propose une méthode structurée pour évaluer le risque Workspace, le restituer aux parties prenantes non techniques, et le suivre dans le temps — pensée pour la personne responsable de cette réponse.

Définir le périmètre et les objectifs

Une évaluation des risques sans périmètre défini dérive vers un audit sans fin. Fixez d'abord les limites :

• Dans le périmètre : Drive et drives partagés, identités (humaines, externes et non humaines), accès des applications tierces, et configuration administrateur.
• Objectifs : identifier où les données sensibles sont exposées, qui et quoi peut y accéder, si cet accès est approprié, et comment vous sauriez si cela change.
• Audience : précisez clairement si le livrable s'adresse à l'équipe sécurité (détail technique), à un audit (preuves), ou au conseil d'administration (risque en termes métier). Vous aurez probablement besoin de ces trois vues à partir des mêmes données sous-jacentes.

Les domaines d'évaluation

Évaluez le risque Workspace selon un ensemble cohérent de domaines afin que l'évaluation soit reproductible et comparable dans le temps.

1. Identité et accès. L'authentification forte et le principe du moindre privilège sont-ils réellement appliqués ? Vérifiez l'application du MFA sur l'ensemble de l'organisation, le nombre et la portée des administrateurs, et les accès obsolètes provenant d'employés partis ou de changements de rôle. Cela correspond aux contrôles décrits dans notre guide sur l'application du MFA.

2. Exposition des données. Où les données sensibles sont-elles sur-partagées ? Quantifiez les liens publics, les partages externes et les autorisations à l'échelle du domaine sur du contenu sensible. C'est le cœur de l'évaluation, et la checklist de partage Drive permet de la mettre en œuvre concrètement.

3. Relations externes. Qui, en dehors de votre domaine, peut accéder à vos données, et chaque relation est-elle à jour ? Voir le risque du partage externe.

4. Accès tiers et non humains. Quelles applications OAuth et quels agents IA disposent d'un accès permanent, et leurs périmètres sont-ils justifiés ? Traité dans l'audit des applications OAuth et la gouvernance des agents IA.

5. Référentiel de configuration. La configuration administrateur correspond-elle à un référentiel sécurisé documenté — règles de partage, politique 2SV, restrictions Marketplace, authentification e-mail — ou a-t-elle dérivé ?

Une méthodologie qui produit un chiffre défendable

Les constats ne sont utiles que s'ils sont priorisés. Notez chaque constat selon un modèle de risque cohérent afin que l'évaluation produise une liste ordonnée, et non un simple déversement à plat :

• Sensibilité des données concernées (réglementées, confidentielles, ou ordinaires).
• Étendue de l'accès — combien d'identités, et à quel point externes, peuvent y accéder (un lien public représente l'étendue maximale).
• Niveau d'accès — lecture, modification, ou propriété.

Sensibilité × étendue × niveau vous donne un score de rayon d'impact qui distingue ce qui est réellement dangereux de ce qui est simplement désordonné. Le haut de cette liste constitue votre backlog de remédiation ; la forme de la liste entière constitue votre posture.

Restituer le risque en termes métier

Le conseil d'administration ne veut pas d'une liste de dossiers mal configurés ; il veut savoir si l'organisation est exposée et si cette exposition augmente ou diminue. Traduisez :

• Un score de posture et une note qui évoluent dans le temps, afin que la direction perçoive une tendance, pas seulement un instantané.
• Les principales expositions en langage clair — « 37 fichiers contenant des données clients sont accessibles publiquement » marque davantage les esprits que « 37 constats public_link ».
• L'évolution depuis la dernière période — ce qui s'est amélioré, ce qui s'est dégradé, et pourquoi.
• Une correspondance avec les obligations de conformité (SOC 2, ISO 27001, GDPR), afin que le discours sécurité et le discours d'audit ne fassent qu'un. Voir SOC 2 pour Google Workspace.

En faire une démarche continue, pas annuelle

Le changement le plus précieux qu'un RSSI puisse apporter à l'évaluation des risques Workspace est de cesser de la traiter comme un événement annuel. Une évaluation annuelle est une photographie d'une cible mouvante — exacte le jour où elle est prise, obsolète en une semaine à mesure que le partage et les accès évoluent. L'évaluation continue transforme la photographie en flux en direct : la posture est mesurée en permanence, les nouvelles expositions sont signalées dès qu'elles apparaissent, et la tendance est toujours à jour.

Cela change aussi la conversation avec la direction. Au lieu de « voici où nous en étions il y a trois mois », vous pouvez dire « voici où nous en sommes maintenant, voici la tendance, et voici ce que nous corrigeons ». C'est la posture d'une fonction qui maîtrise son environnement plutôt qu'elle n'y réagit.

Il s'agit là de la pratique plus large de gestion de la posture de sécurité des données appliquée à Google Workspace, qui sous-tend tout notre guide complet de sécurité Workspace.

Un plan de 30 jours vers un référentiel défendable

Si vous partez de « nous ne savons pas vraiment », un mois ciblé vous amène à une position que vous pouvez défendre :

• Semaine 1 — Inventaire. Connectez-vous à Workspace et recensez les ressources, les identités (humaines, externes, de service et IA), les applications tierces, et la configuration administrateur. Vous ne pouvez pas évaluer ce que vous n'avez pas catalogué.
• Semaine 2 — Évaluer et prioriser. Passez en revue les cinq domaines, notez les constats selon leur rayon d'impact, et produisez la liste classée. Résistez à l'envie de corriger au fur et à mesure ; commencez par comprendre la forme de l'exposition.
• Semaine 3 — Corriger le premier niveau. Traitez les véritables urgences — fichiers sensibles publics, autorisations externes excessives, applications OAuth dangereuses — et documentez chaque correction.
• Semaine 4 — Opérationnaliser. Établissez la configuration de référence, désignez des responsables de revue, et passez d'une évaluation ponctuelle à une surveillance continue afin que l'image reste à jour.

À la fin du mois, vous disposez d'un référentiel, d'un backlog priorisé, d'un historique de ce que vous avez corrigé, et d'un processus qui empêche cela de se dégrader. C'est une réponse défendable à la question « quel est notre niveau d'exposition ? ».

Les indicateurs qui comptent pour la direction

Enfin, décidez à l'avance comment vous mesurerez les progrès, car ce que vous restituez façonne ce qui sera financé. Les indicateurs qui résonnent auprès de la direction sont peu nombreux et orientés tendance : le score de posture et sa direction ; le nombre d'expositions critiques ouvertes à l'instant présent ; le délai moyen de correction d'un constat sérieux ; et la couverture — quelle part de votre patrimoine de données est réellement évaluée. Les indicateurs de vanité (nombre total de constats) n'impressionnent personne et peuvent même récompenser le bruit. Un petit ensemble de chiffres honnêtes et évolutifs raconte l'histoire d'une fonction maîtrisée, et donne au conseil d'administration une raison de continuer à la soutenir.

8200.dev offre exactement cela aux responsables de la sécurité : une vision continue et priorisée du risque Google Workspace, avec un score de posture évolutif, les principales expositions en langage clair, une correspondance avec la conformité, et un reporting prêt pour le conseil d'administration — le tout à partir d'une découverte en lecture seule. En savoir plus sur son fonctionnement ou découvrez les fonctionnalités.

Vous souhaitez une évaluation de référence des risques de votre Google Workspace ? Démarrez votre audit de sécurité gratuit et obtenez en quelques minutes une vision priorisée et exploitable de votre exposition.