Comprendre les menaces envers la sécurité et les contre-mesures pour Office 2013

Article
12/22/2017

Sapplique à : Office client

Dernière rubrique modifiée : 2016-12-16

Résumé : Description de la manière dont vous pouvez atténuer les risques et les menaces contre les biens, les documents et les processus Office de votre organisation à l’aide des fonctionnalités de sécurité d’Office 2013.

Public concerné : professionnels de l'informatique

Une configuration de bureau sécurisée est un élément essentiel de la stratégie de défense en profondeur de toute organisation. Cet article commence par un bref aperçu des risques et failles de sécurité généraux auxquels les documents et ressources professionnels de votre organisation sont exposés, puis il aborde les fonctionnalités de sécurité disponibles dans Office 2010 et Office 2013 qui peuvent vous aider à limiter ces menaces. Passez ces paramètres en revue pour déterminer quelles fonctionnalités de sécurité Office par défaut et facultatives votre organisation doit adopter.

Flèche de feuille de route servant de guide vers la sécurité Office

Cet article s'inscrit dans la Guide de sécurité Office 2013. Utilisez cette feuille de route comme point de départ pour accéder à des articles, téléchargements, affiches et vidéos qui vous aideront à évaluer la sécurité d'Office 2013.

Vous êtes à la recherche d'informations de sécurité relatives à des applications Office 2013 ? Vous trouverez ces informations en recherchant « sécurité 2013 » sur Office.com.

Contenu de cet article :

Risques pour la sécurité des informations
Menaces pour les applications de productivité de bureau
Contournement de sécurité par défaut dans Office 2013

Risques pour la sécurité des informations

La plupart des informaticiens et des spécialistes de la sécurité informatique classent les risques pour la sécurité des informations dans trois catégories principales :

Risques pour la confidentialité Ces risques représentent des menaces pour la propriété intellectuelle d’une organisation. Ils sont le fait d’utilisateurs non autorisés et de code malveillant qui essaient d’accéder aux informations communiquées, écrites et créées au sein de l’organisation.
Risques pour l’intégrité Ces risques représentent des menaces pour vos ressources métiers. Ils sont le fait d’utilisateurs non autorisés et de code malveillant qui essaient d’endommager les données métiers sur lesquelles repose votre organisation. Les risques pour l’intégrité mettent en danger tout bien professionnel qui contient des informations critiques pour une organisation, telles que les serveurs de bases de données, les fichiers de données et les serveurs de messagerie.
Risques pour la disponibilité Ces risques représentent des menaces pour les processus de gestion. Ils sont le fait d’utilisateurs non autorisés et de code malveillant qui essaient de perturber le déroulement de vos activités et la façon dont les travailleurs de l’information effectuent leurs tâches. Les processus d’aide à la décision, les fonctions et fonctionnalités des applications, ainsi que les processus de flux de travail des documents peuvent tous être menacés par les risques pour la disponibilité.

Pour que votre organisation soit protégée contre ces trois catégories de risques, nous vous recommandons de mettre en œuvre une stratégie de sécurité de protection renforcée. Cette stratégie doit comprendre plusieurs niveaux de protection imbriqués contre les utilisateurs non autorisés et un code malveillant. En règle générale, les niveaux sont les suivants :

protection du réseau de périmètre, à l’image des pare-feu et des serveurs proxy ;
mesures de sécurité physique, telles que les salles de serveurs et les centres de données physiquement sécurisés ;
outils de sécurité de bureau, tels que les pare-feu personnels, les programmes d’analyse antivirus et la détection de logiciels espions.

Par défaut, le modèle de sécurité d’Office 2013 permet à une organisation de limiter les trois types de risque. Cependant, chaque organisation possède ses propres capacités d’infrastructure, contraintes de productivité et exigences en termes de sécurité de bureau. Pour déterminer exactement la façon dont votre organisation peut atténuer ces risques pour la gestion, vous devez évaluer les menaces et les vulnérabilités qui exploitent ces risques.

Menaces pour les applications de productivité de bureau

Le modèle de sécurité pour Office 2013, comme avec Office 2010, vous aide à réduire cinq types de menaces de sécurité pour les logiciels de productivité. Chacun de ces types de menaces de sécurité comprend plusieurs failles, qui peuvent être exploitées par diverses attaques de sécurité. La figure suivante illustre les menaces de sécurité et des exemples des agents de menace les plus courants.

Types de menaces de sécurité

Ces menaces de sécurité entraînent des risques potentiels pour la plupart des organisations. Cependant, la plupart des organisations ont également affaire à des combinaisons uniques de vulnérabilités et d’attaques de sécurité ou de code malveillant exploitant une faille de sécurité potentiels. Par conséquent, il est important de comprendre les risques et de définir un plan d’atténuation adapté à votre organisation.

Atténuations de sécurité par défaut dans Office 2013

Office 2013 fournit de nombreuses contre-mesures qui permettent d’atténuer les menaces pour vos biens professionnels et processus d’entreprise. Une contre-mesure est une fonctionnalité de sécurité ou un contrôle de sécurité qui atténue des menaces de sécurité. En règle générale, vous pouvez modifier le comportement des contre-mesures en configurant les paramètres dans l’outil de personnalisation Office (OPO) ou par le biais de la stratégie de groupe à l’aide des Office 2013Fichiers de modèle d’administration de stratégie de groupe (ADMX, ADML) et fichiers de l’Outil de personnalisation Office (OPO) pour Office 2013.

De nombreuses contre-mesures dans Office 2013 atténuent un type spécifique de menace dans une application particulière. Par exemple, InfoPath 2013 comprend une contre-mesure qui avertit les utilisateurs de la présence éventuelle de balises Web dans les formulaires. Vous pouvez modifier le comportement de cette contre-mesure en configurant le paramètre Interface utilisateur des balises pour les formulaires ouverts dans InfoPath dans l’OPO ou par le biais de la stratégie de groupe.

D’autres contre-mesures atténuent des types de menaces plus généraux communs à plusieurs applications. Par exemple, la fonctionnalité mode protégé permet aux utilisateurs d’afficher le contenu de classeurs, de présentations et de documents non approuvés sans qu’un contenu non fiable ou un code malveillant puisse endommager l’ordinateur. Cette contre-mesure est utilisée par Excel 2013, PowerPoint 2013, Word 2013 et Outlook 2013 lorsque vous affichez un aperçu des pièces jointes pour Excel 2013, PowerPoint 2013, Visio 2013 et Word 2013. Vous pouvez modifier son comportement en configurant plusieurs paramètres dans l’OPO ou par le biais de la stratégie de groupe. Pour plus de détails, voir l’article Planifier les paramètres de vue protégée pour Office 2013.

Les sections suivantes décrivent les contre-mesures les plus fréquemment utilisées dans Office 2013.

Paramètres de contrôle ActiveX dans Office 2013

Vous pouvez utiliser les paramètres de contrôles ActiveX pour désactiver les contrôles ActiveX et modifier la façon dont les contrôles ActiveX sont chargés dans les applications Office 2013. Par défaut, les contrôles ActiveX approuvés sont chargés en mode sans échec avec des valeurs persistantes et les utilisateurs ne sont pas avertis que les contrôles ActiveX sont chargés. Le mode de chargement d’un contrôle ActiveX non approuvé dépend de son marquage et de l’existence éventuelle d’un projet VBA dans le fichier avec le contrôle ActiveX. Le comportement par défaut des contrôles ActiveX non approuvés est le suivant :

Si un contrôle ActiveX est marqué comme étant sécurisé pour l’initialisation (SFI) et qu’il se trouve dans un document qui ne contient pas de projet VBA, le contrôle ActiveX est chargé en mode sans échec avec des valeurs persistantes. La barre des messages n’apparaît pas et les utilisateurs ne sont pas avertis de la présence du contrôle ActiveX. Tous les contrôles ActiveX dans le document doivent être marqués comme étant de type SFI pour que ce comportement se produise.
Si un contrôle ActiveX est marqué comme étant non sécurisé pour l’initialisation (UFI) et qu’il se trouve dans un document qui ne contient pas de projet VBA, les utilisateurs sont avertis par le biais de la barre des messages que les contrôles ActiveX sont désactivés. Cependant, les utilisateurs peuvent sélectionner la barre des messages pour activer les contrôles ActiveX. Si un utilisateur active les contrôles ActiveX, tous les contrôles ActiveX (ceux de type UFI et SFI) sont chargés en mode sans échec avec des valeurs persistantes.
Si un contrôle ActiveX marqué comme étant de type UFI ou SFI se trouve dans un document qui contient un projet VBA, les utilisateurs sont avertis par le biais de la barre des messages que les contrôles ActiveX sont désactivés. Cependant, les utilisateurs peuvent sélectionner la barre des messages pour activer les contrôles ActiveX. Si un utilisateur active les contrôles ActiveX, tous les contrôles ActiveX (ceux de type SFI et UFI) sont chargés en mode sans échec avec des valeurs persistantes.

Important :
Si un bit d’arrêt est défini dans le registre pour un contrôle ActiveX, celui-ci n’est pas chargé et ne peut jamais l’être. La barre des messages n’apparaît pas et les utilisateurs ne sont pas avertis de la présence du contrôle ActiveX. Pour en savoir plus sur le sujet plus vaste des bits d’arrêt, reportez-vous aux trois parties du blog TechNet The Kill-Bit FAQ.

Pour modifier le comportement par défaut des contrôles ActiveX, voir Planifier les paramètres de sécurité pour les contrôles ActiveX pour Office 2013.

Paramètres des compléments Office 2013

Vous pouvez utiliser des paramètres de compléments pour désactiver des compléments, exiger la signature des compléments par un éditeur approuvé et désactiver les notifications pour les compléments. Par défaut, les compléments installés et inscrits peuvent s’exécuter sans que l’utilisateur intervienne ou qu’il soit averti. Pour modifier ce comportement par défaut, voir Planifier les paramètres de sécurité des compléments pour Office 2013.

Contrôler les accès des utilisateurs aux applications pour Office 2013

Utilisez la stratégie de groupe ou le Centre de gestion de la confidentialité pour restreindre ou refuser l’accès des utilisateurs de votre organisation aux applications d’Office Store ou de votre catalogue d’entreprise de applications pour Office. Ces applications pour Office sont des extensions web qui étendent les applications client Office afin d’enrichir le contenu Office et de fournir de nouveaux types de contenu interactif et de nouvelles fonctionnalités.

Récupération de documents Office 2013 à la suite de la perte ou de l’oubli du mot de passe

Les mesures de sécurité, telles que la protection d’un document ou d’une feuille de calcul à l’aide d’un mot de passe, sont efficaces à condition que son propriétaire n’oublie pas le mot de passe ou ne quitte la société. Désormais, l’administrateur informatique peut configurer les ordinateurs clients d’une organisation de façon à inclure les métadonnées de certificat dans ces documents Office protégés par mot de passe. Si par la suite le mot de passe est perdu ou oublié, vous pouvez utiliser l’outil DocRecrypt pour supprimer ou modifier le mot de passe du document. Pour plus d’informations, voir Supprimer ou réinitialiser les mots de passe de fichier dans Office 2013.

Paramètres de signature numérique dans Office 2013

Vous pouvez utiliser les paramètres de signature numérique dans l’OPO pour configurer le niveau XAdES (XML Advanced Electronic Signature) de la signature. Par défaut, Office 2013 crée une signature XAdES-EPES (Explicit Policy Electronic Signature). Les administrateurs informatiques peuvent également restreindre les certificats de signature par nom d’émetteur. Les administrateurs informatiques peuvent également configurer les algorithmes de hachage et autoriser les tailles de clé publique dans les signatures numériques valides. Configurez ces paramètres dans l’outil OPO. Pour plus d’informations, voir Planification des paramètres de signature numérique pour Office 2013.

Paramètres du contenu externe dans Office 2013

Vous pouvez utiliser les paramètres du contenu externe pour modifier la façon dont les applications Office 2013 accèdent au contenu externe. Le contenu externe correspond à tout type de contenu accessible à distance, tel que les connexions de données et les liaisons de classeur, les liens hypertexte vers des sites web et des documents, ainsi que les liens vers des images et du contenu multimédia. Par défaut, lorsqu’un utilisateur ouvre un fichier qui contient des liens vers un contenu externe, la barre des messages lui indique que les liens sont désactivés. Les utilisateurs peuvent activer les liens en cliquant sur la barre des messages ou en la touchant. Il est recommandé de ne pas modifier ces paramètres par défaut. Pour plus d’informations sur le blocage et le déblocage de contenu externe dans les documents Office, reportez-vous à Bloquer ou débloquer un contenu externe dans les documents Microsoft Office.

Paramètres de blocage des fichiers dans Office 2013

Vous pouvez utiliser les paramètres de blocage des fichiers pour empêcher l’ouverture ou l’enregistrement de types de fichiers spécifiques. Vous pouvez également utiliser ces paramètres pour empêcher ou forcer l’ouverture de certains types de fichiers en mode protégé. Par défaut, Excel 2013, PowerPoint 2013 et Word 2013 obligent plusieurs types de fichiers à s’ouvrir uniquement en mode protégé. Les utilisateurs ne peuvent pas ouvrir ces types de fichiers en vue de les modifier. Pour plus d’informations, consultez la rubrique Planification des paramètres de blocage de fichiers pour Office 2013.

Paramètres de validation de fichier Office dans Office 2013

Vous pouvez utiliser les paramètres de validation de fichier Office pour désactiver la fonctionnalité de validation de fichier Office et modifier la façon dont cette fonctionnalité Office gère les fichiers dont la validation échoue. Vous pouvez également utiliser ces paramètres pour empêcher la fonctionnalité de validation de fichier Office d’inviter les utilisateurs à envoyer les informations de validation à Microsoft. Par défaut, la fonctionnalité de validation de fichier Office est activée. Les fichiers dont la validation échoue sont ouverts en mode protégé et les utilisateurs peuvent alors les modifier. Pour plus d’informations sur les paramètres de validation de fichier Office, voir Planification des paramètres de validation de fichier Office pour Office 2013.

Paramètres de complexité du mot de passe dans Office 2013

Vous pouvez utiliser les paramètres de complexité de mot de passe pour imposer une longueur et une complexité de mot de passe pour les mots de passe utilisés avec la fonctionnalité Chiffrer avec mot de passe. Les paramètres de complexité de mot de passe vous permettent d’imposer une longueur et une complexité de mot de passe au niveau du domaine, si l’organisation a établi des règles de complexité de mot de passe par le biais d’une stratégie de groupe de domaine. Vous pouvez le faire à un niveau local, si l’organisation n’a pas implémenté de stratégie de groupe de domaine pour la complexité de mot de passe. Par défaut, les applications Office 2013 ne vérifient pas la longueur ou la complexité du mot de passe lorsqu’un utilisateur chiffre un fichier à l’aide de la fonctionnalité Chiffrer avec mot de passe. Pour plus d’informations, consultez l’article Planification des paramètres de complexité du mot de passe pour Office 2013.

Options de confidentialité dans Office 2013

Vous pouvez utiliser les options de confidentialité pour empêcher l’affichage de la boîte de dialogue Bienvenue dans Microsoft Office 2013 la première fois qu’un utilisateur démarre Office 2013. Cette boîte de dialogue permet aux utilisateurs de s’inscrire à différents services Internet qui facilitent la protection et l’amélioration des applications Office 2013. Vous pouvez également utiliser les options de confidentialité pour activer les services Internet qui apparaissent dans la boîte de dialogue Bienvenue dans Microsoft Office 2013. Par défaut, la boîte de dialogue Bienvenue dans Microsoft Office 2013 apparaît lorsqu’un utilisateur démarre Office 2013 pour la première fois, et les utilisateurs peuvent activer les services Internet recommandés, activer un sous-ensemble de ces services ou n’apporter aucune modification à la configuration ; dans ce dernier cas, les paramètres par défaut suivants prennent effet :

Les applications Office 2013 ne téléchargent pas de petits programmes qui permettent de diagnostiquer les problèmes, et les informations sur les messages d’erreur ne sont pas envoyées à Microsoft.
Les utilisateurs ne sont pas inscrits au Programme d'amélioration du produit.

Pour modifier ce comportement par défaut ou pour supprimer la boîte de dialogue Bienvenue dans Microsoft Office 2013, voir Planification des options de confidentialité pour Office 2013.

Paramètres du mode protégé pour Office 2013

Vous pouvez utiliser les paramètres du mode protégé pour empêcher ou imposer l’ouverture de fichiers en mode protégé. Vous pouvez également indiquer si vous souhaitez que les scripts et les programmes qui s’exécutent dans la session 0 s’ouvrent en mode protégé. Par défaut, le mode protégé est activé et tous les fichiers non approuvés s’ouvrent en mode protégé. Les scripts et les programmes s’exécutant dans la session 0 ne s’ouvrent pas en mode protégé.

En outre, les améliorations apportées au mode protégé incluent une nouvelle technologie de « bac à sable » (sandbox) lorsque Office 2013 est utilisé avec le système d’exploitation Windows 8. Dans le cadre de ces améliorations, le mode protégé fonctionne désormais dans les scénarios de compte d’identification (RunAs) ou d’application distante (remoteApp) dans Windows 8.

Pour plus d’informations sur les paramètres du mode protégé, voir Planifier les paramètres de vue protégée pour Office 2013.

Remarque :
Vous pouvez également utiliser les paramètres de blocage des fichiers pour empêcher ou imposer l’ouverture de certains types de fichiers en mode protégé.

Paramètres des documents approuvés dans Office 2013

Vous pouvez utiliser les paramètres Documents approuvés pour désactiver la fonctionnalité Documents approuvés et empêcher les utilisateurs d’approuver des documents stockés sur des partages réseau. Les documents approuvés contournent la plupart des contrôles de sécurité. Notez que l’analyse antivirus et la vérification des bits d’arrêt ActiveX sont les deux contrôles qui ne peuvent pas être contournés. Par défaut, la fonctionnalité Documents approuvés est activée, ce qui signifie que les utilisateurs peuvent désigner des fichiers sûrs comme étant des documents approuvés. En outre, les utilisateurs peuvent désigner des fichiers stockés sur des partages réseau comme étant des documents approuvés. Il est recommandé de ne pas modifier ces paramètres par défaut.

Paramètres des emplacements approuvés dans Office 2013

Vous pouvez utiliser les paramètres Emplacements approuvés pour désigner des emplacements sécurisés pour les fichiers. Les fichiers stockés à des emplacements approuvés contournent la plupart des contrôles de sécurité lorsqu’ils sont ouverts et tout leur contenu est activé (l’analyse antivirus et la vérification des bits d’arrêt ActiveX sont les deux contrôles qui ne peuvent pas être contournés). Par défaut, plusieurs emplacements sont désignés comme étant des emplacements approuvés. En outre, les emplacements approuvés situés sur un réseau, tels que des dossiers partagés, sont désactivés. Pour modifier ce comportement par défaut et découvrir les emplacements désignés comme étant des emplacements approuvés par défaut, voir Planification et configuration des paramètres des emplacements approuvés pour Office 2013.

Paramètres d’éditeurs approuvés dans Office 2013

Vous pouvez utiliser les paramètres Éditeurs approuvés pour désigner certains types de contenu actif comme étant sûrs, tels que les contrôles ActiveX, les compléments et les macros VBA. Lorsqu’un éditeur signe un contenu actif avec un certificat numérique et que vous ajoutez le certificat numérique de l’éditeur à la liste Éditeurs approuvés, le contenu actif est considéré comme étant approuvé. Par défaut, la liste Éditeurs approuvés ne contient aucun éditeur. Vous devez ajouter des éditeurs à la liste Éditeurs approuvés pour implémenter cette fonctionnalité de sécurité. Pour implémenter la fonctionnalité Éditeurs approuvés, voir Planification et configuration des paramètres d’éditeurs approuvés pour Office 2013.

Paramètres des macros VBA dans Office 2013

Vous pouvez utiliser les paramètres des macros VBA pour modifier le comportement des macros VBA, désactiver VBA et modifier le comportement des macros VBA dans les applications qui sont démarrées par programme. Par défaut, VBA est activé et les macros VBA approuvées peuvent s’exécuter sans notification. Les macros VBA approuvées comprennent les macros VBA signées par un éditeur approuvé, stockées dans un document approuvé ou stockées dans un document situé à un emplacement approuvé. Les macros VBA non approuvées sont désactivées, mais une notification dans la barre des messages permet aux utilisateurs de les activer. En outre, les macros VBA peuvent s’exécuter dans les applications démarrées par programme.

Pour modifier ce comportement par défaut, voir Planification des paramètres de sécurité relatifs aux macros VBA pour Office 2013.

Voir aussi