Comment les normes NIS2 et HIPAA redéfinissent les normes de sécurité en matière de messagerie électronique et de collaboration pour les RSSI

La pression réglementaire

Les autorités de régulation s'adaptent à cette évolution. Les règles de confidentialité et de sécurité de la loi HIPAA, qui visaient depuis longtemps à protéger les informations médicales protégées (PHI) transmises par e-mail, s'appliquent désormais tout autant aux données échangées via les messageries instantanées, les visioconférences et les espaces de stockage de fichiers dans le cloud.

En Europe, la directive NIS 2 renforce les exigences dans tous les secteurs critiques, en imposant aux organisations de démontrer leur résilience, de signaler rapidement les incidents de cybersécurité et d'assurer le contrôle de leurs fournisseurs. Même en dehors des secteurs réglementés, la norme PCI DSS v4.0 donne le ton en imposant l'application de la norme DMARC, ce qui oblige les entreprises à authentifier chaque expéditeur avant l'entrée en vigueur des délais d'application.

« Même si Slack ou Teams ne sont pas explicitement cités dans la réglementation, le message est clair », déclare Andrew Williams, responsable principal du marketing produit chez Mimecast. « Vous devez sécuriser les données sensibles quel que soit leur mode de transmission, qu’il s’agisse d’un e-mail, d’un message de chat ou d’un fichier partagé. »

Le passage à des commandes unified

Il y a cinq ans, la plupart des équipes de sécurité considéraient les plateformes de collaboration comme des espaces internes présentant un risque relativement faible. Cela n'est plus défendable. Les pirates exploitent des identifiants volés et des jetons OAuth pour obtenir un accès permanent.

Les RSSI avant-gardistes harmonisent leurs mesures de contrôle :

• Télémétrie : associer les données relatives aux e-mails et à la collaboration afin de détecter les comportements à risque sur l'ensemble des canaux.
• Identité : Appliquer de manière cohérente l'authentification à plusieurs facteurs (MFA) et le principe du privilège minimal pour l'ensemble des boîtes mail et des identités Teams/Slack.
• Détection basée sur l'IA : signaler les anomalies dans les discussions, les liens et les partages de fichiers avant qu'elles ne dégénèrent en incidents.

Cette évolution est autant culturelle que technique. Les analystes SOC, les équipes chargées de la conformité et les administrateurs informatiques doivent pouvoir visualiser les tentatives de Phishing et d'exfiltration de données à partir d'un tableau de bord single, et non à partir d'outils distincts nécessitant une corrélation manuelle.

Ce dont nous avons besoin dès maintenant

HIPAA

La loi HIPAA impose déjà la réalisation d'analyses des risques, la mise en place de contrôles d'accès, le chiffrement, la journalisation des audits et la formation du personnel. Les données étant désormais dispersées sur plusieurs plateformes, ces contrôles doivent s'appliquer de manière uniforme.

NIS2

La directive NIS2 impose la mise en place d'un système de gestion des risques au sein de l'organisation, de plans de continuité des activités, d'un suivi des risques liés aux fournisseurs et d'un système de signalement des incidents en temps quasi réel. La responsabilité qui incombe aux RSSI est claire : être en mesure de démontrer leur résilience et de réagir à une violation de sécurité, sur l'ensemble des canaux de communication, sans perturber les opérations.

Conjointement, les normes HIPAA et NIS2 incitent les responsables de la sécurité des systèmes d'information (CISO) à adopter une approche single et unified couvrant les environnements de messagerie électronique, de chat et de collaboration.

Les priorités des RSSI pour 2025

1. La gestion des risques liés au personnel s'étend à l'ensemble des canaux

Le rapport « State of Human Risk » 2025 de Mimecast a révélé que seuls 8 % des utilisateurs sont à l'origine de 80 % des incidents de sécurité.

La solution ne consiste pas à tout verrouiller, mais à mettre en place des mesures d'intervention fondées sur l'évaluation des risques.

La plateforme de Mimecast évalue le comportement des utilisateurs sur les messageries électroniques, Slack, Teams et SharePoint, puis applique des règles adaptatives et des micro-formations afin de « protéger » les utilisateurs contre les erreurs sans nuire à leur productivité.

2. Mesures de protection avant la livraison et en cours de transmission basées sur l'IA

Le Phishing ne se limite pas aux e-mails. Les discussions sur Teams, les liens OneDrive et même les invitations Zoom sont désormais utilisés à des fins malveillantes. Le moteur d'IA de Mimecast analyse les messages, les URL et les pièces jointes avant qu'ils ne parviennent à l'utilisateur, ce qui permet de détecter les menaces à un stade précoce et de réduire le besoin d'un nettoyage fastidieux après la livraison.

3. Considérez les plateformes de collaboration comme des éléments à part entière

Les pirates s'en moquent bien de savoir si un message se trouve dans une boîte de réception ou dans un fil de discussion ; vos systèmes de défense ne devraient pas non plus s'en soucier. Les RSSI sont désormais :

• Mise en œuvre de la prévention des fuites de données (DLP) et de l'analyse sur Slack, Teams, SharePoint et OneDrive.
• Mise en œuvre de mesures de contrôle visant à réguler le partage de fichiers sensibles et les mises en ligne non autorisées.
• Centraliser la conservation et la journalisation des données afin d'accélérer l'établissement des rapports de conformité et la recherche électronique de preuves.

La solution Mimecast Collaboration Security regroupe toutes ces fonctionnalités en une seule et même plateforme, offrant ainsi aux entreprises une couche de protection homogène sur l'ensemble des canaux.

4. Anticipez les risques liés aux initiés et à l'exfiltration de données

Les risques liés aux initiés ne sont pas toujours malveillants, mais ils sont presque toujours coûteux. En 2025, les risques les plus importants ne proviendront pas seulement d'employés mécontents, mais aussi de la divulgation accidentelle de données et du « Shadow IT », c'est-à-dire ces applications et outils d'IA non autorisés que les employés connectent aux systèmes de l'entreprise sans contrôle de sécurité préalable.

Une étude de Mimecast montre que même des collaborateurs bien intentionnés peuvent divulguer par inadvertance des données sensibles en téléchargeant des fichiers sur un espace de stockage cloud personnel ou en accordant des droits d'accès trop larges à des outils d'IA générative.

Ces failles permettent aux pirates de détourner facilement des données dès qu’ils ont réussi à s’introduire dans le système.

Ce que les RSSI devraient faire ensuite :

• Détectez les comportements à risque en temps réel : surveillez les transferts de fichiers inhabituels, les téléchargements massifs ou les cas où des collaborateurs transmettent des documents sensibles à des comptes externes.
• Signaler les connexions à des applications non autorisées : identifiez automatiquement les autorisations OAuth accordées à des applications tierces à risque et révoquez-les avant que les données ne soient exposées.
• Assurez le bon déroulement du processus de départ : veillez à ce que les comptes soient désactivés sans délai, que les liens partagés soient révoqués et que les clés d'accès soient renouvelées lorsque des collaborateurs quittent l'entreprise.

L'automatisation est ici essentielle. Lorsqu'une activité suspecte est détectée, la plateforme Mimecast peut automatiquement mettre des fichiers en quarantaine, révoquer des autorisations et alerter les équipes de sécurité, tout en conservant une piste d'audit pour les rapports de conformité. Cette piste d'audit n'est pas uniquement destinée aux autorités de régulation ; elle aide également les services juridiques et les ressources humaines à comprendre les motivations d'un incident et à y apporter une réponse adaptée.

5. Gouvernance des données et eDiscovery bien établies

Lorsqu'une autorité de régulation ou une équipe juridique vous demande des pièces justificatives, le temps ne joue pas en votre faveur. La loi HIPAA et la norme NIS2 exigent des organisations qu'elles fournissent les données relatives aux e-mails et à la collaboration de manière rapide, cohérente et juridiquement valable.

C'est là qu'intervient une gouvernance des données bien rodée. Les politiques de conservation doivent être indépendantes du canal utilisé et s'appliquer non seulement aux e-mails, mais aussi aux messages Slack, aux historiques de discussion Teams et aux fichiers partagés sur SharePoint et OneDrive. Si les données sont dispersées dans différents silos, ou pire encore, supprimées prématurément, les entreprises s'exposent à des amendes, à des poursuites judiciaires et à une atteinte à leur réputation.

Mimecast Archiving offre un stockage immuable et inviolable, doté de fonctionnalités de recherche fédérée rapide.

Cela permet aux équipes juridiques et aux responsables de la gestion des incidents de :

• Appliquez instantanément des mesures de conservation à des fins juridiques sur plusieurs canaux de communication.
• Effectuez des recherches complexes parmi des milliards de messages et de fichiers en quelques secondes.
• Produisez des documents fiables à l'intention des auditeurs, des autorités de régulation ou des tribunaux, en préservant l'intégrité des chains of custody.

Le véritable avantage ne réside pas seulement dans la conformité, mais aussi dans la rapidité. Au cours d'une enquête sur une faille de sécurité, le temps gagné lors de la phase de découverte se traduit directement par une maîtrise plus rapide de la situation et une réduction de l'impact sur l'activité.

6. Mettre en œuvre le protocole DMARC et l'authentification

Auparavant, DMARC était facultatif. Ce n'est plus le cas. Avec la norme PCI DSS v4.0 et le durcissement des mesures d'application par les fournisseurs de messagerie, le protocole DMARC est désormais indispensable tant pour la conformité que pour la délivrabilité.

Le protocole DMARC (Domain-based Message Authentication, Reporting & Conformance) fonctionne en complément des protocoles SPF et DKIM pour authentifier chaque message envoyé depuis votre domaine. Le passage de p=none (surveillance uniquement) à p=reject garantit que les e-mails frauduleux sont bloqués avant d'atteindre vos clients, vos partenaires ou vos collaborateurs.

Mais le protocole DMARC ne sert pas uniquement à empêcher l'usurpation d'identité des marques : c'est aussi un gage de confiance. Les dirigeants demandent de plus en plus souvent aux responsables de la sécurité des systèmes d'information (RSSI) de traduire les indicateurs DMARC en résultats commerciaux :

• Moins d'incidents liés au BEC : la réduction du nombre d'e-mails frauduleux usurpant l'identité de dirigeants se traduit par une diminution des tentatives de fraude financière.
• Meilleure délivrabilité : les communications marketing et RH ont moins de chances d'être classées dans le dossier « spam ».
• Confiance réglementaire : la mise en évidence d'un flux de messagerie authentifié satisfait les auditeurs et réduit l'exposition aux risques dans le cadre des réglementations NIS2 et HIPAA (lorsque des données relatives à des patients ou à des clients sont concernées).

L'outil DMARC Analyzer de Mimecast automatise l'identification des expéditeurs, harmonise les enregistrements SPF/DKIM/DMARC et fournit des rapports détaillés afin d'accompagner les entreprises dans la mise en œuvre de ces mesures, sans perturber le flux de messagerie légitime.

Comment mettre cela en place ?

Les 90 premiers jours

• Répertoriez l'ensemble des locataires de messagerie et de collaboration, des connecteurs et des flux de données.
• Identifier les comportements à risque de référence et publier le DMARC en mode surveillance.
• Mettez en place une visibilité sur Teams, Slack et SharePoint afin de détecter rapidement tout accès non autorisé.

90 à 180 jours

• Faire progresser la mise en œuvre de DMARC.
• Étendre l'analyse des fichiers et des URL dans les outils de collaboration.
• Mettez en place des mécanismes de détection des risques liés aux initiés et des processus de réponse automatisés.

Plus de 180 jours

• Harmonisez les politiques de conservation et de conservation à des fins juridiques sur l'ensemble des plateformes.
• Entraînez-vous à signaler les incidents afin de respecter les délais stricts imposés par la norme NIS2.
• Répétez les cycles de formation et d'adaptation des politiques en vous appuyant sur les données télémétriques et les quasi-accidents.

Définir le cadre de la discussion au sein du conseil d'administration

Lorsque les responsables de la sécurité des systèmes d'information (RSSI) font le point avec la direction, leur message doit être clair : la mise en place de contrôles unified pour la messagerie électronique et les outils de collaboration n'est pas facultative, mais indispensable pour garantir la conformité, la continuité des activités et la confiance accordée à la marque.

Les conseils d'administration exigent des indicateurs : une diminution du nombre d'incidents liés au Phishing, des délais de réaction plus courts et une réduction des risques réglementaires. Une plateforme consolidée permet également de réduire la prolifération des outils et d'améliorer l'expérience des collaborateurs, un avantage dont les retombées se font sentir bien au-delà du SOC.

Garder une longueur d'avance

La sécurité de la messagerie électronique et celle de la collaboration tendent à se confondre, tout comme les risques qui y sont associés. Les normes HIPAA, NIS2 et PCI DSS v4.0 transforment les recommandations en obligations.

Mimecast offre aux responsables de la sécurité des systèmes d'information (RSSI) une plateforme single permettant de gérer la détection basée sur l'IA, l'évaluation des risques liés aux utilisateurs et la gouvernance pour la messagerie électronique, Teams, Slack, SharePoint et bien d'autres applications.

Prenez rendez-vous dès aujourd'hui pour une démonstration et découvrez comment Mimecast peut aider votre entreprise à se mettre en conformité, à rester résiliente et à bloquer les menaces avant qu'elles ne se propagent.

Découvrez la plateforme de sécurité de la messagerie et de la collaboration de Mimecast →