Considérations de sécurité

Cet article aborde les considérations de sécurité de Secure Mail et les paramètres spécifiques que vous pouvez activer pour renforcer la sécurité des données.

Prise en charge de la protection des droits de messagerie Microsoft IRM et AIP

Secure Mail pour Android et iOS prend en charge les messages protégés par Microsoft Information Rights Management (IRM) et la solution Azure Information Protection (AIP). Cette prise en charge est soumise à la politique IRM configurée sur Citrix Endpoint Management.

Cette fonctionnalité permet aux organisations qui utilisent l’IRM d’appliquer une protection au contenu des messages. Elle permet également aux utilisateurs d’appareils mobiles de créer et de consommer du contenu protégé par des droits. Par défaut, la prise en charge de l’IRM est Désactivée. Pour activer la prise en charge de l’IRM, définissez la politique de gestion des droits relatifs à l’information sur Activée.

Pour activer la gestion des droits relatifs à l’information dans Secure Mail

1. Connectez-vous à Endpoint Management, accédez à Configurer > Applications, puis cliquez sur Ajouter.
2. Dans l’écran Ajouter une application, cliquez sur MDX.
3. Dans l’écran Informations sur l’application, saisissez les détails de l’application, puis cliquez sur Suivant.
4. En fonction du système d’exploitation de votre appareil, sélectionnez et chargez le fichier .mdx.
5. Activez la gestion des droits relatifs à l’information sous Paramètres de l’application.

Remarque :

Activez la gestion des droits relatifs à l’information pour iOS et Android.

Lorsque vous recevez un e-mail protégé par des droits

Lorsque les utilisateurs reçoivent un e-mail avec du contenu protégé, ils voient l’écran suivant :

Pour afficher les détails des droits auxquels l’utilisateur a droit, appuyez sur Détails.

Lorsque vous rédigez un e-mail protégé par des droits

• Lorsque les utilisateurs rédigent un e-mail, ils peuvent définir des profils de restriction pour activer la protection des e-mails.

• Pour définir des restrictions pour votre e-mail :

1. Connectez-vous à Secure Mail et appuyez sur l’icône Composer.

2. Dans l’écran de composition, appuyez sur l’icône Restriction d’e-mail.

   

• 1. Dans l’écran Profils de restriction, appuyez sur les restrictions souhaitées à appliquer à l’e-mail, puis cliquez sur Retour.

  

  Les restrictions appliquées apparaissent sous le champ Objet.

  

Certaines organisations peuvent exiger une stricte adhésion à leur politique IRM. Les utilisateurs ayant accès à Secure Mail peuvent tenter de contourner la politique IRM en manipulant Secure Mail, le système d’exploitation ou même la plateforme matérielle.

Bien qu’Endpoint Management puisse détecter certaines attaques, considérez les mesures de précaution suivantes pour renforcer la sécurité :

• Examinez les conseils de sécurité fournis par le fournisseur de l’appareil.
• Configurez les appareils en conséquence, en utilisant les capacités d’Endpoint Management ou d’autres moyens.
• Fournissez des conseils à vos utilisateurs pour une utilisation appropriée des fonctionnalités IRM, y compris Secure Mail.

• Déployez des logiciels de sécurité tiers supplémentaires pour résister à ce type d’attaque.

• Classifications de sécurité des e-mails

• Secure Mail pour iOS et Android prend en charge les marquages de classification des e-mails, permettant aux utilisateurs de spécifier des marquages de sécurité (SEC) et de limitation de diffusion (DLM) lors de l’envoi d’e-mails. Les marquages SEC incluent Protected, Confidential et Secret. Les DLM incluent Sensitive, Legal ou Personal. Lors de la composition d’un e-mail, un utilisateur de Secure Mail peut sélectionner un marquage pour indiquer le niveau de classification de l’e-mail, comme illustré dans les images suivantes.

• 

• 

• Les destinataires peuvent afficher le marquage de classification dans l’objet de l’e-mail. Par exemple :

• Objet : Planification [SEC = PROTECTED, DLM = Sensitive]
• Objet : Planification [DLM = Sensitive]

• Objet : Planification [SEC = UNCLASSIFIED]

• Les en-têtes d’e-mail incluent les marquages de classification en tant qu’extension d’en-tête de message Internet, affichée en gras dans cet exemple :

• Date : ven. 01 mai 2015 12:34:50 +530

• Objet : Planification [SEC = PROTECTED, DLM = Sensitive]

• Priorité : normale

• X-Priorité : normale X-Protective-Marking: VER-2012.3, NS=gov.au,SEC = PROTECTED, DLM = Sensitive,ORIGIN=operations@example.com

• De : operations@example.com

• À : Équipe <mylist@example.com>

Version MIME : 1.0 Type de contenu : multipart/alternative;boundary="_com.example.email_6428E5E4-9DB3-4133-9F48-155913E39A980"

Secure Mail affiche uniquement les marquages de classification. L’application n’effectue aucune action basée sur ces marquages.

Lorsqu’un utilisateur répond à un e-mail ou le transfère, si cet e-mail contient des marquages de classification, les valeurs SEC et DLM sont définies par défaut sur le marquage de l’e-mail d’origine. L’utilisateur peut choisir un marquage différent. Secure Mail ne valide pas ces modifications par rapport à l’e-mail d’origine.

Vous configurez les marquages de classification des e-mails via les stratégies MDX suivantes.

• Classification des e-mails : Si la valeur est Activée, Secure Mail prend en charge les marquages de classification des e-mails pour SEC et DLM. Les marquages de classification apparaissent dans les en-têtes d’e-mail en tant que valeurs « X-Protective-Marking ». Assurez-vous de configurer les stratégies de classification des e-mails associées. La valeur par défaut est Désactivée.

• Espace de noms de classification des e-mails : Spécifie l’espace de noms de classification requis dans l’en-tête de l’e-mail par la norme de classification utilisée. Par exemple, l’espace de noms « gov.au » apparaît dans l’en-tête sous la forme « NS=gov.au ». La valeur par défaut est vide.

• Version de classification des e-mails : Spécifie la version de classification requise dans l’en-tête de l’e-mail par la norme de classification utilisée. Par exemple, la version « 2012.3 » apparaît dans l’en-tête sous la forme « VER=2012.3 ». La valeur par défaut est vide.

• Classification des e-mails par défaut : Spécifie le marquage de protection que Secure Mail applique à un e-mail si un utilisateur ne choisit pas de marquage. Cette valeur doit figurer dans la liste de la stratégie Marquages de classification des e-mails. La valeur par défaut est UNOFFICIAL.

• Marquages de classification des e-mails : Spécifie les marquages de classification à mettre à la disposition des utilisateurs. Si la liste est vide, Secure Mail n’inclut pas de liste de marquages de protection. La liste des marquages contient des paires de valeurs séparées par des points-virgules. Chaque paire comprend la valeur de liste qui apparaît dans Secure Mail et la valeur de marquage qui est le texte ajouté à l’objet et à l’en-tête de l’e-mail dans Secure Mail. Par exemple, dans la paire de marquages « UNOFFICIAL,SEC=UNOFFICIAL; », la valeur de liste est « UNOFFICIAL » et la valeur de marquage est « SEC=UNOFFICIAL ».

• La valeur par défaut est une liste de marquages de classification que vous pouvez modifier. Les marquages suivants sont fournis avec Secure Mail.

• UNOFFICIAL,SEC=UNOFFICIAL
• UNCLASSIFIED,SEC=UNCLASSIFIED
• For Official Use Only,DLM=For-Official-Use-Only
• Sensitive,DLM=Sensitive
• Sensitive:Legal,DLM=Sensitive:Legal
• Sensitive:Personal,DLM=Sensitive:Personal
• PROTECTED,SEC=PROTECTED
• PROTECTED+Sensitive,SEC=PROTECTED
• PROTECTED+Sensitive:Legal,SEC=PROTECTED DLM=Sensitive:Legal
• PROTECTED+Sensitive:Personal,SEC=PROTECTED DLM=Sensitive:Personal
• PROTECTED+Sensitive:Cabinet,SEC=PROTECTED,DLM=Sensitive:Cabinet
• CONFIDENTIAL,SEC=CONFIDENTIAL
• CONFIDENTIAL+Sensitive,SEC=CONFIDENTIAL,DLM=Sensitive
• CONFIDENTIAL+Sensitive:Legal,SEC=CONFIDENTIAL DLM=Sensitive:Legal
• CONFIDENTIAL+Sensitive:Personal,SEC=CONFIDENTIAL,DLM=Sensitive:Personal
• CONFIDENTIAL+Sensitive:Cabinet,SEC=CONFIDENTIAL DLM=Sensitive:Cabinet
• SECRET,SEC=SECRET
• SECRET+Sensitive,SEC=SECRET,DLM=Sensitive
• SECRET+Sensitive:Legal,SEC=SECRET,DLM=Sensitive:Legal
• SECRET+Sensitive:Personal,SEC=SECRET,DLM=Sensitive:Personal
• SECRET+Sensitive:Cabinet,SEC=SECRET,DLM=Sensitive:Cabinet
• TOP-SECRET,SEC=TOP-SECRET
• TOP-SECRET+Sensitive,SEC=TOP-SECRET,DLM=Sensitive
• TOP-SECRET+Sensitive:Legal,SEC=TOP-SECRET DLM=Sensitive:Legal
• TOP-SECRET+Sensitive:Personal,SEC=TOP-SECRET DLM=Sensitive:Personal
• TOP-SECRET+Sensitive:Cabinet,SEC=TOP-SECRET DLM=Sensitive:Cabinet

Protection des données iOS

Les entreprises qui doivent satisfaire aux exigences de protection des données de l’Australian Signals Directorate (ASD) peuvent utiliser les stratégies Activer la protection des données iOS pour Secure Mail et Secure Web. Par défaut, les stratégies sont Désactivées.

Lorsque la stratégie Activer la protection des données iOS est Activée pour Secure Web, Secure Web utilise le niveau de protection de classe A pour tous les fichiers du bac à sable. Pour plus de détails sur la protection des données de Secure Mail, consultez Protection des données de l’Australian Signals Directorate. Si vous activez cette stratégie, la classe de protection des données la plus élevée est utilisée, il n’est donc pas nécessaire de spécifier également la stratégie Classe de protection des données minimale.

Pour modifier la stratégie Activer la protection des données iOS

1. Utilisez la console Endpoint Management pour charger les fichiers MDX de Secure Web et Secure Mail dans Endpoint Management : Pour une nouvelle application, accédez à Configurer > Applications > Ajouter, puis cliquez sur MDX. Pour une mise à niveau, consultez Mettre à niveau les applications MDX ou d’entreprise.

2. Pour Secure Mail, accédez aux paramètres de l’application, recherchez la stratégie Activer la protection des données iOS et définissez-la sur Activée. Les appareils exécutant des versions plus anciennes du système d’exploitation ne sont pas affectés lorsque cette stratégie est activée.

3. Pour Secure Web, accédez aux paramètres de l’application, recherchez la stratégie Activer la protection des données iOS et définissez-la sur Activée. Les appareils exécutant des versions plus anciennes du système d’exploitation ne sont pas affectés lorsque cette stratégie est activée.

4. Configurez les stratégies d’application comme d’habitude et enregistrez vos paramètres pour déployer l’application sur le magasin d’applications Endpoint Management.

Protection des données de l’Australian Signals Directorate

Secure Mail prend en charge la protection des données de l’Australian Signals Directorate (ASD) pour les entreprises qui doivent satisfaire aux exigences de sécurité informatique de l’ASD. Par défaut, la stratégie Activer la protection des données iOS est Désactivée et Secure Mail fournit une protection des données de classe C ou utilise l’ensemble de protection des données défini dans le profil de provisioning.

Si la stratégie est Activée, Secure Mail spécifie le niveau de protection lors de la création et de l’ouverture de fichiers dans le bac à sable de l’application. Secure Mail définit la protection des données de classe A sur :

• Éléments de la boîte d’envoi
• Photos de l’appareil photo ou de la pellicule
• Images collées à partir d’autres applications
• Pièces jointes téléchargées

Secure Mail définit la protection des données de classe B sur :

• E-mails stockés
• Éléments de calendrier
• Contacts
• Fichiers de stratégie ActiveSync

La protection de classe B permet à un appareil verrouillé de se synchroniser et permet aux téléchargements de se terminer si un appareil est verrouillé après le début du téléchargement.

Lorsque la protection des données est activée, les éléments de la boîte d’envoi en attente ne sont pas envoyés lorsqu’un appareil est verrouillé car les fichiers ne peuvent pas être ouverts. Si l’appareil s’arrête puis redémarre Secure Mail alors qu’un appareil est verrouillé, Secure Mail ne peut pas se synchroniser tant que l’appareil n’est pas déverrouillé et que Secure Mail n’est pas démarré.

Citrix® recommande que, si vous activez cette stratégie, vous n’activiez la journalisation de Secure Mail qu’en cas de besoin afin d’éviter la création de fichiers journaux avec une protection des données de classe C.

Masquer le contenu de l’écran

Secure Mail pour Android et iOS prend en charge le masquage de l’écran lorsque l’application passe en arrière-plan. Cette fonctionnalité améliore la confidentialité des utilisateurs, protège les données sensibles et empêche tout accès non autorisé. Pour activer cette fonctionnalité pour Secure Mail sur les appareils iOS ou Android, consultez les sections suivantes.

Sur les appareils iOS :

1. Connectez-vous à la console Citrix Endpoint Management à l’aide des informations d’identification de l’administrateur.
2. Accédez à Configurer > Applications > MDX.
3. Sélectionnez l’option iOS sous la section Plateforme.
4. Activez l’option Masquer le contenu de l’écran sous la section Restrictions d’application.

Une fois que vous avez activé l’option Masquer le contenu de l’écran, Secure Mail affiche un écran gris lorsque l’application passe en arrière-plan.

Sur les appareils Android :

Pour masquer le contenu de l’application Secure Mail, vous pouvez utiliser la stratégie que nous utilisons pour restreindre la capture d’écran, connue sous le nom de stratégie Autoriser la capture d’écran. La désactivation de cette stratégie masque également le contenu de l’application lorsque celle-ci passe en arrière-plan. Pour plus d’informations sur la désactivation de la stratégie Autoriser la capture d’écran, consultez les paramètres Android dans la documentation de Citrix Endpoint Management.