En 2025, l’adoption des Digital Workplaces continue de croître à un rythme soutenu, avec Microsoft 365 et Google Workspace (anciennement G Suite) comme piliers majeurs de ces environnements collaboratifs externalisés. Ces plateformes jouent désormais un rôle central dans les systèmes d’information, en prenant en charge des activités critiques telles que la gestion des identités, la messagerie, le stockage et le partage de documents, la collaboration en temps réel, la visioconférence ou encore l’intégration d’applications métiers.
La criticité de ces services impose une gestion des risques rigoureuse, qui passe par une compréhension claire du modèle de responsabilité partagée entre le fournisseur et le client, par un encadrement des usages IT et métiers, ainsi que par un durcissement proportionné des configurations des services activés.
Sécuriser Google Workspace : un enjeu de configuration et de gouvernance
Google Workspace s’appuie sur une infrastructure réputée hautement sécurisée et certifiée (liste des certifications disponibles en ligne). Néanmoins, comme pour tout service cloud, la sécurité repose sur un modèle de responsabilité partagée. En d’autres termes, Google garantit la sécurité de l’infrastructure et celle des services Workspace en natif, tandis que la configuration, les usages et la gouvernance relèvent de l’organisation cliente (exemples : gestion des identités et des accès, configuration et durcissement des services, sécurité des terminaux, supervision, audit et remédiation).
L’administration de Google Workspace devient ainsi un enjeu critique pour les équipes IT et cybersécurité, notamment sur les volets suivants :
- Gestion de l’annuaire et des identités
- Contrôle des accès et des droits
- Gouvernance des données (partages internes / externes)
- Supervision et détection des incidents
- Paramétrage des services collaboratifs
Trois axes pour structurer un audit de sécurité Google Workspace
Un audit de sécurité d’un environnement Google Workspace (GWS) doit s’organiser autour de trois axes fondamentaux :
- Protection des identités
- Protection des services
- Protection des appareils
Pour mener à bien cette activité, Lovell Consulting a construit un framework d’audit composé de plus de 300 points de contrôle et remédiations associées, à exécuter sur la console d’administration et dont le degré de granularité dépend du niveau de licence de l’entreprise. Ce framework s’appuie sur :
- Le CIS Benchmark Google Workspace fournissant des recommandations précises sur la configuration des services
- Les règles de sécurité Google recommandées incluant les règles DLP, les alertes prédéfinies et les recommandations de posture de sécurité
- Et une évaluation de maturité basée sur le niveau de mise en œuvre des contrôles permettant de prioriser les actions correctives
Exemples de points de contrôle à évaluer
1. Protection des identités
- Activation obligatoire du MFA pour tous les utilisateurs, en priorité pour les administrateurs
- Mise en œuvre de l’accès contextuel (restrictions selon appareil, IP, localisation)
- Renforcement de la politique de mot de passe (complexité, expiration, verrouillage après tentatives échouées)
- Analyse des connexions suspectes via les journaux d’audit et les alertes de sécurité
2. Protection des services
- Vérification des domaines et applications tiers connectés
- Blocage ou restriction des applications tierces non validées
- Gouvernance du partage externe via Google Drive (limitations, expirations automatiques)
- Sécurisation de Gmail (configuration de SPF, DKIM, DMARC, protections anti-phishing avancées)
- Contrôle ou désactivation de Google Takeout pour éviter les risques d’exfiltration
- Paramétrage des règles de DLP (Drive, Forms, Sites) pour les données sensibles
3. Protection des appareils
- Application de règles via Google Endpoint Management (standard ou avancé)
- Blocage des appareils non conformes (obsolètes, jailbreakés)
- Obligation de chiffrement du disque dur (BitLocker, FileVault)
- Intégration avec une solution MDM tierce ou activation de Google Endpoint Verification
- Encadrement du BYOD : séparation des usages pro/perso, gestion des applications autorisées
Gestion des actions de remédiation
La mise en conformité repose sur un plan de remédiation priorisé, en fonction de :
- La criticité des écarts identifiés
- L’impact sur les utilisateurs (ruptures, changements d’habitude)
- La faisabilité technique des actions
Les actions correctives peuvent inclure :
- Des mises à jour de configuration via la console d’administration (IAM, Drive, Gmail)
- L’activation de fonctionnalités de sécurité avancées selon le niveau de licence (DLP, Vault, S/MIME, accès contextuel)
En complément, des services de cybersécurité externes peuvent renforcer l’environnement Google Workspace, par exemple :
- Supervision via un SOC
- Encadrement des usages avec un Cloud Access Security Broker (CASB)
- Revue automatisée des configurations avec un outil CSPM
- Gestion des accès via un MDM
- Intégration de solutions tierces de DLP et de classification
Gouvernance et conduite du changement : clés de réussite
Renforcer la sécurité ne peut se faire sans une stratégie de conduite du changement adaptée :
- Communication claire sur les bonnes pratiques (partage sécurisé, MFA, outils internes)
- Formation continue des utilisateurs et administrateurs
- Définition d’une gouvernance des rôles et responsabilités (administration, délégation, supervision)
Des outils comme le Security Dashboard ou les rapports de conformité (exemple : Google Workspace Assured Controls) doivent être mobilisés pour piloter la sécurité dans la durée.
Conclusion
Google Workspace offre une grande agilité aux équipes IT et métiers, tant dans les usages que dans l’intégration au SI et à des environnements tiers. Pour autant, il est essentiel de réaliser régulièrement des audits de sécurité afin d’avoir une vision claire :
- Des services activés
- De leur exposition vers l’extérieur
- Du niveau de risque pour le système d’information
L’objectif n’est pas de brider les usages, mais de trouver un juste équilibre entre sécurité, conformité et expérience utilisateur.
Chez Lovell Consulting, nous pensons que disposer d’un cadre d’audit structuré, agile et éprouvé devient un levier stratégique pour les organisations. Le framework d’audit Google Workspace que nous avons présenté incarne cette ambition : offrir une méthodologie rigoureuse et adaptable aux spécificités de chaque client.
