Gestion de la sécurité et des accès aux données dans Zoho Directory et Zoho CRM
Le présent article a pour objectif de décrire la manière dont s'articule la sécurité et les droits d'accès dans Zoho Directory ainsi que Zoho CRM. Il faut en effet distinguer la gestion de la sécurité au niveau global de celle liée aux permissions accordées aux utilisateurs, dans le but de limiter l'accès aux données stockées dans le CRM par exemple.
Zoho Directory
Zoho Directory offre la possibilité de fixer les exigences en matière de sécurité globale. En d'autres termes, Directory ne s'attache pas à limiter l'accès à certaines données, mais permet de créer des politiques générales de sécurité personnalisées pour certains utilisateurs ou groupes d'utilisateurs.
L'ensemble des paramètres décrits ci-dessous permettent de créer ce que Zoho qualifie de Politiques de Sécurité (Security Policies). Directory permet la création de plusieurs politiques de sécurité qui sont attribuables indépendamment à des utilisateurs ou groupes d'utilisateurs. Ainsi, à titre d'exemple, on peut appliquer des politiques de sécurité différentes à des départements différents de l'entreprise, à des équipes d'utilisateurs ou encore spécifiquement à certains utilisateurs.
La gestion de la sécurité par le biais de Zoho Directory s'attache aux éléments suivants :
- Gestion des exigences de sécurité en matière de mots de passe des utilisateurs (Password Policy)
- Double authentification (Multi-factor Authentification)
- Gestion de la sécurité et restrictions liées à l'adresse IP (Allowed IPs)
- Paramètres avancés
Lorsqu'on crée une nouvelle politique de sécurité, on est donc amené à régler un ou plusieurs de ces trois éléments. La politique est ensuite enregistrée et devient applicable aux utilisateurs ou groupes d'utilisateurs que l'on désire soumettre à cette politique de sécurité.
Gestion des exigences de sécurité en matière de mots de passe des utilisateurs (Password Policy)
Zoho Directory offre la possibilité de forcer des utilisateurs ou groupes d'utilisateurs à adopter un certain nombre de règles dans le cadre du choix de leurs mots de passe. Ainsi, l'onglet Password Policy propose tout d'abord quatre options prédéfinies quant à la sécurité des mots de passe, soit:
- Robuste (Strong)
- Bon (Good)
- Passable (Fair)
- Personnalisé (Custom)
En cliquant sur l'une des trois premières options, les paramètres de sécurité liés aux mots de passe s'ajustent sur des valeurs prédéterminées par Zoho. La quatrième option, pour sa part, permet de régler soi-même les valeurs des paramètres de sécurité.
Concernant les mots de passe, Zoho offre la possibilité de régler les éléments suivants :
- Complexité du mot de passe (Password Complexity)
- Nombre minimal de caractères du mot de passe (minimal length for a Password)
- Utilisation obligatoire d'une majuscule et d'une minuscule (Mixed Password)
- Nombre minimal de caractères spéciaux (Minimum special characters)
- Nombre minimal de caractères numériques (Minimum numeric digits)
- Durée de vie du mot de passe (Password age)
- Délai de changement du mot de passe (Maximum password age)
- Délai au delà duquel l'utilisateur sera contraint de changer son mot de passe.
- Interdiction d'utilisation d'anciens mots de passe (Refusal of previously used passwords)
- Les anciens mots de passe étant stockés dans Zoho, il existe une liste de l'ensemble des mots de passe que l'utilisateur a utilisés. Ainsi, Directory propose de déterminer le nombre d'anciens mots de passe que l'utilisateur ne peut plus utiliser, par ordre chronologique. Par exemple, en sélectionnant "3", l'utilisateur ne pourra pas utiliser l'un des trois derniers mots de passe qu'il a utilisés.
Pour valider les préférences en matière de sécurité des mots de passe, il suffit de cliquer sur "Update Policy", bouton situé en bas de l'onglet.
Double Authentification
Zoho Directory offre la possibilité de forcer l'utilisateur à utiliser une méthode d'authentification en deux étapes. L'onglet Multi-factor Authentification permet ainsi de configurer à quelles méthodes de double authentification l'utilisateur peut recourir. Il est important de noter que l'utilisateur ne sera forcé d'utiliser la double authentification qu'à partir de sa prochaine connexion. La modification de ce paramètre n'engendre donc pas la déconnexion des utilisateurs connectés. Les possibilités de double authentification offertes par Zoho Directory sont les suivantes :
- OneAuth
- Face ID / Touch ID
- Push Notification
- Time-based OTP
- QR Code
- Google Authentificator
- YubiKey
- SMS
En sélectionnant une ou plusieurs de ces options, on détermine quelles seront les méthodes de double authentification proposées à l'utilisateur.
On peut également permettre à l'utilisateur de ne devoir utiliser la double authentification qu'après une certain temps passé connecté par le biais du même navigateur. Pour cela, il faut sélectionner dans le champ MFA lifetime le nombre de jours après lequel la double authentification sera requise. Cette durée peut aller de 0 à 180 jours.
Enfin, Zoho donne la possibilité d'interdire l'utilisation de codes de récupération en cas d'oublie de mot de passe par exemple. Pour ce faire, il suffit de glisser le curseur du champ Allow backup recovery codes.
Gestion de la sécurité et restrictions liées à l'adresse IP (Allowed IPs)
Zoho Directory offre la possibilité de limiter les droit de connexion à des utilisateurs selon leur adresse IP. Le but est ici, par exemple, de ne permettre les connexions que depuis un endroit géographique spécifique, tel que l'emplacement des bureaux de l'entreprise par exemple. Ces paramètres doivent être modifiés par le service informatique, dans la mesure où une connaissance avancée de la notion d'IP ainsi que des IP concernés est nécessaire afin de régler correctement ces éléments. Concernant les adresses IP autorisées, Zoho Directory offre les choix suivants :
- Limiter à l'adresse IP actuelle
- Limite les droits de connexion aux utilisateurs dont l'adresse IP correspond à celle de l'utilisateur qui est en train de régler ce paramètre
- Ajouter une adresse IP statique (Add a Static IP)
- Ajouter manuellement une ou plusieurs adresses IP distinctes pour lesquelles la connexion sera autorisée
- Établir une plage d'adresses IP (Set IP range)
- Établir une plage d'adresses IP pour lesquelles la connexion sera autorisée
Paramètres avancés (Advanced Settings)
Pour terminer cette section dédiée à Zoho Directory, il existe trois autres paramètres que l'on peut trouver dans l'onglet de paramètres avancés (Advanced settings), soit :
- Durée de vie de la session (Lifetime Session)
- Permet de déterminer un nombre de jours après lequel l'utilisateur sera automatiquement déconnecté de son compte.
- Durée de vie de la session en cas d'inactivité (Idle Session Timeout)
- Permet de déterminer un nombre d'heures d'inactivité après lequel l'utilisateur sera automatiquement déconnecté de son compte.
- Nombre de sessions parallèles (Concurrent Sessions)
- Permet de déterminer un nombre maximal de sessions parallèles qu'un utilisateur est en droit d'avoir.
Il est important de noter que les paramètres de Zoho Directory s'appliquent à tous les utilisateurs auxquels on a attribué une certaine politique de sécurité, peut importe l'application Zoho ou le module sur lequel ils se connectent. C'est pour cette raison qu'on peut parler de sécurité globale. Autre élément important : Zoho Directory offre des possibilités de configuration de la sécurité bien distinctes de celles qu'offre Zoho CRM, dont nous allons parler ci-dessous. Ainsi, on peut dire que les paramètres de sécurité de Zoho Directory et ceux de Zoho CRM se complètent, sans se superposer.
Zoho CRM
Comme vu précédemment, Zoho Directory ne permet pas de configurer des droits d'accès aux données. Afin de limiter l'accès aux données à des utilisateurs ou groupes d'utilisateurs, il faut passer par Zoho CRM. Rendez-vous dans l'onglet préférences, dont l'icône représente une clef à molette et un tournevis et qui se trouve à gauche du bouton d'accès au profil utilisateur. En cliquant sur cette icône, on se retrouve dans un menu conséquent, dont l'une des catégories est intitulée "Users and Control". En son sein, on trouve "Security Control". C'est sur ce paramètrage qu'on va s'attarder.
La fenêtre d'accueil de "Security Control" comporte quatre onglets :
- Profils (Profiles)
- Rôles (Roles)
- Réglages de partage des données (Data Sharing Settings)
- Zoho Mail Add-on Users
Profils (Profiles)
Nous avons vu précédemment que Zoho Directory permet de créer des politiques de sécurité qui sont par la suite attribuables à certains utilisateurs ou groupes d'utilisateurs. Zoho CRM possède, pour sa part, des Profils que l'on va également pouvoir assigner à des utilisateurs ou groupes d'utilisateurs. La différence réside dans le fait que les profils permettent de configurer précisément les données auxquelles les utilisateurs qui se seront vus assigner un profil en particulier vont avoir accès. On peut ainsi créer plusieurs profils différents, donnant lieu chacun à un accès plus ou moins restrictif au données du CRM.
Pour bien comprendre ce qui va suivre, il faut distinguer deux niveaux principaux d'accès aux données :
- Niveau Module
- Niveau Champ
Niveau Module
Ce que j'appelle ici "Niveau Module" est la possibilité offerte par Zoho CRM de restreindre le droit à certains utilisateurs de voir ou d'agir au sein d'un module dans son ensemble. Prenons l'exemple du module contacts : le paramètrage au niveau du module contacts va permettre ou interdire à l'utilisateur de voir les contacts, d'en créer, d'en éditer certains ou encore d'en effacer. Il ne s'agit donc pas ici de permettre ou interdire l'action sur un champ particulier du module contacts, puisqu'on donne accès ou non au module dans son ensemble.
Niveau Champ
Pour autant qu'on ait donné la possibilité à l'utilisateur de voir et d'agir au sein d'un module, on peut limiter sa latitude d'action au niveau de chaque champ appartenant au module. Reprenons l'exemple du module clients : si je donne accès à ce module à un utilisateur, je peux malgré tout lui interdire de voir ou d'éditer - par exemple - le champ correspondant à l'adresse ou au numéro de téléphone des contacts.
Cette distinction entre Niveau Champ et Niveau Module est très importante, car les paramètres relatifs à chacun de ces niveaux ne se trouvent pas au même endroit.
Réglages Niveau Module
Revenons-en aux profils. L'onglet profils présent dans "Security Control" permet, comme explicité précédemment, de créer des profils attribuables à certains utilisateurs ou groupes d'utilisateurs. Lorsque l'on clique sur un profil en particulier, on entre en mode édition du profil et on peut configurer une multitude d'éléments au Niveau Module, ainsi que certains paramètres généraux liés par exemple aux droits d'importation et d'exportation, à l'envoi d'emails, à l'utilisation de fonctionnalités telles que l'importation ou l'effacement en masse de données présentes dans les modules ou encore aux droits d'impression. Au vu du nombre particulièrement important de paramètres, je ne vais pas m'attarder ici à expliquer ce que chacun d'entre eux signifie. Néanmoins, retenez que les réglages dans l'onglet Profils ont un impact sur les droits d'accès dans chaque module, dans son ensemble.
Réglages Niveau Champ
On accède aux réglages Niveau Champ depuis l'onglet paramètres du CRM, le même que celui qui permet d'accéder aux profils. On y retrouve le menu dont l'une des catégories s'intitule "Customization". En son sein, on trouve "Modules and Fields", soit Modules et Champs. On retrouve alors la liste complète des modules présents dans le CRM, dont le module contacts, cité en exemple précédemment. Lorsque l'on positionne la souris sur un module, apparaît une liste déroulante d'options. Parmi elles, on trouve "Fields", soit Champs. En cliquant sur cette option, on tombe sur une page comportant deux onglets : "Field Listing" et "Field Permissions". "Field Listing" est une simple liste des champs présents dans le module, alors que "Field Permissions" est l'onglet qui nous intéresse, soit celui qui permet de paramètrer l'accès aux champs.
Dans cet onglet, on peut sélectionner pour chaque profil, les champs visibles et modifiables par les utilisateurs auxquels on a assigné le profil en question. Les droits d'accès sont donc configurés pour l'ensemble des utilisateurs dont le profil est celui que l'on est en train de paramètrer.
Rôles (Roles)
L'onglet Roles permet de créer une hiérarchie dans l'accès aux données. Autrement dit, Zoho CRM offre la possibilité de créer des rôles au sein de la société (on peut les comprendre comme des positions hiérarchiques). L'idée est ici de donner des accès de plus en plus importants à mesure que la position hiérarchique de l'utilisateur au sein de l'entreprise augmente, mais surtout de pouvoir donner des droits d'accès "croisés" en fonction de la position hiérarchique. Prenons l'exemple suivant : un directeur marketing et un directeur finance dans une entreprise. Imaginons que l'on a crée plusieurs profils d'accès pour le département marketing, ainsi que plusieurs autres pour le département finance, ne donnant évidemment pas accès aux mêmes données. Il se peut que l'on désire que les directeurs des départements respectifs aient mutuellement accès aux données de l'autre. Ainsi, définir les droits d'accès comme étant basés sur les rôles permet de donner accès de manière croisée à des utilisateurs ayant la même position hiérarchique, peu importe les profils propres à leurs départements. Dans cet exemple, le directeur marketing sera lié à un profil élaboré pour le département marketing, celui finance sera lié à un profil finance spécifique mais malgré cela, pour autant qu'on leur attribue un rôle de directeur et qu'on désire une structure des accès par rôle, ces deux directeurs se retrouveront bénéficiaires de droits d'accès qui cumulent les droits liés à leur profil et ceux de l'autre, dû à leur statut de directeur qui prend alors l'ascendant sur le profil spécifique au département.
Réglages de partage des données (Data Sharing Settings)
Nous venons d'expliciter la possibilité de rendre accessibles les données en fonction des rôles des utilisateurs dans l'organisation. Cet onglet permet de paramètrer ces partages d'accès et créant des règles de partage (Sharing Rules). Ainsi, en bas de cet onglet, on trouve une liste des modules avec pour chacun d'entre eux, la possibilité de créer une ou plusieurs règles de partage. En cliquant sur "New Sharing Rule", on peut ainsi gérer le partage d'accès entre utilisateurs, groupes d'utilisateurs et rôles. Ce partage peut exister dans les deux sens. Autrement dit, on peut partager les droits d'accès d'un groupe d'utilisateurs à un rôle, ou d'un rôle à un groupe d'utilisateurs. De nombreuses possibilités s'offrent donc au travers de ces règles de partage. Il s'agit néanmoins de bien comprendre la structure organisationnelle de l'entreprise avant de paramètrer quoi que ce soit.