Partager via

Base de référence de sécurité Azure pour Power BI

Cette base de référence de sécurité applique des conseils du benchmark de sécurité Azure version 2.0 à Power BI. Le benchmark de sécurité Azure fournit des recommandations sur la façon dont vous pouvez sécuriser vos solutions cloud sur Azure. Le contenu est regroupé par les contrôles de sécurité définis par le benchmark de sécurité Azure et les instructions associées applicables à Power BI.

Lorsqu’une fonctionnalité comporte des définitions Azure Policy pertinentes, elles sont répertoriées dans cette ligne de base pour vous aider à mesurer la conformité aux contrôles et recommandations azure Security Benchmark. Certaines suggestions peuvent nécessiter un plan Microsoft Defender payant pour activer des scénarios particuliers de sécurité.

Remarque

Les contrôles non applicables à Power Bl, et ceux pour lesquels les conseils globaux sont recommandés textuellement, ont été exclus. Pour voir comment Power BI est complètement mappé au benchmark de sécurité Azure, consultez le fichier de mappage complet de la base de référence de la sécurité Power BI.

Sécurité réseau

Pour plus d’informations, consultez le benchmark de sécurité Azure : Sécurité réseau.

NS-3 : Établir un accès réseau privé aux services Azure

Conseils : Power BI prend en charge la connexion de votre locataire Power BI à un point de terminaison de liaison privée et la désactivation de l’accès à Internet public.

Responsabilité : Partagé

NS-4 : Protéger les applications et les services contre les attaques réseau externes

Conseils : Power BI est une offre SaaS entièrement gérée et a intégré des protections par déni de service gérées par Microsoft. Aucune action n’est nécessaire de la part des clients pour protéger le service contre les attaques de réseau externes.

Responsabilité : Microsoft

NS-7 : Service DNS (Secure Domain Name Service)

Conseils : Non applicable ; Power Bl n’expose pas ses configurations DNS sous-jacentes, ces paramètres sont gérés par Microsoft.

Responsabilité : Microsoft

Gestion des identités

Pour plus d’informations, consultez le benchmark de sécurité Azure : Identity Management.

Messagerie instantanée 1 : Normaliser Azure Active Directory en tant que système central d’identité et d’authentification

Conseils : Power BI est intégré à Azure Active Directory (Azure AD) qui est le service de gestion des identités et des accès par défaut d’Azure. Vous devez normaliser azure AD pour régir la gestion des identités et des accès de votre organisation.

La sécurisation d’Azure AD doit être d’une priorité élevée dans les pratiques de sécurité cloud de votre organisation. Azure AD fournit un score d’identité sécurisée qui aide à évaluer l’état de la sécurité des identités par rapport aux meilleures pratiques recommandées par Microsoft. Utilisez le score pour évaluer avec précision votre configuration par rapport aux meilleures pratiques recommandées et apporter des améliorations à votre posture de sécurité.

Remarque : Azure AD prend en charge les identités externes qui permettent aux utilisateurs sans compte Microsoft de se connecter à leurs applications et ressources avec leur identité externe.

Responsabilité : Customer

Messagerie instantanée 2 : Gérer les identités d’application de manière sécurisée et automatique

Conseils : Power BI et Power BI Embedded prennent en charge l’utilisation des principaux de service. Stockez les informations d’identification du principal de service utilisées pour chiffrer ou accéder à Power BI dans un coffre de clés, attribuez des stratégies d’accès appropriées au coffre et passez régulièrement en revue les autorisations d’accès.

Responsabilité : Customer

MESSAGERIE INSTANTANÉE 3 : Utiliser l’authentification unique Azure AD pour l’accès aux applications

Conseils : Power Bl utilise Azure Active Directory (Azure AD) pour fournir une gestion des identités et des accès aux ressources Azure, aux applications cloud et aux applications locales. Cela inclut les identités d’entreprise, comme les employés, ainsi que les identités externes, comme les partenaires et les fournisseurs. Cela permet à l’authentification unique de gérer et sécuriser l’accès aux données et ressources de votre organisation localement et dans le cloud. Connectez l’ensemble de vos utilisateurs, applications et appareils à Azure AD pour un accès transparent et sécurisé, ainsi qu’une visibilité et un contrôle accrus.

Responsabilité : Customer

Messagerie instantanée 7 : Éliminer l’exposition involontaire des informations d’identification

Conseils : Pour les applications incorporées Power BI, il est recommandé d’implémenter Credential Scanner pour identifier les informations d’identification dans votre code. Le moteur d’analyse des informations d’identification encourage également le déplacement des informations d’identification découvertes vers des emplacements plus sécurisés, tels qu’Azure Key Vault.

Stockez les clés de chiffrement ou les informations d’identification du principal de service utilisées pour chiffrer ou accéder à Power BI dans un coffre de clés, attribuer des stratégies d’accès appropriées au coffre et examiner régulièrement les autorisations d’accès.

Pour GitHub, vous pouvez utiliser la fonctionnalité native d’analyse de secret pour identifier les informations d’identification ou d’autres formes de secrets dans le code.

Responsabilité : Partagé

Accès privilégié

Pour plus d’informations, consultez le benchmark de sécurité Azure : Accès privilégié.

PA-1 : Protéger et limiter les utilisateurs hautement privilégiés

Conseils : Pour réduire les risques et suivre le principe du privilège minimum, il est recommandé de conserver l’appartenance des administrateurs Power BI à un petit nombre de personnes. Les utilisateurs disposant de ces autorisations privilégiées peuvent potentiellement accéder à toutes les fonctionnalités de gestion de l’organisation et les modifier. Les administrateurs généraux, via Microsoft 365 ou Azure Active Directory (Azure AD), possèdent aussi, implicitement, des droits d’administrateur dans le service Power BI.

Power BI dispose de comptes hautement privilégiés ci-dessous :

  • Administrateur global
  • Administrateur de facturation...
  • Administrateur de licence
  • Administrateur d’utilisateurs
  • Administrateur de Power BI
  • Administrateur de capacité Power BI Premium
  • Administrateur de capacité Power BI Embedded

Power BI prend en charge les stratégies de session dans Azure AD pour activer les stratégies d’accès conditionnel et les sessions de routage utilisées dans Power BI via le service Microsoft Defender for Cloud Apps.

Activez l’accès privilégié juste-à-temps (JAT) pour les comptes administrateur Power BI à l’aide de Privileged Access Management dans Microsoft 365.

Responsabilité : Customer

PA-3 : Examiner et rapprocher régulièrement l’accès utilisateur

Conseils : En tant qu’administrateur service Power BI, vous pouvez analyser l’utilisation de toutes les ressources Power BI au niveau du locataire à l’aide de rapports personnalisés basés sur le journal d’activité Power BI. Vous pouvez télécharger les activités à l’aide d’une API REST ou d’une applet de commande PowerShell. Vous pouvez également filtrer les données d’activité par plage de dates, utilisateur et type d’activité.

Vous devez respecter ces exigences pour accéder au journal d’activité Power BI :

  • Vous devez être administrateur général ou administrateur service Power BI.
  • Vous avez installé les applets de commande de gestion Power BI localement ou utilisez les applets de commande de gestion Power BI dans Azure Cloud Shell.

Une fois ces exigences remplies, vous pouvez suivre les instructions ci-dessous pour suivre l’activité des utilisateurs dans Power BI :

Responsabilité : Customer

PA-6 : Utiliser des stations de travail d’accès privilégié

Conseils : Les stations de travail sécurisées et isolées sont extrêmement importantes pour la sécurité des rôles sensibles tels que les administrateurs, les développeurs et les opérateurs de service critiques. Utilisez des stations de travail utilisateur hautement sécurisées et/ou Azure Bastion pour les tâches d’administration liées à la gestion de Power BI. Utilisez Azure Active Directory (Azure AD), Microsoft Defender Advanced Threat Protection (MDATP) et/ou Microsoft Intune pour déployer une station de travail utilisateur sécurisée et gérée pour les tâches d’administration. Les stations de travail sécurisées peuvent être gérées de manière centralisée pour appliquer une configuration sécurisée, notamment une authentification forte, des lignes de base logicielles et matérielles et un accès réseau et logique restreint.

Responsabilité : Customer

Protection des données

Pour plus d’informations, consultez le benchmark de sécurité Azure : Protection des données.

DP-1 : Découverte, classification et étiquette des données sensibles

Conseils : Utilisez des étiquettes de confidentialité de Protection des données Microsoft Purview sur vos rapports, tableaux de bord, jeux de données et flux de données pour protéger votre contenu sensible contre l’accès et les fuites de données non autorisés.

Utilisez des étiquettes de confidentialité de Protection des données Microsoft Purview pour classifier et étiqueter vos rapports, tableaux de bord, jeux de données et flux de données dans service Power BI et protéger votre contenu sensible contre l’accès et les fuites de données non autorisés lorsque le contenu est exporté à partir de service Power BI aux fichiers Excel, PowerPoint et PDF.

Responsabilité : Customer

DP-2 : Protection des données sensibles

Conseils : Power BI s’intègre aux étiquettes de confidentialité de Protection des données Microsoft Purview pour la protection des données sensibles. Pour plus d’informations, consultez les étiquettes de confidentialité de Protection des données Microsoft Purview dans Power BI

Power BI permet aux utilisateurs de service d’apporter leur propre clé pour protéger les données au repos. Pour plus d’informations, consultez Apportez vos propres clés de chiffrement pour Power BI

Les clients ont la possibilité de conserver des sources de données locales et d’exploiter Direct Query ou Live Connect avec une passerelle de données locale pour réduire l’exposition des données au service cloud. Pour plus d’informations, consultez Qu’est-ce qu’une passerelle de données locale ?

Power BI prend en charge la sécurité au niveau des lignes. Pour plus d’informations, consultez Sécurité au niveau des lignes (RLS) avec Power BI. Notez que les lignes de sécurité peuvent être appliquées même aux sources de données Direct Query, auquel cas le fichier PBIX agit comme un proxy d’activation de la sécurité.

Responsabilité : Customer

DP-3 : Détection des transferts non autorisés de données sensibles

Conseils : Ce contrôle peut être partiellement réalisé à l’aide de la prise en charge Microsoft Defender for Cloud Apps pour Power Bl.

À l’aide de Microsoft Defender for Cloud Apps avec Power BI, vous pouvez protéger vos rapports, vos données et vos services Power BI contre les fuites ou violations indésirables. Avec Microsoft Defender for Cloud Apps, vous créez des stratégies d’accès conditionnel pour les données de votre organisation en utilisant des contrôles de session en temps réel dans Azure Active Directory (Azure AD), ce qui permet de garantir la sécurité de vos analyses Power BI. Une ces stratégies définies, les administrateurs peuvent superviser l’accès et l’activité des utilisateurs, effectuer une analyse des risques en temps réel et définir des contrôles spécifiques aux étiquettes.

Responsabilité : Customer

DP-4 : Chiffrement des informations sensibles en transit

Conseils : Assurez-vous que le trafic HTTP, que tous les clients et sources de données qui se connectent à vos ressources Power BI peuvent négocier TLS v1.2 ou version ultérieure.

Responsabilité : Customer

DP-5 : Chiffrer les données sensibles au repos

Conseils : Power BI chiffre les données au repos et en cours. Par défaut, Power BI utilise des clés managées par Microsoft pour chiffrer vos données. Les organisations peuvent choisir d’utiliser leurs propres clés pour le chiffrement du contenu utilisateur au repos sur Power BI, des images de rapport vers les jeux de données importés dans les capacités Premium.

Responsabilité : Partagé

Gestion des actifs

Pour plus d’informations, consultez le benchmark de sécurité Azure : Asset Management.

AM-1 : Vérifier que l’équipe de sécurité a une visibilité sur les risques pour les ressources

Conseils : Utilisez Microsoft Sentinel avec vos journaux d’audit Office Power Bl pour vous assurer que votre équipe de sécurité bénéficie d’une visibilité sur les risques pour vos ressources Power BI.

Responsabilité : Customer

AM-2 : Vérifier que l’équipe de sécurité a accès à l’inventaire des ressources et aux métadonnées

Conseils : Assurez-vous que les équipes de sécurité ont accès à un inventaire mis à jour en continu des ressources Power BI Embedded. Les équipes de sécurité ont souvent besoin de cet inventaire pour évaluer l’exposition potentielle de leur organisation à des risques émergents, et en tant qu’entrée pour des améliorations de sécurité continues.

Azure Resource Graph peut interroger et découvrir toutes les ressources Power BI Embedded dans vos abonnements.

Organisez logiquement les ressources en fonction de la taxonomie de votre organisation à l’aide de balises, ainsi que d’autres métadonnées dans Azure (nom, description et catégorie).

Responsabilité : Customer

AM-3 : Utiliser uniquement les services Azure approuvés

Conseils : Power BI prend en charge les déploiements basés sur Azure Resource Manager pour Power BI Embedded et vous pouvez restreindre le déploiement de ses ressources via Azure Policy à l’aide d’une définition de stratégie personnalisée.

Utilisez Azure Policy pour auditer et limiter les services que les utilisateurs peuvent approvisionner dans votre environnement. Utilisez Azure Resource Graph pour interroger et découvrir des ressources dans leurs abonnements. Vous pouvez également utiliser Azure Monitor pour créer des règles afin de déclencher des alertes lorsqu’un service non approuvé est détecté.

Responsabilité : Customer

Journalisation et détection des menaces

Pour plus d’informations, consultez le benchmark de sécurité Azure : journalisation et détection des menaces.

LT-2 : Activer la détection des menaces pour la gestion des identités et des accès Azure

Conseils : Transférez tous les journaux d’activité de Power BI à votre SIEM, qui peuvent être utilisés pour configurer des détections de menaces personnalisées. En outre, utilisez les contrôles Microsoft Defender for Cloud Apps dans Power BI pour activer la détection d’anomalies à l’aide du guide disponible ici.

Responsabilité : Customer

LT-3 : Activer la journalisation pour les activités réseau Azure

Conseils : Power BI est une offre SaaS entièrement managée et la configuration réseau sous-jacente et la journalisation est la responsabilité de Microsoft. Pour les clients qui utilisent des liaisons privées, certaines informations de journalisation et de surveillance peuvent être configurées.

Responsabilité : Partagé

LT-4 : Activer la journalisation pour les ressources Azure

Conseils : Avec Power BI, vous avez deux options pour suivre l’activité utilisateur : le journal d’activité Power BI et le journal d’audit unifié. Ces journaux contiennent toutes deux une copie complète des données d’audit Power BI, mais il existe plusieurs différences clés, comme indiqué ci-dessous.

Journal d’audit unifié :

  • Inclut des événements de SharePoint Online, Exchange Online, Dynamics 365 et d’autres services en plus des événements d’audit Power BI.

  • Seuls les utilisateurs ayant des autorisations Journaux d’audit ou Journaux d’audit en affichage seul, comme les administrateurs généraux et les auditeurs, ont accès à ce journal.

  • Les administrateurs généraux et les auditeurs peuvent effectuer des recherches dans le journal d’audit unifié sur le portail Microsoft 365 Defender et dans le portail de conformité Microsoft Purview.

  • Les administrateurs généraux et les auditeurs peuvent télécharger les entrées du journal d’audit à l’aide des API et applets de commande de gestion Microsoft 365.

  • Conserve les données d’audit pendant 90 jours.

  • Conserve les données d’audit, même si le locataire est déplacé vers une autre région Azure.

Journal d’activité Power BI :

  • Inclut uniquement les événements d’audit de Power BI.

  • Les administrateurs généraux et les administrateurs de service Power BI ont accès à ce journal.

  • Il n’existe pas encore d’interface utilisateur permettant d’effectuer des recherches dans le journal d’activité.

  • Les administrateurs généraux et les administrateurs de service Power BI peuvent télécharger des entrées du journal d’activité à l’aide d’une API REST Power BI et d’une applet de commande de gestion.

  • Conserve les données d’activité pendant 30 jours.

  • Ne conserve pas les données d’activité lorsque le locataire est déplacé vers une autre région Azure.

Pour en savoir plus, consultez les références suivantes :

Responsabilité : Partagé

LT-5 : Centraliser la gestion et l’analyse des journaux de sécurité

Conseils : Power BI, centralise les journaux à deux emplacements : le journal d’activité Power BI et le journal d’audit unifié. Ces journaux contiennent toutes deux une copie complète des données d’audit Power BI, mais il existe plusieurs différences clés, comme indiqué ci-dessous.

Journal d’audit unifié :

  • Inclut des événements de SharePoint Online, Exchange Online, Dynamics 365 et d’autres services en plus des événements d’audit Power BI.

  • Seuls les utilisateurs ayant des autorisations Journaux d’audit ou Journaux d’audit en affichage seul, comme les administrateurs généraux et les auditeurs, ont accès à ce journal.

  • Les administrateurs généraux et les auditeurs peuvent effectuer des recherches dans le journal d’audit unifié sur le portail Microsoft 365 Defender et dans le portail de conformité Microsoft Purview.

  • Les administrateurs généraux et les auditeurs peuvent télécharger les entrées du journal d’audit à l’aide des API et applets de commande de gestion Microsoft 365.

  • Conserve les données d’audit pendant 90 jours.

  • Conserve les données d’audit, même si le locataire est déplacé vers une autre région Azure.

Journal d’activité Power BI :

  • Inclut uniquement les événements d’audit de Power BI.

  • Les administrateurs généraux et les administrateurs de service Power BI ont accès à ce journal.

  • Il n’existe pas encore d’interface utilisateur permettant d’effectuer des recherches dans le journal d’activité.

  • Les administrateurs généraux et les administrateurs de service Power BI peuvent télécharger des entrées du journal d’activité à l’aide d’une API REST Power BI et d’une applet de commande de gestion.

  • Conserve les données d’activité pendant 30 jours.

  • Ne conserve pas les données d’activité lorsque le locataire est déplacé vers une autre région Azure.

Pour en savoir plus, consultez les références suivantes :

Responsabilité : Customer

LT-6 : Configurer la rétention du stockage des journaux

Conseils : Configurez vos stratégies de rétention de stockage pour vos journaux d’audit Office en fonction de vos exigences de conformité, de réglementation et d’entreprise.

Responsabilité : Customer

LT-7 : Utiliser des sources de synchronisation date/heure approuvées

Conseils : Power Bl ne prend pas en charge la configuration de vos propres sources de synchronisation de l’heure. Le service Power Bl s’appuie sur les sources de synchronisation de l’heure de Microsoft et n’est pas exposé aux clients pour la configuration.

Responsabilité : Microsoft

Gestion de la posture et des vulnérabilités

Pour plus d’informations, consultez le benchmark de sécurité Azure : posture et gestion des vulnérabilités.

PV-1 : Établir des configurations sécurisées pour les services Azure

Conseils : Configurez votre service Power BI avec les paramètres appropriés à votre organisation et à votre position de sécurité. Les paramètres d’accès au service et au contenu, ainsi que l’espace de travail et la sécurité des applications doivent être soigneusement pris en compte. Consultez le livre blanc Power BI Security and Data Protection in the Power BI Enterprise Deployment whitepaper.

Responsabilité : Customer

PV-2 : Maintenir des configurations sécurisées pour les services Azure

Conseils : Surveillez votre instance Power BI à l’aide des API REST d’administration Power BI.

Responsabilité : Customer

PV-3 : Établir des configurations sécurisées pour les ressources de calcul

Conseils : Power BI est une offre SaaS entièrement gérée, les ressources de calcul sous-jacentes du service sont sécurisées et gérées par Microsoft.

Responsabilité : Microsoft

PV-4 : Maintenir des configurations sécurisées pour les ressources de calcul

Conseils : Power BI est une offre SaaS entièrement gérée, les ressources de calcul sous-jacentes du service sont sécurisées et gérées par Microsoft.

Responsabilité : Microsoft

PV-5 : Stocker en toute sécurité des images de système d’exploitation et de conteneur personnalisées

Conseils : Power BI est une offre SaaS entièrement gérée, les ressources de calcul sous-jacentes du service sont sécurisées et gérées par Microsoft.

Responsabilité : Microsoft

PV-6 : Effectuer des évaluations des vulnérabilités logicielles

Conseils : Power Bl est une offre SaaS entièrement gérée, les ressources de calcul sous-jacentes du service sont sécurisées et gérées par Microsoft.

Responsabilité : Microsoft

PV-7 : Corriger rapidement et automatiquement les vulnérabilités logicielles

Conseils : Power Bl est une offre SaaS entièrement gérée, les ressources de calcul sous-jacentes du service sont sécurisées et gérées par Microsoft.

Responsabilité : Microsoft

PV-8 : Effectuer une simulation d’attaque régulière

Conseils : En fonction des besoins, effectuez des tests d’intrusion ou des activités d’équipe rouge sur vos ressources Azure et assurez la correction de toutes les conclusions de sécurité critiques.

Suivez les règles d’engagement de pénétration du cloud Microsoft pour vous assurer que vos tests d’intrusion sont conformes aux stratégies de Microsoft. Utilisez la stratégie et l’exécution de Red Teaming de Microsoft ainsi que les tests d’intrusion de site actif sur l’infrastructure cloud, les services et les applications gérés par Microsoft.

Responsabilité : Partagé

Sécurité des points de terminaison

Pour plus d’informations, consultez le benchmark de sécurité Azure : Sécurité des points de terminaison.

ES-1 : utiliser la protection évolutive des points de terminaison (PEPT)

Conseils : Power Bl ne déploie pas de ressources de calcul à destination du client qui nécessitent que les clients configurent la protection EDR (détection de point de terminaison et réponse). L’infrastructure sous-jacente de Power BI est gérée par Microsoft, ce qui comprend les logiciels anti-programmes malveillants et la gestion des EDR.

Responsabilité : Microsoft

ES-2 : Utiliser un logiciel anti-programme malveillant moderne géré de manière centralisée

Conseils : Power Bl ne déploie pas de ressources de calcul à destination du client qui nécessitent que les clients configurent la protection anti-programmes malveillants. L’infrastructure sous-jacente de Power BI est gérée par Microsoft, ce qui comprend l’analyse anti-programmes malveillants.

Responsabilité : Microsoft

ES-3 : Vérifier que les logiciels et signatures anti-programme malveillant sont mis à jour

Conseils : Power Bl ne déploie pas de ressources de calcul à destination du client qui nécessitent que les clients s’assurent une mise à jour constante des signatures anti-programmes malveillants. L’infrastructure sous-jacente de Power BI est gérée par Microsoft, ce qui comprend la gestion de la protection contre les programmes malveillants.

Responsabilité : Microsoft

Sauvegarde et récupération

Pour plus d’informations, consultez le benchmark de sécurité Azure : Sauvegarde et récupération.

BR-3 : Valider toutes les sauvegardes, y compris les clés gérées par le client

Conseils : Si vous utilisez la fonctionnalité BYOK (Bring Your Own Key) dans Power BI, vous devez vérifier régulièrement que vous pouvez accéder à vos clés gérées par le client et les restaurer.

Responsabilité : Customer

BR-4 : Atténuer le risque de perte de clés

Conseils : Si vous utilisez la fonctionnalité BYOK (Bring Your Own Key) dans Power BI, vous devez vous assurer que le coffre de clés contrôlant vos clés gérées par le client est configuré avec les instructions fournies dans la documentation BYOK dans Power BI ci-dessous. Activez la suppression réversible et la protection contre la purge dans Azure Key Vault pour protéger les clés contre une suppression accidentelle ou malveillante.

Pour les ressources de clé de passerelle, vérifiez que vous suivez les instructions de la documentation sur la clé de récupération de passerelle ci-dessous.

Responsabilité : Customer

Étapes suivantes

  • Last updated on