Gestion de Google Workspace : sécurité, administration et sauvegarde

Google Workspace est devenu la principale plateforme de productivité pour une grande partie des PME, en particulier dans les secteurs qui l’ont adoptée très tôt et ont articulé leurs flux de travail autour de Gmail, Drive, Docs et Meet. Pour les équipes informatiques et les prestataires de services gérés (MSP), une gestion efficace de cette plateforme ne se limite pas à la simple attribution des licences. Elle implique de prendre en charge la configuration de la sécurité, de combler les lacunes laissées par les outils natifs de Google et de garantir la protection des données des clients au-delà de ce que la plateforme elle-même assure.

Ce guide aborde les trois domaines dans lesquels une gestion adéquate fait toute la différence : l’administration, la sécurité et la sauvegarde. La plateforme de Kaseya accompagne plus de 50 000 prestataires de services gérés (MSP) et équipes informatiques à travers le monde dans la gestion de ces environnements précis, et les schémas présentés ci-dessous mettent en évidence les sources de problèmes rencontrés dans la pratique.

Protéger Google Workspace avec l'utilisateur « Kaseya 365 »

La sécurité avancée des e-mails d'Inky, la détection et la réponse dans le cloud d'SaaS Alerts , ainsi que la sauvegarde SaaS d'Spanning , fonctionnent de concert au sein d'Kaseya 365 User afin de combler les lacunes laissées par les outils natifs de Google.

Découvrez l'utilisateur « Kaseya 365 »

Administration de Google Workspace : les bases et les erreurs liées aux paramètres par défaut

L'administration de Google Workspace s'effectue via la console d'administration, une interface Web qui permet de gérer les utilisateurs et les groupes, la structure des unités organisationnelles, les appareils, les paramètres de sécurité et les rapports. Ce modèle est natif du cloud : les modifications prennent effet immédiatement et il n'y a pas de serveur sur site à entretenir. Cette simplicité présente toutefois un inconvénient. Comme aucune configuration de base n'est appliquée aux nouveaux locataires, les paramètres par défaut sont souvent moins restrictifs que ne l'exige un environnement professionnel.

Les trois domaines dans lesquels les paramètres par défaut posent le plus souvent des problèmes sont l'authentification, le partage de Drive et l'accès depuis des appareils mobiles.

Authentification. La vérification en deux étapes (2SV) constitue le dispositif de sécurité le plus important dans tout environnement Google Workspace. Elle n’est pas activée par défaut pour les utilisateurs standard. Un administrateur doit se rendre dans Sécurité > Authentification > Vérification en deux étapes et l’activer, soit pour l’ensemble de l’organisation, soit par unité organisationnelle. Google impose désormais la 2SV sur les comptes d’administrateur dans le cadre d’une politique mise en œuvre progressivement, mais son activation pour les utilisateurs finaux reste une action délibérée de l’administrateur. Selon le rapport « 2025 SaaS Application Security Insights » de Kaseya, l’authentification multifactorielle (MFA) est désactivée ou inactive dans plus de 60 % des comptes SaaS des utilisateurs finaux. Laisser la vérification en deux étapes facultative n’est pas un choix neutre. C’est accepter un risque connu.

Partage de dossiers. Le paramètre de partage par défaut dans de nombreux locataires autorise l’accès aux fichiers à « toute personne disposant du lien ». Cela signifie qu’un utilisateur qui partage un document peut l’exposer à n’importe qui sur Internet disposant de l’URL, sans qu’aucune connexion ne soit requise. Les administrateurs informatiques doivent définir le paramètre par défaut à l’échelle de l’organisation sur « Désactivé (restreint) » et exiger une autorisation explicite pour tout partage externe. Les services financiers, les équipes RH et toute personne traitant des données clients doivent être rattachés à des unités organisationnelles soumises à des contrôles de partage plus stricts, appliqués spécifiquement.

Accès depuis des appareils mobiles. Google Workspace inclut des fonctionnalités de base de gestion des terminaux mobiles, mais n’offre pas de contrôle précis sur les données auxquelles les applications peuvent accéder, ni sur la manière dont les appareils sont gérés en cas de perte ou de désaffectation. Pour les organisations ayant mis en place des politiques BYOD (Bring Your Own Device) ou dans lesquelles des appareils mobiles accèdent à des données sensibles sur Drive ou Gmail, la gestion des terminaux via une solution MDM dédiée dépasse le cadre des fonctionnalités natives proposées par Google.

Gestion du cycle de vie des utilisateurs. La suppression rapide des droits d’accès lorsque les collaborateurs quittent l’entreprise constitue à la fois une exigence de sécurité et un moyen de maîtriser les coûts liés aux licences. La procédure à suivre consiste à suspendre d’abord le compte, à transférer la propriété des fichiers Drive et des données Gmail à un responsable ou à un compte de service, puis à supprimer le compte à l’issue de la période de conservation standard. Les workflows automatisés de départ, qui s’intègrent à la documentation d’ IT Glue et au système de tickets d’ Autotask , permettent d’éliminer les lacunes laissées par les processus manuels.

Configuration de sécurité : les mesures à mettre en place dès le premier jour

Au-delà de l'authentification à deux facteurs (2SV) et du partage des paramètres par défaut, plusieurs paramètres de la console d'administration doivent être configurés de manière ciblée afin d'assurer un niveau de sécurité adapté aux entreprises.

Accès des applications moins sécurisées. Google a cessé de prendre en charge l'authentification de base sur les comptes Gmail grand public en 2022, mais certaines applications et certains connecteurs hérités continuent de l'exiger dans les locataires Workspace. La console d'administration propose un paramètre permettant de bloquer complètement l'accès des applications moins sécurisées. Toute application ne pouvant pas s'authentifier via OAuth doit faire l'objet d'une évaluation en vue de son remplacement.

Surveillance de l'activité administrative. La section « Rapports » de la console d'administration recense les événements de connexion, l'activité administrative, les modifications apportées au partage sur Drive et les alertes de sécurité. Ces journaux doivent être consultés régulièrement. Toute activité administrative inhabituelle, telle que la création d'un nouveau super-administrateur ou la suppression massive d'utilisateurs, justifie une enquête immédiate. La configuration d'alertes pour les événements à haut risque, comme l'attribution du rôle de super-administrateur ou les anomalies de connexion, ne prend que quelques minutes dans la console d'administration et offre une couverture de détection significative.

Application de la politique relative aux mots de passe. Le paramètre « Exiger un mot de passe fort » de Google Workspace est désactivé par défaut. Les administrateurs doivent l’activer et définir une longueur minimale d’au moins 12 caractères. Cette politique peut être appliquée au niveau de l’unité organisationnelle, ce qui permet d’imposer des exigences plus strictes aux comptes disposant de privilèges élevés sans perturber les utilisateurs présentant un risque moindre et ayant des flux de travail différents.

Accès aux applications tierces. La section « Contrôle des API » de Google permet aux administrateurs de vérifier et de restreindre les applications tierces auxquelles un accès OAuth aux données de Workspace a été accordé. Les autorisations OAuth non vérifiées issues du « shadow IT » (telles que les outils de productivité auxquels les employés se connectent sans contrôle du service informatique) peuvent accéder aux données de Drive, Gmail et Agenda sans aucune visibilité en temps réel. Des vérifications trimestrielles de la liste des applications autorisées constituent une base de référence pratique. Définir une politique exigeant l’approbation de l’administrateur pour toute nouvelle connexion d’une application tierce empêche l’accumulation silencieuse de nouvelles autorisations.

Un test concret pour évaluer votre niveau de sécurité dans Google Workspace : demandez-vous si vous seriez capable, dès aujourd’hui, de dresser la liste de toutes les applications tierces ayant accès aux données des utilisateurs, de tous les comptes pour lesquels l’authentification à deux facteurs n’est pas obligatoire, et de tous les fichiers partagés publiquement. Si la réponse à l’une de ces questions est « non », l’audit de la console d’administration constitue le point de départ.

Le manque de solutions de sauvegarde : pourquoi Google Vault ne suffit pas

Google Vault est la fonctionnalité que l'on confond le plus souvent avec la sauvegarde. Il ne s'agit pas d'une solution de sauvegarde. Vault assure la conservation des données à des fins d'eDiscovery et de conformité. Il conserve les données au sein de l'infrastructure propre à Google, ce qui signifie qu'une attaque par ransomware ou une compromission de compte affectant l'environnement Workspace principal peut affecter simultanément les données conservées par Vault. Il n'offre pas de restauration à un instant donné et ne protège pas contre les causes les plus courantes de perte de données dans la pratique : suppression accidentelle, actions d'un collaborateur quittant l'entreprise et erreurs de synchronisation liées à des intégrations tierces.

Le modèle de responsabilité partagée de Google est très clair à ce sujet. Google est responsable de la disponibilité et de la sécurité de l'infrastructure de la plateforme. Les clients sont responsables de leurs données. Cette responsabilité n'est pas transférée à Google du simple fait que les données sont stockées dans le cloud.

Les risques concrets sont bien documentés. Un utilisateur supprime définitivement des fichiers de Gmail ou de Drive, et une fois le délai de 30 jours de la corbeille écoulé, les données sont perdues. Un fichier malveillant se synchronise sur Drive et écrase les versions saines dans les dossiers partagés. Un employé qui quitte l’entreprise supprime des fichiers de projet avant que son compte ne soit suspendu. Aucun de ces scénarios ne déclenche de procédure de récupération de la part de Google, car aucun d’entre eux n’implique une défaillance de l’infrastructure de Google.

Spanning La solution SaaS Backup, qui fait partie de l’offre « Kaseya 365 User », répond à ce besoin en proposant une sauvegarde quotidienne automatisée de Gmail, Drive, des disques partagés, de l’Agenda et des Contacts, avec un stockage crypté indépendant, hors de l’infrastructure de Google, et une fonctionnalité de restauration à un instant donné. Pour les MSP, le discours auprès des clients Google Workspace suit la même structure que celui concernant la sauvegarde de Microsoft 365 : Google assure la protection de la plateforme, tandis qu’un produit de sauvegarde tiers assure la protection des données.

La fonctionnalité de surveillance du dark web de Kaseya apporte une protection supplémentaire en alertant les administrateurs lorsque les adresses e-mail et les identifiants des employés associés au domaine apparaissent dans des bases de données de données de violation. La présence d'un identifiant d'un employé d'un client dans une base de données d'identifiants piratés peut indiquer une réutilisation de ces identifiants sur son compte Workspace avant même qu'une alerte de connexion ne se déclenche.

Sécurité des e-mails : ce que les filtres de Google laissent passer

Les filtres anti-spam et anti-hameçonnage intégrés à Gmail sont globalement efficaces contre les menaces connues et les campagnes à grand volume. En revanche, leur efficacité est nettement moindre face aux attaques ciblées. Les e-mails de « spear-phishing » conçus spécialement pour un destinataire, les tentatives de « Business Email Compromise » (BEC) qui usurpent l’identité d’un dirigeant ou d’un fournisseur, ainsi que les attaques de hameçonnage « zero-day » utilisant des domaines nouvellement enregistrés parviennent souvent à contourner les filtres de Google et à atterrir dans la boîte de réception.

Il ne s'agit pas d'une défaillance de la plateforme de Google. C'est une description fidèle du modèle de menace. Les attaques ciblées sont conçues pour échapper aux systèmes de détection basés sur le volume. Un prestataire de services gérés (MSP) gérant 50 clients Google Workspace ne peut pas compter sur les filtres intégrés à Gmail pour intercepter les messages les plus susceptibles de causer des dommages importants.

INKY, qui fait partie de l'offre « Kaseya 365 User », ajoute une couche de sécurité basée sur l'IA à la sécurité des e-mails de Google Workspace, qui fonctionne en complément des filtres natifs. Il utilise la technologie de vision par ordinateur pour identifier en temps réel les contrefaçons de marques et l'utilisation abusive de logos, détectant ainsi les tentatives d'hameçonnage qui imitent visuellement des expéditeurs de confiance. Il se déploie via une API sans nécessiter de modification des enregistrements MX et ajoute des bannières d’avertissement à code couleur aux e-mails qu’il identifie comme suspects, informant ainsi les utilisateurs du risque sans leur retirer le contrôle du message. INKY offre également une prévention des pertes de données (DLP), un chiffrement et l’application du protocole DMARC, ce qui étend la protection au-delà du hameçonnage entrant pour inclure la gestion des données sortantes et l’authentification des expéditeurs.

Pour les MSP en particulier, la solution « INKY » réduit considérablement la charge administrative. Un test interne mené sur plusieurs déploiements chez des MSP a révélé que les administrateurs avaient réduit le temps consacré à la gestion de la sécurité des e-mails d’environ 40 heures à environ 1 heure par mois.

Détection et réponse dans le cloud pour Google Workspace

La console d'administration de Google affiche les événements de connexion et l'activité des administrateurs, mais elle ne met pas en corrélation en temps réel les signaux comportementaux au sein de l'environnement Workspace. Un compte connecté depuis un emplacement inhabituel, téléchargeant de grands volumes de fichiers Drive et établissant des connexions OAuth vers de nouvelles applications tierces en l'espace de 30 minutes n'est pas automatiquement signalé comme ayant été piraté. Chaque événement est visible isolément. La corrélation permettant de l'identifier comme un incident ne l'est pas.

SaaS Alerts, qui fait partie de la solution « Kaseya 365 User », assure la détection et la réponse dans le cloud pour Google Workspace en surveillant en permanence l'activité des utilisateurs et en appliquant une analyse comportementale basée sur l'apprentissage automatique afin d'identifier les anomalies. Lorsqu'il détecte une compromission potentielle, il peut réagir automatiquement : mettre fin aux sessions actives, désactiver le compte et transmettre une alerte au prestataire de services gérés (MSP) ou à l'équipe informatique sans attendre une intervention humaine.

Le module Respond pour Google Workspace, lancé en 2024, permet aux MSP de configurer des règles basées sur une logique « si… alors ». Un exemple typique : si une connexion réussie provient de l’extérieur d’une zone géographique approuvée, alors Respond met fin à toutes les sessions actives et bloque les nouvelles connexions jusqu’à ce que le titulaire du compte soit vérifié. Ces règles s’exécutent en continu, y compris en dehors des heures de bureau, ce qui est important car les compromissions de compte découvertes un vendredi soir ont tout le week-end pour se transformer en incidents plus graves en l’absence de réponse automatisée.

SaaS Alerts surveille également les abus liés à l’autorisation OAuth, l’un des vecteurs d’attaque les plus courants et les moins visibles dans les environnements cloud. Lorsqu’un utilisateur connecte une nouvelle application SaaS à son compte Workspace via OAuth, SaaS Alerts enregistre la connexion et peut alerter l’administrateur ou déclencher une règle de réponse. En 2024, SaaS Alerts a analysé plus de 7,3 milliards d’événements dans des environnements SaaS pour son rapport annuel « SaaS Application Security Insights Report ». Parmi ces événements, plus d’un milliard présentaient un niveau de gravité moyen ou critique, un chiffre qui fait de la surveillance automatisée en continu, et non d’un examen manuel périodique, le seul modèle de gestion réaliste.

Gérer Google Workspace à grande échelle avec l'utilisateur d'Kaseya 365

Un MSP gérant 30 clients Google Workspace est confronté à une version aggravée de chacun des problèmes décrits ci-dessus. Les configurations de sécurité varient d’un locataire à l’autre. La couverture des sauvegardes est inégale. Les failles de sécurité des e-mails dans l’environnement d’un client exposent les autres à des risques. Sans plateforme unifiée, pour rester à jour, il faut soit mettre en place d’importants cycles de vérification manuelle, soit accepter une couverture inégale.

Kaseya 365 User regroupe les trois principaux niveaux de sécurité et de protection de Google Workspace au sein d’un seul abonnement. INKY assure la détection avancée des menaces par e-mail et l’accompagnement des utilisateurs. SaaS Alerts assure une surveillance comportementale continue et une réponse automatisée dans l’ensemble de l’environnement Workspace. Spanning assure une sauvegarde quotidienne automatisée avec un stockage indépendant et une restauration à un instant donné. Ces trois solutions se connectent à Google Workspace via une API, sans installation d’agent ni infrastructure à gérer.

L'argument commercial en faveur des MSP est simple. Chacune de ces couches traite un risque que les outils natifs de Google ne couvrent pas entièrement. Les clients utilisant Google Workspace sans solution de sauvegarde SaaS s’exposent à des pertes de données que leurs plans de continuité d’activité ne peuvent pas pallier. Les clients ne disposant pas de solutions de détection et de réponse dans le cloud n’ont aucune visibilité sur la compromission de leurs comptes jusqu’à ce que le mal soit fait. C’est en présentant clairement ces lacunes, en s’appuyant sur des éléments tirés du modèle de responsabilité partagée et, le cas échéant, sur des mesures coercitives, que l’on fait évoluer l’utilisateur d Kaseya 365 , le faisant passer d’une simple discussion sur les modules complémentaires à une attente fondamentale.

Découvrez la solution « Kaseya 365 User » pour la protection de Google Workspace.

Pour mieux comprendre comment la sécurité des applications SaaS s'inscrit dans la stratégie globale de cyber-résilience des MSP, consultez la « Liste de contrôle sur la cyber-résilience pour les MSP » ainsi que le rapport Kaseya 2026 sur l'état du secteur des MSP.

Points clés à retenir

Les paramètres par défaut de Google Workspace sont moins restrictifs que ne l'exigent les environnements d'entreprise. La validation en deux étapes, les paramètres de partage sur Drive, les règles relatives aux mots de passe et les contrôles d'accès aux applications tierces doivent tous faire l'objet d'une configuration spécifique. Aucune de ces opérations ne se fait automatiquement.
Google Vault n'est pas un produit de sauvegarde. Il s'agit d'un outil de conservation des données et d'eDiscovery qui stocke les données au sein de l'infrastructure propre à Google. « Spanning » fournit la sauvegarde indépendante à un instant donné dont les environnements Google Workspace ont réellement besoin.
Les filtres intégrés à Gmail gèrent efficacement les menaces connues. Les campagnes ciblées de spear-phishing, de BEC et de type « zero-day » nécessitent toutefois une protection spécifique. « INKY » complète les fonctionnalités proposées par Google en ajoutant une détection basée sur l'IA, une analyse de la contrefaçon de marques par vision par ordinateur et un accompagnement des utilisateurs.
SaaS Alerts offre une solution de détection et de réponse dans le cloud spécialement conçue pour Google Workspace, avec fermeture automatique des sessions et verrouillage des comptes en cas de détection d'un comportement anormal. Plus de 60 % des comptes SaaS des utilisateurs finaux ont l'authentification à plusieurs facteurs (MFA) désactivée ou inactive ; la détection et la réponse automatisées comblent cette lacune.
Les MSP qui gèrent plusieurs locataires Google Workspace ont besoin d’une solution de protection cohérente. Kaseya 365 User propose INKY, SaaS Alerts et Spanning dans un seul abonnement, comblant ainsi les lacunes en matière de sauvegarde, de détection et de sécurité des e-mails que laissent les outils natifs de Google.