Sécuriser Google Workspace pour les PME : MFA, accès contextuel et verrouillage de Drive

Pour de nombreuses PME, Google Workspace constitue la colonne vertébrale numérique : messagerie, agenda, Drive, Meet, Docs, tout dans un seul abonnement. Ce que l'on oublie souvent, c'est que la configuration par défaut n'est pas aussi stricte qu'elle devrait l'être. Acheter la licence est une chose ; la configurer de manière sécurisée en est une autre. Ce guide vous montre concrètement quels paramètres activer pour protéger Gmail, Drive et le reste de Workspace contre les attaques qui frappent le plus durement les PME en 2026 : phishing ciblé, vol de mots de passe, détournement de sessions et documents partagés par erreur.

Pourquoi la sécurité de Workspace mérite une attention particulière

Google fournit une plateforme solide, mais sa configuration par défaut est volontairement accessible. C'est pratique pour démarrer rapidement, mais gênant lorsque vos données d'entreprise ne peuvent pas courir ce risque. Quelques paramètres concrets qui sont désactivés ou trop permissifs sur un Workspace fraîchement créé : l'authentification à deux facteurs n'est pas imposée à tous les utilisateurs, les fichiers Drive peuvent par défaut être partagés avec « toute personne disposant du lien », et l'accès contextuel (qui restreint les usages selon l'appareil, la localisation et le réseau) n'est pas activé.

Aux Pays-Bas, Google Workspace coûte en 2026 à partir d'environ 6,80 € par utilisateur et par mois pour Business Starter (engagement annuel, hors TVA). Business Standard démarre à 13,60 €, Business Plus à 21,10 €. Si vous voulez vraiment verrouiller la sécurité, vous arriverez vite à Business Plus pour les paramètres supplémentaires (Vault, gestion avancée des terminaux, accès contextuel). Nous y reviendrons plus loin. Vous hésitez encore entre Google et Microsoft ? Lisez d'abord notre comparatif entre Google Workspace et Microsoft 365.

Imposez la 2SV à tous, et une MFA résistante au phishing aux administrateurs

L'authentification à deux facteurs, appelée 2-Step Verification ou 2SV chez Google, est le levier le plus important dont vous disposez. Les comptes protégés par la MFA sont compromis plusieurs ordres de grandeur moins souvent que ceux qui n'en disposent pas. Depuis 2025, Google impose automatiquement la 2SV à tous les comptes administrateurs, mais pour les utilisateurs ordinaires, c'est à vous de l'activer.

Mode d'emploi :

1. Activez l'application obligatoire de la 2SV dans la console d'administration, pour toute l'organisation ou par unité organisationnelle (organizational unit).
2. Prévoyez une période d'inscription de 7 à 14 jours pour que les collaborateurs puissent enregistrer leur second facteur.
3. Rendez ensuite la 2SV obligatoire pour toute nouvelle session.
4. N'autorisez pas le SMS ni l'appel vocal comme second facteur : ils résistent mal au SIM swapping et aux attaques de phishing par relais. Utilisez Google Prompt, une clé de sécurité ou une passkey.

Pour les super-administrateurs et les administrateurs délégués, allez encore plus loin. Inscrivez ces comptes au programme Protection Avancée (Advanced Protection Program) de Google. Vous imposez ainsi les passkeys ou les clés de sécurité matérielles, bloquez l'accès des applications non approuvées et renforcez les procédures de récupération. Les passkeys bloquent les attaques de phishing par relais, car l'identifiant vérifie lui-même qu'il communique bien avec le véritable domaine google.com avant de répondre.

Notre guide plus général sur la mise en place de la MFA explique comment organiser ce déploiement sans submerger votre support.

Configurez l'accès contextuel

L'accès contextuel (Context-Aware Access) est la mise en œuvre du zero trust par Google : l'accès ne dépend plus seulement de la question « connaissez-vous le mot de passe ? », mais aussi de « depuis quel appareil, quel réseau, quel lieu et avec quel profil de risque ? ». Exemples de règles que vous pouvez concrètement mettre en place :

• Seuls les appareils chiffrés et dotés d'un verrouillage d'écran peuvent accéder à Gmail et à Drive.
• Les sessions ouvertes depuis des pays inconnus (hors Pays-Bas/UE) exigent une vérification supplémentaire.
• Les prestataires externes n'ont accès qu'à certaines applications précises, et non à l'ensemble.
• Certaines applications sensibles (par exemple la console d'administration ou les Drive partagés RH) ne sont accessibles que depuis des appareils gérés.

Cette fonctionnalité est disponible à partir de Business Plus. Pour de nombreuses PME, c'est la raison de choisir Plus plutôt que Standard. Pour l'approche globale, consultez notre guide du zero trust pour les PME.

Verrouillez le partage Drive

La mauvaise configuration la plus fréquente dans Workspace est le paramètre par défaut « toute personne disposant du lien peut consulter » sur Drive. Dans une PME moyenne, cela concerne des centaines de documents rendus publics par erreur. Voici ce que vous devez faire concrètement :

• Définissez le paramètre par défaut de l'organisation sur « Désactivé (restreint) » pour les nouveaux fichiers.
• Limitez le partage hors de votre domaine à des adresses e-mail précises (pas de partage par lien).
• Fixez des dates d'expiration sur les partages externes (par exemple 30 ou 60 jours), afin que les anciens liens partagés expirent d'eux-mêmes.
• Ne publiez pas de fichiers sur le Web public, sauf raison professionnelle explicite.
• Surveillez les journaux d'audit Drive pour repérer les téléchargements massifs et les partages avec des comptes externes.

Pour les entreprises qui manipulent de nombreux documents de clients ou de fournisseurs (plans de construction, rapports financiers, dossiers médicaux), ce n'est pas un luxe. C'est la frontière entre la conformité au RGPD et une fuite de données que vous n'avez pas vue venir.

Messagerie : SPF, DKIM et DMARC doivent être en ordre

Workspace filtre efficacement le spam et le phishing, mais il n'arrête pas les e-mails de phishing qui se font passer pour vos propres collaborateurs (usurpation ou spoofing). C'est le rôle de SPF, DKIM et DMARC. Concrètement :

• SPF indique au destinataire quels serveurs sont autorisés à envoyer des e-mails au nom de votre domaine.
• DKIM signe numériquement les e-mails sortants afin que le destinataire puisse vérifier qu'ils n'ont pas été altérés.
• DMARC relie les deux et indique au destinataire ce qu'il doit faire lorsque quelque chose ne correspond pas.

Démarrez DMARC en p=none pour surveiller, passez ensuite à p=quarantine, puis enfin à p=reject lorsque vous êtes certain que tous les e-mails légitimes passent SPF/DKIM. Notre explication dédiée à SPF, DKIM et DMARC décrit la démarche pas à pas.

Dans Workspace, activez en complément l'« analyse renforcée des messages avant distribution » (Enhanced pre-delivery message scanning), ainsi que le retrait des images externes pour les e-mails entrants avec pièces jointes. Face au phishing ciblé et à la compromission de messagerie professionnelle (BEC) qui passent à travers votre filtre de base, la sensibilisation des collaborateurs est la principale couche complémentaire. Pour en savoir plus, consultez notre guide sur la sécurité avancée de la messagerie.

Terminaux et mobiles : seuls les appareils gérés accèdent à vos données

La gestion des terminaux de Google (dans Workspace) vous permet d'imposer une sécurité de base sur les appareils qui accèdent à vos données : verrouillage d'écran, chiffrement, mises à jour obligatoires et effacement à distance en cas de perte. Avec Business Plus, vous bénéficiez de la gestion avancée, avec davantage de contrôle sur Android et iOS, et de la possibilité de n'admettre que les appareils gérés via l'accès contextuel.

Le minimum pratique pour une PME :

• Verrouillage d'écran obligatoire avec un code PIN robuste ou la biométrie.
• Chiffrement obligatoire sur mobile et ordinateur portable.
• Profil professionnel sur Android ou Managed Apple ID sur iPhone pour séparer les données professionnelles des données personnelles.
• Effacement à distance possible en cas de perte de l'appareil ou de départ d'un collaborateur.

Pour une stratégie plus large de gestion des appareils en PME, notre guide sur la gestion des terminaux est un bon point de départ.

Sauvegarde : Google ne perd pas vos données, mais vous pouvez les perdre

Un malentendu revient souvent : « Google tourne dans le cloud, mes données sont donc forcément en sécurité ? » L'infrastructure de Google perd effectivement rarement des données à cause de pannes matérielles. En revanche, vous pouvez perdre vos données à cause :

• d'un collaborateur qui supprime un dossier partagé auquel tout le monde avait accès ;
• d'un ransomware sur un ordinateur portable local qui chiffre des fichiers et les synchronise ;
• d'un compte piraté qui vide des boîtes aux lettres ;
• d'un ancien collaborateur qui efface du contenu avant la désactivation de son compte.

Google propose Vault (à partir de Business Plus) pour les règles de conservation et l'eDiscovery : utile pour la conformité et les aspects juridiques, mais ce n'est pas une véritable sauvegarde. Pour une restauration réelle dans un délai raisonnable, il vous faut une sauvegarde Workspace tierce (SpinOne, Datto SaaS Protection, BackupVault ou équivalent) qui protège chaque jour Gmail, Drive, Contacts et Agenda. Comptez généralement 3 à 8 € par utilisateur et par mois. Pour en savoir plus sur la stratégie de sauvegarde, consultez notre guide complet de la sauvegarde pour les PME.

Mots de passe, applications et OAuth

Si vos collaborateurs réutilisent encore leurs mots de passe Google, optez pour un gestionnaire de mots de passe professionnel compatible avec l'authentification unique (single sign-on) de Workspace. Dans la console d'administration, restreignez les applications OAuth tierces : chaque application qui demande l'accès à Gmail ou à Drive est une fuite potentielle. Travaillez avec une liste d'autorisation (allowlist) d'applications certifiées et supprimez régulièrement les jetons inutilisés.

Alertes, journaux et Centre d'alertes

Activez dans le Centre d'alertes (Alert Center) les notifications pour les événements qui comptent : tentatives de connexion suspectes, e-mails de phishing signalés, partages externes massifs sur Drive, actions d'administration inhabituelles. Envoyez-les vers une boîte aux lettres de sécurité partagée ou vers un environnement SIEM/SOC. Les petites PME sans équipe de sécurité interne optent souvent pour un service de détection et de réponse managées (MDR) qui prend en charge ces alertes.

Ce que cela coûte et ce que vous y gagnez

Le renforcement de la sécurité ne représente pas des montants énormes en plus de votre licence Workspace, mais il exige de la discipline :

• Passage de Business Standard à Business Plus si vous voulez sérieusement l'accès contextuel et Vault : environ 7,50 € de plus par utilisateur et par mois.
• Sauvegarde Workspace tierce : 3 à 8 € par utilisateur et par mois.
• Clés de sécurité pour les administrateurs : 50 à 80 € par clé (achat unique), deux par super-administrateur (principale et de secours).
• Projet de mise en œuvre ponctuel par un partenaire informatique : généralement un à trois jours ouvrés pour une PME de 10 à 50 utilisateurs.

Le bénéfice : vous éliminez d'un coup les incidents Workspace les plus fréquents, à savoir les comptes piratés, les documents partagés par erreur, le phishing qui arrive sous le nom de votre propre directeur et les données perdues sans possibilité de restauration.

Questions fréquentes sur la sécurisation de Google Workspace

Quelle est la différence entre la 2SV et la MFA dans Google Workspace ? Google appelle son authentification à deux facteurs « 2-Step Verification » (2SV) ; sur le plan fonctionnel, c'est la même chose que la MFA ailleurs. La différence tient au second facteur que vous autorisez. Google Prompt et les passkeys/clés de sécurité résistent au phishing ; le SMS et l'appel vocal, non. Pour les utilisateurs ordinaires, la 2SV avec Google Prompt représente déjà un grand pas en avant ; pour les administrateurs, privilégiez les passkeys ou les clés matérielles.

Ai-je vraiment besoin de Business Plus pour la sécurité ? Pas forcément, mais pour certains paramètres importants, oui. Business Standard vous donne les bases (2SV, audit Drive, analyse antispam et anti-phishing), mais l'accès contextuel et la conservation via Vault ne sont disponibles qu'à partir de Business Plus. Si vous êtes soumis à un régime de conformité (par exemple une application stricte du RGPD, la norme néerlandaise NEN 7510 dans la santé ou les exigences de l'ordre des notaires néerlandais, la KNB), Plus est généralement incontournable.

Puis-je utiliser Workspace en toute sécurité sur les téléphones personnels des collaborateurs ? Oui, à condition d'imposer un profil professionnel (Android) ou d'utiliser un Managed Apple ID (iPhone). Vous séparez ainsi les données professionnelles des applications personnelles et, en cas de départ, vous pouvez effacer uniquement le profil professionnel sans toucher aux photos ni aux applications familiales du collaborateur. Pour les fonctions sensibles (finance, RH, direction), nous recommandons un appareil professionnel géré.

Dois-je aussi configurer SPF, DKIM et DMARC si j'utilise Workspace ? Oui. Workspace configure beaucoup de choses automatiquement, mais SPF, DKIM et DMARC sont liés à votre domaine chez votre fournisseur DNS, et c'est à vous de les mettre en ordre. Sans DMARC assorti d'une politique stricte, des attaquants peuvent usurper votre domaine auprès de vos clients et fournisseurs, même si votre Workspace est par ailleurs parfaitement verrouillé.

Que faire si un compte semble avoir été piraté ? Connectez-vous immédiatement en tant qu'administrateur, imposez une réinitialisation du mot de passe, supprimez les sessions actives, désactivez les jetons OAuth suspects, vérifiez les règles de transfert de la boîte de réception (une technique d'attaque classique : les e-mails sont discrètement transférés) et consultez les journaux d'audit pour repérer les téléchargements Drive et les partages externes. Signalez l'incident en interne conformément à votre protocole et, si des données personnelles ont fuité, à l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) dans un délai de 72 heures.

Que faire si je migre de Microsoft 365 vers Workspace, ou inversement ? Pendant la migration, maintenez temporairement les deux environnements sécurisés. Dans le nouvel environnement, mettez d'abord en place les fondations de l'identité (2SV, renforcement des comptes administrateurs, accès contextuel) avant de transférer les données. Migrez la messagerie, Drive/OneDrive et l'agenda par vagues, et non d'un seul coup. Déterminez au préalable si la migration a du sens au regard des fonctionnalités et du coût des licences ; notre comparatif mentionné plus haut constitue un bon point de départ.

Conclusion

Google Workspace peut être sécurisé pour une PME, mais cela ne se fait pas tout seul. Les étapes essentielles : 2SV obligatoire pour tous, MFA résistante au phishing pour les administrateurs, accès contextuel activé, partage Drive verrouillé en mode restreint, DMARC en p=reject, appareils mobiles gérés et sauvegarde tierce de vos données Workspace. Déployez cet ensemble dans le bon ordre et vous serez armé contre les attaques qui touchent le plus souvent les PME en 2026.

TRON Group accompagne les PME néerlandaises précisément dans ce renforcement : du déploiement de la 2SV et de l'accès contextuel à l'audit Drive, en passant par la configuration de DMARC, la gestion des terminaux et la sauvegarde Workspace. Vous voulez savoir si votre configuration Workspace passe les contrôles de base ? Appelez le +31 85 303 5869 ou consultez notre page services informatiques managés. Nous réaliserons ensemble l'analyse et activerons les paramètres qui font vraiment la différence.