Dans une organisation équipée de Google Workspace, le bouton « Se connecter avec Google » permet à n'importe quel collaborateur de relier un outil externe à son compte professionnel. En quelques secondes, un assistant d'écriture, un outil de planification ou une extension d'IA peut obtenir un accès à Gmail, à Drive ou à l'Agenda.
Retrouver les applications connectées
La console d'administration Google Workspace liste les applications tierces ayant obtenu un accès aux données de l'organisation, dans la rubrique consacrée aux contrôles des API (Sécurité, puis Accès et contrôle des données). Pour chaque application, on y trouve le nombre d'utilisateurs concernés et les services Google auxquels elle accède. Les journaux d'audit des jetons OAuth complètent cette vue : ils enregistrent chaque autorisation et chaque révocation, avec la date et l'utilisateur.
Évaluer le niveau d'accès
Les autorisations Google, appelées « scopes », ne se valent pas. Pour le DPO, trois niveaux suffisent à trier l'essentiel :
- Accès à l'identité seule (nom, adresse email) : enjeu limité, typique des outils qui utilisent Google comme simple moyen de connexion.
- Accès en lecture à un service (lecture des emails, des fichiers, de l'agenda) : traitement de données potentiellement sensibles par un tiers, à documenter.
- Accès en écriture ou complet (envoyer des emails, modifier ou supprimer des fichiers) : niveau de risque élevé, qui justifie une validation formelle et une vérification approfondie de l'éditeur.
Encadrer les nouveaux accès
La console permet de définir, application par application, si elle est approuvée, limitée ou bloquée, et de restreindre l'accès des applications non vérifiées aux services les plus sensibles. Comme dans Microsoft 365, l'objectif n'est pas de tout interdire, mais de faire passer les accès étendus par une décision explicite, prise en connaissance de cause.
Une règle simple à proposer à la DSI : toute application demandant un accès en écriture à la messagerie ou aux fichiers doit être validée au préalable, avec une fiche au registre et une vérification du contrat de l'éditeur.
Documenter ce qui est conservé
Chaque application conservée après examen correspond à un traitement confié à un sous-traitant ou à un tiers. Elle doit donc trouver sa place dans le registre, avec sa finalité, les données concernées et le cadre contractuel. Les applications révoquées méritent aussi une trace : elles montrent que le contrôle a bien eu lieu.