Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?

Toute organisation peut être confrontée à des fuites de données causées par des personnes internes.

Aujourd'hui, le contrôle de la sécurité de l'information n'est plus une question de confiance envers les employés, mais une nécessité stratégique, d'autant plus que le nombre de fuites d'informations causées par des utilisateurs internes ne cesse d'augmenter. À titre d'exemple, le nombre d'attaques internes a augmenté de 25 % en 2024, et environ 35 % de l'ensemble des incidents de sécurité de l'information étaient liés, d'une manière ou d'une autre, au facteur humain.

Le durcissement de la législation en matière de protection de l'information, l'augmentation significative des amendes réglementaires, ainsi que l'introduction d'une responsabilité pénale en cas d'atteinte aux données personnelles des citoyens, renforcent également la nécessité de mettre en place un système de protection de l'information fiable et pérenne.

Dans cet article, nous verrons qui est responsable de la protection des données de l'entreprise, comment identifier les menaces potentielles et quels outils permettent de prévenir efficacement les fuites causées par des actions internes.

Que fait un responsable de la sécurité ?

Le responsable de la sécurité joue un rôle clé dans la mise en place d'un système fiable de protection des données au sein d'une organisation :

• il participe à l'élaboration et à la mise en œuvre des politiques de sécurité de l'information au sein de l'organisation ;
• il surveille le respect des politiques de sécurité adoptées ;
• il gère les incidents de sécurité de l'information ;
• il favorise la sensibilisation des employés à la cybersécurité, c'est-à-dire la formation du personnel à la sécurité ;
• il identifie les personnes internes malveillantes et les comportements suspects des employés.

Pour relever ces défis, les responsables de la sécurité disposent de divers outils, dont le DLP. Voyons maintenant comment notre DLP permet d'identifier les personnes internes malveillantes.

Comment identifier une personne interne malveillante grâce au système DLP ?

Configuration des politiques de sécurité

Le responsable de la sécurité active les politiques de sécurité préinstallées dans le système, les modifie selon les besoins de l'organisation, ou en crée de nouvelles.

Plus de 180 politiques de sécurité sont déjà configurées dans le système. Pour plus de commodité, nous les avons classées en groupes tels que « Activité suspecte », « Fuite de données bancaires », « Fuite d'identifiants et de mots de passe », « Fuite d'informations », entre autres.

Lorsqu'une politique est déclenchée, le responsable de la sécurité ou tout autre employé autorisé reçoit une notification.

Gestion des incidents de sécurité

Lorsqu'une règle signalant une tentative de vol d'informations protégées ou de transfert à un tiers est déclenchée, le responsable de la sécurité peut :

• réaliser une analyse rétrospective de l'employé, c'est-à-dire évaluer les infractions déjà commises, vérifier l'existence éventuelle de complices et déterminer le rôle de chacun dans l'incident ;
• surveiller l'activité en cours de l'employé pendant la journée de travail : quelles opérations il effectue sur les fichiers (y compris confidentiels), avec quels contacts il communique ;
• si nécessaire, prendre des captures d'écran du poste de travail de l'employé à la fréquence souhaitée, ainsi que se connecter au microphone ou prendre des photos via la webcam pour analyser ce qui se passe à proximité d'un poste de travail.

Important ! Si nécessaire, vous pouvez configurer le blocage d'opérations indésirables, notamment l'envoi de documents confidentiels par e-mail et la copie sur des supports externes.

Voyons comment identifier une personne interne malveillante à travers un exemple concret. Une entreprise cliente était confrontée à des fuites d'informations importantes ; il a donc été décidé d'installer le système DLP.

Des empreintes numériques ont été prélevées sur des documents importants, des politiques de sécurité adaptées ont été configurées, et des règles de blocage ont été mises en place.

Un employé de l'organisation a copié un fragment d'informations confidentielles au milieu d'un document de plusieurs pages au titre neutre, puis a tenté de l'envoyer à un contact externe par e-mail.

La situation ne paraissait pas suspecte. Il s'agissait d'un e-mail ordinaire et courant, dont il pourrait exister des centaines en une seule journée de travail, même dans une petite entreprise.

Cependant, la règle relative à l'empreinte numérique s'est déclenchée — le système a intercepté le document, l'a analysé à la recherche d'informations confidentielles, a identifié une correspondance avec une empreinte numérique préalablement enregistrée et a bloqué la transaction.

Le responsable de la sécurité a été immédiatement notifié, et la fuite a été évitée.

La personne interne malveillante a été démasquée.

Constitution d'un dossier

Tous les détails de l'incident peuvent être ajoutés au dossier, notamment :

• les documents issus des résultats de recherche, du module Activité des utilisateurs, d'autres fichiers du système, ou de fichiers externes ;
• les fiches des personnes soupçonnées d'être impliquées dans l'incident ;
• les commentaires du responsable de la sécurité pouvant être utiles à l'enquête.

Préparation de rapports pour la direction

Les faits recueillis dans un dossier peuvent être compilés dans un rapport adapté aux usages de l'organisation, que le responsable de la sécurité peut soumettre à la direction.

Des rapports d'incident détaillés peuvent être utilisés pour analyser et corriger les vulnérabilités du système d'information, ainsi que pour appliquer des mesures de responsabilité à l'égard du contrevenant : de la sensibilisation aux techniques de sécurité de l'information pour les infractions mineures, jusqu'au licenciement avec indemnisation des dommages.

---

En conclusion

Réduire les risques liés aux menaces internes constitue un volet essentiel de la stratégie de sécurité de l'information d'une organisation. Les systèmes DLP aident les équipes de sécurité à détecter rapidement les menaces potentielles, à gérer l'accès aux données confidentielles et à prévenir leur diffusion non autorisée.