Comment acheter un système DLP ?

La sécurité de l'entreprise, et notamment la sécurité de l'information, est un sujet d'étude à part entière. Pour beaucoup de dirigeants, c'est un point douloureux : le choix définitif d'une stratégie, des outils de mise en œuvre et la rédaction de toute la politique de sécurité de l'information de l'entreprise consomment beaucoup de ressources, humaines comme financières. Cette tâche ne doit pourtant pas être sous-estimée. Il n'est pas rare qu'une entreprise subisse des pertes considérables faute d'avoir mis en place ne serait-ce qu'une structure élémentaire de sécurité de l'information. Aujourd'hui, dans cet article des analystes d'Anexet, nous examinons l'une des solutions les plus demandées par les entreprises, le système DLP, et voyons comment l'acheter.

Qu'est-ce qu'un système DLP

Un système DLP est un outil logiciel spécialisé qui fait partie de l'ensemble des mesures de sécurité de l'information de l'entreprise, assure la sécurité du trafic d'information interne et occupe l'une des premières places dans le dispositif global de sécurité de l'activité.

Le sujet est tout à fait d'actualité pour toutes les organisations, quelles que soient leur taille et leurs spécificités. Partout, il existe une part de données confidentielles à protéger d'une influence extérieure ; partout, ces données sont exposées à des menaces venues de l'extérieur comme de l'intérieur de l'entreprise ; partout, une part de négligence dans le traitement de l'information peut entraîner des pertes matérielles et réputationnelles bien réelles. Les systèmes DLP modernes résolvent de nombreux problèmes concrets et actuels des entreprises : c'est pourquoi ce sujet nous paraît utile.

Aussi flatteuses que puissent être les descriptions dans la présentation d'un produit destiné à l'utilisateur final, l'entreprise s'intéresse ici à la partie pratique : quels problèmes et quels points critiques le système DLP saura-t-il résoudre ?

La protection des données

C'est évidemment l'une des fonctions principales du système. Tout son fonctionnement vise à empêcher les fuites d'informations confidentielles hors du périmètre de sécurité de l'information de l'entreprise, quelle qu'en soit la raison.

La lutte contre les menaces internes

Le système repère les actions déclencheuses dans les flux d'information et en informe le spécialiste de la sécurité. Il peut s'agir de la copie délibérée de fichiers confidentiels, du déplacement de documents portant une étiquette de confidentialité, de l'envoi de photos de documents sur les réseaux sociaux, etc. Les systèmes DLP analysent les situations les plus dommageables et prévoient à l'avance un scénario de réaction lorsqu'elles se produisent : information des collaborateurs responsables ou blocage de l'action. 

La constitution d'une archive des communications professionnelles

Les systèmes DLP fournissent une archive à jour, exacte et facile à exploiter des communications professionnelles, qui conserve toutes les informations et permet de les utiliser à des fins analytiques.

L'automatisation et la numérisation du travail des collaborateurs du service de sécurité de l'information

Les systèmes DLP offrent de nombreuses possibilités de reporting et de suivi des événements au sein du périmètre de sécurité. L'efficacité du service de sécurité de l'information et de ses collaborateurs s'en trouve nettement accrue, l'erreur humaine réduite au minimum et l'objectivité de l'évaluation renforcée.

Le maintien de la réputation et des standards d'un partenariat fiable

Le déploiement d'un système DLP élève le niveau général de sécurité des données dans l'entreprise, ce que les partenaires perçoivent comme un signe positif et un indice de fiabilité. Les risques d'atteinte aux données du partenaire lui-même, la probabilité d'une fuite et la pression de tiers s'en trouvent également réduits.

Le suivi de la performance et de la loyauté des employés

Dans les fonctionnalités d'un système DLP, l'étude de la sécurité des données confidentielles de l'entreprise est étroitement liée à l'étude de l'efficacité de l'usage du temps de travail. Tout le flux d'information est en effet nominatif : il est toujours possible de déterminer qui a envoyé quoi, où et quand. Les éditeurs exploitent donc cette information pour suivre l'activité des employés. Les systèmes DLP peuvent restituer des données sur l'efficacité du travail, le temps de travail et l'activité réseau, mémoriser et analyser toutes les informations issues des comptes personnels utilisés par les employés pendant le travail, et bien plus encore. La recherche contextuelle permet également d'apprécier la loyauté ou la déloyauté des employés envers la direction et envers l'entreprise dans son ensemble. 

Ce n'est là qu'une partie des tâches que résout un système DLP. Ce logiciel est si demandé simplement parce qu'il offre une analyse et un reporting de qualité tout en laissant les données circuler en toute liberté.

Pourquoi l'achat d'un système DLP pose-t-il problème ?

Pourquoi acheter un système DLP semble-t-il hors de portée pour beaucoup ? Examinons le problème de plus près. 

Premièrement, toutes les entreprises ne voient pas un problème dans la vulnérabilité de leurs données. 

Aussi étrange que cela paraisse, même au XXIe siècle, à l'heure de la numérisation des activités et du rattachement maximal de tous les processus à Internet, tout le monde n'évalue pas vraiment le besoin de sécurité de l'information ni l'intérêt de déployer des solutions modernes. Cela vaut aussi pour les entreprises convaincues du caractère unique de leurs services qui, faute de concurrents directs, estiment que des concurrents indirects ou des escrocs en ligne ne s'intéresseront pas de près à leur activité.

Deuxièmement, les spécialistes de l'entreprise ne sont pas toujours prêts à évaluer objectivement les offres logicielles du marché. 

Selon certains responsables, ce processus exige des dépenses (en temps, en argent) et des décisions de personnel dès la phase de sélection. Ce n'est pourtant pas tout à fait exact. Les éditeurs présentent leur produit de façon suffisamment détaillée, font des démonstrations, répondent aux questions et traitent les objections. La charge de la formation au logiciel repose sur les épaules de l'éditeur. Et surtout, beaucoup de développeurs proposent une période d'essai, pendant laquelle l'entreprise peut apprécier en pratique l'utilité du produit et de l'offre.

Troisièmement, les entreprises peuvent émettre des objections quant à l'encadrement juridique du dispositif. 

La première objection instinctive des clients est la suivante : est-ce bien légal ? Et n'y aura-t-il pas de conséquences juridiques à long terme pour l'entreprise ? En réalité, les conséquences du déploiement d'un système DLP sont au contraire positives. L'employeur a le droit d'évaluer la productivité d'un salarié, de contrôler l'exécution de ses obligations professionnelles et le respect des horaires.
Dans le même temps, les systèmes DLP aident l'organisation à respecter les exigences des autorités de contrôle en matière de sécurité des données personnelles lors du traitement et du stockage de ces données dans les systèmes d'information. 

Quatrièmement, les entreprises peuvent n'envisager qu'une défense contre les menaces externes pesant sur la sécurité de l'information, en jugeant cela suffisant.

C'est un problème courant dans la résolution de la tâche globale que constitue la sécurité de l'information en entreprise. En règle générale, les solutions les plus médiatisées et les plus connues sont des logiciels de protection contre les atteintes extérieures (introduction de logiciels malveillants), alors que les menaces internes de fuite de données et les risques liés aux initiés sont eux aussi possibles dans le périmètre de sécurité général.

Les critères de choix d'un système DLP

Les critères de choix d'un système DLP peuvent globalement se répartir en trois groupes :

• la réputation ;

• les fonctionnalités ;

• le service après-vente.

La réputation

La première étape, pour se renseigner sur un éditeur de logiciels, consiste à étudier sa réputation. Il faut vérifier s'il dispose des licences nécessaires à la fourniture de ses services et des certificats de conformité aux normes de qualité en vigueur dans ce domaine, dans le pays concerné.

La deuxième étape consiste à examiner l'histoire de l'éditeur : depuis combien de temps le développement se poursuit, quels objectifs et quelles valeurs l'entreprise défend, quelle équipe travaille sur le projet. Vous comprendrez ainsi de quelle expérience l'éditeur dispose et comment il la traduit dans son produit.

La troisième étape consiste à passer en revue l'activité sociale de l'entreprise. Les réseaux sociaux sont aujourd'hui le visage et la voix d'une entreprise. Vous y découvrirez ses projets, les mises à jour et les sorties de logiciels à venir, ainsi que la place qu'occupe le produit sur le marché international et dans la communauté des développeurs.

La quatrième étape, ce sont les avis publiés sur Internet, les analyses de fonctionnalités par des utilisateurs et des experts tiers, ainsi que l'étude des classements de logiciels. Bien sûr, la pratique d'acheter des avis, positifs pour son produit comme négatifs pour celui d'un concurrent, est aujourd'hui répandue. Il en existe cependant de tout à fait instructifs, qui soulignent factuellement les défauts ou les atouts du produit.

Les fonctionnalités

Les fonctionnalités sont la clé de tout programme, en particulier s'il est utilisé dans un domaine aussi sensible que la sécurité de l'information. Qu'est-il important d'examiner lors du choix d'un système DLP ?

Quels canaux d'interception de l'information la version propose-t-elle ?

Plus les sources sont nombreuses, plus le déploiement sera évidemment utile. La solution optimale réunira les sources de trafic web, les réseaux sociaux, les messageries, les services de courriel et bien d'autres (versions web comme versions bureau). Les systèmes DLP peuvent également prendre en compte l'usage de supports de stockage externes, d'imprimantes locales et réseau et de stockages dans le cloud. Au-delà des sources, les formats que le système sait analyser importent tout autant. Il sera par exemple inefficace de n'analyser que le trafic web sur les protocoles HTTP/HTTPS en ignorant le trafic SSL transmis par des protocoles chiffrés. Ou de renoncer à analyser la copie de documents sur des supports de stockage lors de l'évaluation globale des échanges de fichiers sur le réseau.

Quel type d'analyse le système DLP utilise-t-il ?

Les systèmes DLP doivent offrir le plus haut niveau d'analyse des informations interceptées, quels que soient le format de transmission, les circonstances externes et internes, les événements, les appareils connectés et les autres facteurs. Les éditeurs s'efforcent donc de combiner différentes approches. Les plus répandues sont l'analyse de contenu (par mots, par expressions présentes dans les données transmises) et l'analyse événementielle (par la survenue d'une action déterminée, interdite ou surveillée). L'analyse statistique (par indicateurs numériques) et l'analyse par attributs (par détermination des attributs du fichier, des documents et de l'information transmise) comptent aussi parmi les types d'analyse répandus dans les systèmes DLP. C'est un sujet assez vaste que chaque éditeur explore à sa manière et, plus il est largement couvert dans le système, mieux c'est.

Du point de vue de l'acheteur, il faut évaluer les besoins réels de l'entreprise et la manière dont un éditeur donné y répond.  Supposons qu'un système DLP classique traite correctement l'analyse de contenu tout en tenant compte de sources multiples. Mais la recherche ne porte que sur les formes d'écriture « correctes » et les technologies d'analyse linguistique ne tiennent pas compte de cette particularité humaine qui consiste à faire des fautes, à écrire dans l'urgence, à abréger, surtout dans les échanges informels. Certains développeurs ont compris cette particularité et proposent une analyse tolérante aux fautes de grammaire et aux variantes de formes dans le texte.

Il importe également de pouvoir reconnaître des documents complexes, où l'analyse du texte se combine à celle des images transmises (impression, photo). Demandez par exemple à l'éditeur si son système sait reconnaître la transmission de la photo d'une licence d'activité. Une agence de web design, par exemple, n'acceptera d'acheter un système DLP que si celui-ci détecte la transmission d'images vectorielles sur les canaux de communication.

Le système DLP dispose-t-il d'un moyen de réagir rapidement au fait qu'une information a été transmise ?

Pour un système DLP, il ne suffit pas de détecter la violation de la sécurité de l'information : il faut aussi proposer un outil efficace pour interrompre cette action en bloquant la transmission. Le système Anexet, par exemple, permet de bloquer la transmission de données dans différentes conditions :

• blocage par contenu (par texte, par formes de mots, etc.) ;

• blocage par date et par heure (transmission de données à la date ou aux dates indiquées, à l'heure indiquée) ;

• blocage par statut du document (attribué dans le système lui-même) ;

• blocage par adresse IP (de manière sélective, pour les IP indiquées) ;

• blocage par paramètre de fichier (selon les attributs de fichier sélectionnés) ;

• blocage par catégorie de sites (un ensemble de sites défini à l'avance) et d'autres types de blocage. 

Comment fonctionnent ces blocages ? Très simplement : toutes les données interceptées sont confrontées aux règles de blocage définies à l'avance et, en cas de correspondance, la transmission de l'information est bloquée. Vous pouvez aussi configurer à l'avance des notifications adressées aux utilisateurs responsables en cas de déclenchement des politiques de sécurité.

Prix et coût de possession du système

C'est évidemment l'un des arguments importants. Les systèmes DLP modernes appliquent la logique actuelle de modularité : le logiciel est vendu par lots de fonctionnalités, ce qui permet d'une part d'acheter exactement ce dont vous avez besoin pour assurer la sécurité de l'information de votre entreprise, et d'autre part de réduire le coût du déploiement du DLP. Le prix du logiciel lui-même est à demander à l'éditeur.

L'extension des fonctionnalités

Comme les systèmes DLP disposent en réalité d'une grande quantité de données analytiques, les éditeurs peuvent proposer des fonctions supplémentaires et des capacités d'analyse avancées. Une solution répandue consiste à suivre le personnel et sa productivité à partir des données d'activité réseau. Les acheteurs d'un système DLP peuvent même constater que les outils de suivi proposés par le DLP (feuilles de temps, rapports sur le temps consacré aux tâches et sur le temps improductif, etc.) leur suffisent et qu'aucun logiciel supplémentaire n'est nécessaire. Lors du choix d'un système DLP, étudiez l'ensemble des fonctionnalités : il est possible qu'un seul achat résolve plusieurs problèmes stratégiques.

Service avant-vente et après-vente

Au prix d'achat s'ajoute le coût du renouvellement de la licence du logiciel et de son support. 

Les systèmes DLP peuvent exiger une attention supplémentaire de la part de l'acheteur, et ce poste de dépenses doit être pris en compte pour que les questions d'utilisation et d'exploitation soient traitées en temps voulu.

Quels secteurs d'activité doivent installer un système DLP ?

À ce jour, ni les autorités internationales ni les autorités nationales n'ont rendu obligatoire l'installation de systèmes DLP. C'est une décision parfaitement autonome, qui repose entièrement sur les épaules de l'entreprise, sans subvention ni avantage fiscal. L'usage d'un DLP peut cependant être recommandé sans réserve aux secteurs qui manipulent un volume important d'informations sensibles et confidentielles. Parmi ces secteurs :

• les établissements bancaires et d'assurance, les places de marché, etc. (ils détiennent un grand volume de données sensibles en constante évolution, qui influent sur l'efficacité de l'organisation) ;

• les organismes du secteur public (ils participent aux processus majeurs de la société et de l'État et détiennent un grand volume d'informations personnelles confidentielles sur les citoyens) ;

• les entreprises industrielles critiques, celles qui présentent un niveau élevé de secret de fabrication, celles qui utilisent des substances dangereuses et nocives dans leur production et dont les procédés ont une incidence directe sur la société et son fonctionnement ;

• les entreprises de la société de l'information (télécommunications, médias, réseaux sociaux et plateformes) ;

• les éditeurs de logiciels ;

• les transports, la logistique et les infrastructures associées ;

• les entreprises soumises à une forte concurrence sur leur marché ;

• les entreprises qui travaillent sur des technologies de haute intensité intellectuelle, des savoir-faire, des brevets, etc.

Comme vous le voyez, la liste est assez longue. Cela ne signifie pas pour autant que les autres entreprises et organisations doivent renoncer à envisager l'installation d'un système DLP. Dans le monde numérique actuel, presque toute activité a besoin de protéger l'information en interne, quelles que soient sa taille et sa finalité. 

Les problèmes concrets que résout un système DLP

Les systèmes DLP apportent une aide concrète aux entreprises et résolvent des tâches précises dans le périmètre de la sécurité de l'information. Examinons ces tâches à travers l'exemple d'Anexet.

1. identifier les employés peu efficaces ;

2. détecter les fraudes financières ;

3. détecter une fraude dans un établissement scolaire public ;

4. repérer et empêcher les fuites d'informations sur les promotions de l'entreprise ;

5. empêcher la fuite des données des clients de l'entreprise ;

6. les fraudes lors de la réparation de matériel ;

7. le détournement des prospects entrants vers un concurrent ;

8. repérer les employés qui prennent des missions en parallèle ;

9. détecter les manquements sur le lieu de travail en télétravail, et d'autres exemples encore.

Vous en apprendrez davantage sur le site.

Conseils nuisibles pour le choix d'un DLP

Aux conseils utiles s'ajoutent quelques conseils nuisibles pour le choix d'un système DLP : mieux vaut ne pas les suivre. 

1. Choisissez la solution d'un éditeur de systèmes DLP qui vend son logiciel sans période d'essai gratuite, qui ne laisse vos employés tester le produit qu'après paiement et qui insiste sur un processus de déploiement et de configuration extrêmement complexe. 

2. Un système DLP digne de ce nom exige forcément l'achat de matériel et de capacités supplémentaires, demande un long délai d'installation et de mise au point et mobilise une équipe de sécurité nombreuse.

3. Un système DLP moderne oblige les employés à venir au bureau et à travailler uniquement sur leur propre ordinateur, celui où le logiciel de surveillance est installé. Pas d'accès à distance : c'est dangereux et cela exclut l'usage d'un DLP.

4. Un développeur compétent prend soin de son produit. Il est bien trop précieux pour rester entre les mains de l'utilisateur après l'expiration de la licence. Pas une seconde de plus : tout doit être supprimé immédiatement.