Prévention des fuites de données par les super-utilisateurs

Dans l'immense majorité des entreprises, le travail est organisé selon un principe hiérarchique : de la direction générale jusqu'aux employés de base. Chacun a son propre périmètre de responsabilité et accomplit sa mission. Il est clair que la direction et les cadres de l'entreprise manipulent des informations plus importantes et plus confidentielles.

Les utilisateurs privilégiés ou super-utilisateurs des bases de données sont souvent la cible des pirates informatiques, et certains d'entre eux, profitant de leurs droits étendus, peuvent utiliser ces informations à des fins autres que professionnelles.

Selon les statistiques, la principale cause des fuites de données est le facteur humain, responsable de 95 % de l'ensemble des incidents. Ce n'est plus un secret depuis longtemps : ce ne sont pas les pirates informatiques qui sont le plus souvent en cause dans les fuites d'informations, mais les employés des organisations elles-mêmes.

Selon les résultats d'une enquête sur le risque de fuite d'informations par les employés des entreprises, 90 % des entreprises interrogées ont effectivement subi des fuites de données confidentielles, telles que des informations sur les employés, des documents relatifs aux opérations financières de l'entreprise, et des bases de données clients, au cours de l'année écoulée. La plupart de ces fuites ont eu lieu à cause d'une divulgation délibérée de données par des super-utilisateurs de l'entreprise, tandis que d'autres résultaient d'une inattention ou d'une crédulité. 

Le risque de perte ou de fuite d'informations augmente de façon exponentielle lorsque le personnel passe au télétravail, ce qui rend le contrôle des actions des employés beaucoup plus difficile. Une attention particulière doit être accordée aux chefs de service, aux managers et aux employés du service de sécurité de l'information de l'entreprise, car ils ont accès aux données les plus importantes. Certains incidents surviennent également par la faute d'employés quittant l'entreprise qui, pour leurs propres raisons, peuvent emporter avec eux des données confidentielles de l'entreprise.

En parlant de fuites, il convient également de mentionner les fuites de données internes – la copie non autorisée de données par les employés de l'entreprise. Il est impossible de protéger totalement l'organisation contre de tels cas, mais il est possible de réduire considérablement les risques d'incident. Pour cela, il est nécessaire d'encadrer l'utilisation des données par les employés :

• établir une responsabilité en cas de divulgation d'informations ;

• établir la documentation appropriée, telle qu'un accord de non-divulgation.

L'entreprise doit instaurer un régime de protection du secret des affaires et préparer des documents précisant clairement quelles informations relèvent du secret des affaires, qui est tenu de les protéger et de les communiquer, comment, et quelles mesures seront prises à l'encontre d'un contrevenant. De tels accords doivent être signés non seulement avec les employés, mais aussi avec les prestataires et intermédiaires.

• accorder l'accès à l'information selon la hiérarchie et les responsabilités des employés ;

Le moyen le plus simple de sécuriser des informations précieuses est de différencier les accès aux données et de ne donner aux employés que les données dont ils ont besoin pour leur travail. Par exemple, donner à un manager non pas l'intégralité de la base de données, mais seulement les contacts des clients avec lesquels il interagit ; donner à un spécialiste SMM des informations non pas sur tous les projets du service, mais uniquement les données concernant les réseaux sociaux et plateformes nécessaires à la création de contenu.

• exercer un contrôle renforcé sur les employés qui, de par leur fonction, ont accès à des données sensibles et y travaillent fréquemment ;
• contrôler les canaux de communication à l'aide de systèmes spécialisés.

Dans ce cas, le « système spécialisé » désigne l'installation d'un DLP. Le système DLP est une solution logicielle qui surveille la transmission des données sur l'ensemble des canaux de communication, c'est-à-dire qu'il peut empêcher toute tentative de transmission de données à des tiers non autorisés.

À titre d'exemple, prenons Anexet Ultimate de Scinero Software Limited, un système DLP réputé sur le marché qui a gagné la confiance des clients.

Anexet Ultimate vérifie toutes les transactions en temps réel, bloque les activités suspectes, alerte la sécurité, surveille les tentatives de transmission d'informations à des tiers, et :

• surveille les actions des utilisateurs non autorisés dans le système ;

• contrôle l'impression et le transfert de fichiers vers des périphériques ;

• contrôle et restreint l'accès des clés USB et autres périphériques externes au système ;

• reconnaît les fichiers texte, audio et vidéo, et effectue des enregistrements de l'écran de l'ordinateur ou du microphone.

Parmi les avantages indéniables figurent également :

• un système 2 en 1 (contrôle des employés + protection contre les fuites) ;

• des exigences serveur inférieures à celles des concurrents ;

• un test gratuit du système sur les équipements Anexet Ultimate ;

• une formation et une assistance pour la détection des fuites d'informations ;

• une intégration du système en 1 jour.

Résoudre la question de l'accès aux données pour les utilisateurs simples, c'est-à-dire non privilégiés, n'est généralement pas un problème, mais relève davantage d'une bonne gestion que de solutions techniques.

Les fuites de données causées par des employés privilégiés de l'entreprise ne constituent pas un problème rare, mais un vecteur de cybermenace important qui nécessite des mesures appropriées pour prévenir la perte accidentelle ou intentionnelle d'informations sensibles.

Il est recommandé à la direction générale d'élaborer un plan de mise en œuvre des processus et logiciels de sécurité de l'information nécessaires, ainsi que de prévoir des tests de vulnérabilité du système existant.