Analyse Comportementale

En sécurité, l'analyse comportementale est la pratique qui consiste à examiner l'activité numérique observable des personnes au sein d'une organisation, salariés, prestataires, administrateurs, pour comprendre ce qui est normal et repérer ce qui ne l'est pas. L'unité d'analyse n'est pas un fichier ou un message isolé, mais des schémas d'activité dans le temps : quand les personnes travaillent, quelles applications et quels sites elles utilisent, avec qui elles communiquent, quelles données elles touchent, à quelle intensité.

Le postulat : la plupart des incidents internes sont précédés de changements de comportement observables. Un salarié qui prépare son départ, un compte repris par un attaquant extérieur, un utilisateur qui s'étend largement au-delà de son périmètre habituel, chacun apparaît d'abord comme un écart à un schéma établi. L'analyse comportementale offre un moyen structuré de remarquer ces changements tôt, plutôt que de les reconstituer après un incident.

Qu'elle soit menée par un analyste ou par un moteur automatisé, l'analyse comportementale suit un cycle qui se répète :

Le résultat n'est pas un verdict, mais une priorité : une liste classée de personnes dont l'activité récente mérite un examen plus poussé, chaque écart étant rattaché aux événements qui le sous-tendent.

1. 1

   Collecte

   Les données d'activité sont enregistrées depuis les terminaux et les canaux : usage des applications et du web, courriel et messagerie, opérations sur les fichiers, connexions de périphériques, impression.

2. 2

   Base de référence

   Un profil d'activité normale est construit pour chaque utilisateur, rôle ou groupe, sur une période assez longue pour saisir le rythme de travail.

3. 3

   Comparaison

   L'activité en cours est confrontée à la base de référence et aux seuils de politique, des compteurs et des volumes qui marquent un écart à la norme.

4. 4

   Évaluation

   Les écarts sont classés par catégorie, perte de données potentielle, violation de politique, signaux de déloyauté, et reçoivent un niveau de risque reflétant gravité et récurrence.

5. 5

   Réponse

   Le risque confirmé conduit à une alerte, une enquête ou une action préventive ; les constats écartés ajustent les bases et les seuils.

Un référentiel est le profil de l'activité normale d'un utilisateur, d'un rôle ou d'un groupe, construit sur une période assez longue pour saisir le rythme de travail. Un écart est une distance mesurable par rapport à ce profil. Le même geste peut être banal pour une personne et révélateur pour une autre, si bien qu'une règle figée pour tous passe à côté de cas réels ou noie l'équipe sous de fausses alertes. Comparer chaque personne à son propre historique et à ses pairs du même rôle garde le signal pertinent. Les référentiels s'appuient sur les données déjà collectées de la surveillance de l'activité des utilisateurs, et les écarts sont évalués au regard de schémas connus de menaces internes.

Examiner un écart compte autant que le détecter. Les analystes vérifient les événements derrière chaque changement signalé, et leurs décisions reviennent dans le référentiel : un schéma inoffensif, comme un rapport de clôture mensuel, cesse alors de générer des alertes.

• Horaires de travail comparés au planning habituel de la personne et au rythme de son équipe
• Volumes de messages, de fichiers et de téléchargements par heure, jour ou semaine
• Applications, sites et destinataires que la personne utilise habituellement
• Dépôts, partages et systèmes que la personne ouvre habituellement

En sécurité, l'analyse comportementale traite exclusivement d'actions observables sur les systèmes de l'entreprise : quelles ressources ont été consultées, ce qui a été envoyé où, quand et en quel volume. Elle n'infère ni traits de personnalité, ni attitudes, ni intentions, et ne prédit pas ce qu'une personne pourrait faire en dehors des systèmes de travail. Le profilage psychologique est une autre activité, aux limites légales bien plus strictes, et ce n'est pas ce que fait l'analyse du risque interne.

La distinction compte juridiquement : les régulateurs admettent la surveillance de l'activité liée au travail quand elle est proportionnée, transparente et limitée à une finalité, tandis que l'évaluation des personnalités ou des vies privées est un traitement sensible que la plupart des cadres restreignent ou interdisent. Un programme défendable nomme les indicateurs qu'il suit ; il ne caractérise pas la personne qui se cache derrière.

Une dernière frontière : l'analyse comportementale des utilisateurs et des entités (UEBA) est la catégorie technologique qui automatise l'analyse comportementale avec des modèles statistiques ; l'analyse comportementale elle-même est la pratique plus large, exercée par des analystes autant que par des moteurs.

La plupart de ces schémas apparaissent d'abord comme un écart par rapport au référentiel propre à la personne. Des outils UEBA automatisés les signalent, et les analystes déterminent ce que chacun signifie.

Dans le module Insider Threat Detection, chaque incident porte un niveau de risque et une catégorie : le responsable sécurité voit où le risque se concentre avant d'ouvrir un seul événement.

1 / 2

• 
• 

Bâtie sur la surveillance des salariés, l'analyse comportementale est régie par le droit du travail et la protection des données. Dans l'UE et au Royaume-Uni, le RGPD exige une base légitime, une finalité définie, la proportionnalité et la transparence, les salariés doivent savoir que la surveillance existe et ce qu'elle couvre, et en France une information préalable des salariés ainsi que la consultation du comité social et économique peuvent être requises. D'autres juridictions fixent leurs propres règles de notification ; la minimisation des données vaut partout : ne collecter que ce qu'exige la finalité, rien de plus.

Garde-fous pratiques : une politique de surveillance écrite et communiquée au personnel, des registres comportementaux réservés à des rôles définis, des limites de conservation et une nette séparation entre l'analyse de sécurité et l'évaluation des performances. La ligne juridique passe entre l'observation de l'activité sur les actifs de l'entreprise et la surveillance clandestine des individus.

Commencez par les données dont la fuite serait la plus dommageable, puis par les canaux qu'elles empruntent réellement. Un programme clair de gestion des risques internes repose sur une liste courte d'indicateurs que l'organisation sait expliquer à ses équipes.

Avant qu'un écart devienne une conclusion, vérifiez les événements qui le sous-tendent et le contexte du travail. Un écart est une question à traiter, pas un verdict sur la personne.

Pour aller plus loin : Le profilage.