Classification (des données)

La classification des données attribue une étiquette ou une catégorie à une information selon sa sensibilité et le préjudice que causerait sa divulgation. Un schéma de classification définit un petit nombre de niveaux, et chaque document, message ou jeu de données devrait en porter un. Le schéma trie avant tout les données sensibles, car ce sont elles qui sont soumises aux règles de traitement les plus strictes.

L'étiquette détermine ensuite le traitement : qui peut accéder aux données, où elles peuvent être stockées, quels canaux peuvent les transporter et dans quel délai une fuite doit être traitée. La classification est la décision, tandis que l'étiquetage des données consiste à inscrire cette décision sur le fichier ou le message.

Deux familles de schémas dominent. Elles diffèrent surtout par l'autorité qui fixe les règles.

Les schémas d'entreprise adaptent la même logique au monde professionnel. Leur objectif est la proportionnalité : les mesures coûteuses, comme le chiffrement, le partage restreint et l'application d'un DLP, se concentrent sur la petite part des données réellement sensibles.

Une étiquette peut parvenir à un document de quatre façons.

• Classification manuelle : l'auteur ou le responsable des données choisit une étiquette à la création d'un document ou d'un e-mail, souvent via un module complémentaire d'étiquetage.
• Analyse automatique du contenu : les outils examinent les mots-clés, les motifs et les empreintes numériques des documents, puis appliquent ou suggèrent une étiquette.
• Classification par défaut : étiquette de base appliquée lorsqu'aucune information plus précise n'est connue.
• Héritage : un document dérivé ou une pièce jointe reprend l'étiquette la plus élevée parmi ses sources.

La classification rend la politique de sécurité sensible aux données. Une règle du type « bloquer les documents Confidentiels vers un stockage cloud personnel » ne fonctionne que si les documents portent des étiquettes. Les systèmes de prévention des pertes de données peuvent alors utiliser l'étiquette directement comme condition de la politique, au lieu de déduire la sensibilité du seul contenu.

La classification soutient aussi une protection proportionnée et la responsabilité dans des cadres comme le RGPD et la norme ISO/IEC 27001, car elle permet de démontrer que les garanties correspondent à la sensibilité.

Dans Anexet DLP, une étiquette devient une condition d'une règle de blocage. L'onglet Sensitivity labels reconnaît une étiquette attribuée en amont, tandis que les thésaurus de Objects of analysis repèrent les contenus qui n'ont jamais été étiquetés. Une seule règle peut associer une condition d'étiquette à des conditions de texte reliées par ET, de sorte que les deux signaux doivent correspondre.

1 / 2

• 
• 

La classification ne fonctionne que si les personnes aux fonctions différentes connaissent leur rôle. Les rôles ci-dessous sont typiques, et leurs intitulés varient d'une organisation à l'autre.

La plus grande partie des données d'une organisation n'est pas structurée et n'est jamais étiquetée. Les étiquettes sont souvent appliquées de façon incohérente, en excès « par précaution » ou perdues lorsque le contenu est copié dans un autre format. Les programmes viables reposent sur quatre pratiques :

1. 1

   Peu de niveaux, bien définis

   Un schéma réduit où chaque niveau est explicite, pour que l'utilisateur choisisse sans deviner.

2. 2

   Un flux d'étiquetage simple

   Une étape que l'utilisateur peut suivre en quelques secondes, dans les outils qu'il utilise déjà.

3. 3

   Une aide automatisée

   Des outils qui aident à appliquer ou à suggérer des étiquettes, la décision finale revenant à une personne dans les cas limites.

4. 4

   L'application sans étiquette

   Des politiques qui continuent de fonctionner quand l'étiquette manque, avec la détection de contenu en secours.

Commencez par les données dont la fuite causerait le plus de dégâts, puis par les canaux qu'elles empruntent réellement. Les politiques rédigées pour tous les fichiers à la fois finissent par bloquer le travail et sont désactivées.

Pour aller plus loin : Audit d'accès aux données sensibles et contrôle d'accès discrétionnaire.