Ce que couvre le DLP cloud
Le DLP cloud applique les principes de base de la prévention des pertes de données, à savoir la détection de contenu, la surveillance et l'application des politiques, aux données stockées dans les services cloud ou qui y transitent. Cela inclut les plateformes de stockage et de synchronisation de fichiers, les suites collaboratives et les services de partage de fichiers.
Le risque va dans deux directions. Des données sensibles peuvent être envoyées vers des services cloud, surtout depuis des comptes personnels ou non autorisés. Des données déjà stockées dans le cloud peuvent aussi être partagées à l'excès ou exposées, par exemple via un lien public.
Trois points d'intégration
Les canaux cloud sont couverts en trois points d'intégration, et chacun voit les données dans un état différent. Au plus près de l'utilisateur, le DLP des postes de travail agit directement sur l'appareil.
| Point d'intégration | Ce qu'il inspecte | Exemple |
|---|---|---|
| Basé sur API | Fichiers stockés sur les plateformes cloud (données au repos) | Numéros de carte dans un tableur |
| Inspection en ligne | Trafic vers le cloud passant par une passerelle (données en transit) | Envois contrôlés avant de quitter l'organisation |
| Agents de poste | Transferts sur l'appareil, à la source | Transfert depuis un ordinateur portable sur le Wi-Fi domestique |
Comment un envoi bloqué est traité
Dans les trois cas, la détection repose sur l'analyse du contenu : dictionnaires de mots-clés et thésaurus, reconnaissance de motifs pour les identifiants, correspondance exacte de fichiers par empreinte de hachage, empreintes numériques de documents et étiquettes de classification. Chaque règle déclenchée suit le même chemin :
- 1
Détection
L'analyse de contenu rattache le fichier à une règle avant la fin du transfert.
- 2
Décision
La politique choisit de bloquer, de mettre en quarantaine, de journaliser ou d'alerter.
- 3
Information
L'utilisateur voit un message expliquant pourquoi le transfert n'a pas abouti.
- 4
Journalisation
L'événement est enregistré avec l'utilisateur, le service, la classification du contenu et l'action appliquée.
Pourquoi l'usage du cloud demande des contrôles dédiés
L'usage du cloud crée quatre types d'exposition, et chacun demande un contrôle dédié. Le Shadow IT est souvent sous-estimé, car les comptes personnels échappent à tous les systèmes de l'entreprise.
| Risque | Ce que cela signifie |
|---|---|
| Shadow IT | Des salariés déplacent des données de travail par des comptes personnels que la surveillance réseau ne voit pas |
| Responsabilité partagée | Le fournisseur sécurise l'infrastructure. Le contenu des fichiers reste de la responsabilité du client. |
| Dispersion | Les copies sur des disques, des espaces partagés et des sauvegardes élargissent l'exposition |
| Applications tierces | Des applications connectées par OAuth peuvent lire les données cloud de l'entreprise sans aucun transfert de fichier |
Scénarios types
Trois situations montrent comment les contrôles fonctionnent en pratique :
- Un ingénieur envoie une base de données clients sur un compte de stockage personnel. L'inspection du contenu bloque l'envoi avant qu'il n'aboutisse.
- Un contrat confidentiel se trouve sur un lecteur d'entreprise avec le réglage public « toute personne disposant du lien ». Une analyse des données au repos le repère.
- Un salarié qui quitte l'entreprise synchronise en masse des dossiers de projet vers un lecteur cloud externe. Le transfert est signalé comme exfiltration de données.
À quoi cela ressemble dans Anexet
L'accès, l'audit et la copie fantôme se règlent séparément pour chaque service cloud dans le profil de l'agent. La liste des versions web interceptées se configure également à part.
1 / 2
Par où commencer
Commencez par les données dont la fuite causerait le plus de dégâts, puis par les services cloud que vos équipes utilisent réellement. Des règles écrites pour tous les services à la fois finissent par bloquer le travail courant et sont désactivées. Mieux vaut démarrer le contrôle des envois vers le cloud sur quelques canaux plutôt que sur tous à la fois.
Si la politique doit couvrir des données sensibles, un déploiement sur site garde les règles, les contenus capturés et les journaux dans l'infrastructure de l'entreprise.
Pour aller plus loin : Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne; Comment acheter un système DLP ?.
Les données du cloud sortent rarement d'un seul coup. Elles partent par une série d'envois ordinaires, dont chacun paraît anodin.
Anexet TeamComment Anexet traite ce sujet
Anexet couvre les canaux cloud grâce à ses agents de poste et à l'intégration ICAP. Les mêmes politiques fondées sur le contenu, qui régissent la messagerie, le web et les supports amovibles, s'appliquent ainsi au stockage cloud et aux services de partage de fichiers.
Comme Anexet est déployé sur site, les règles de détection, les contenus capturés et les journaux d'audit sont traités et conservés dans l'infrastructure de l'organisation. Les données sensibles ne sont pas confiées à un fournisseur externe de DLP pour analyse.
Couverture du stockage cloud
surveillance et contrôle des transferts vers et depuis des services comme Box, Dropbox, Google Drive, OneDrive, SharePoint, MEGA, ownCloud, Nextcloud, WeTransfer et Amazon S3.
Agents de poste, principal point de contrôle
les agents installés sur les postes surveillés contrôlent les envois vers le cloud à la source, y compris ceux qui contournent entièrement le réseau de l'entreprise.
Détection fondée sur le contenu
le même moteur de classification, des thésaurus de sécurité, des bases de hachage, des empreintes numériques et des étiquettes de sensibilité. La décision repose sur ce que contient le fichier, pas seulement sur le service de destination.
Application des politiques et piste d'audit
les politiques peuvent bloquer un transfert, le mettre en quarantaine, le journaliser ou émettre une alerte. Chaque événement enregistre l'utilisateur, le service, la classification du contenu et l'action appliquée.
Anexet DLP
En savoir plus