Ce que couvre la surveillance de la conformité
L'objet de la surveillance n'est pas le texte réglementaire lui-même, mais les engagements de l'organisation : politiques internes (traitement des données, usage acceptable, contrôle d'accès), contrôles techniques, comme la Data Loss Prevention, qui les appliquent et obligations rattachées à des référentiels comme le RGPD, HIPAA, PCI DSS ou ISO 27001. Un texte réglementaire ne s'observe pas directement. Ce qui s'observe, c'est si les règles écrites pour le respecter fonctionnent.
| Domaine | Question à laquelle il répond |
|---|---|
| Adhésion aux politiques | Les règles sont-elles suivies en pratique, par service et canal ? |
| Efficacité des contrôles | Les contrôles se déclenchent-ils quand il faut, avec une réponse proportionnée ? |
| Suivi des obligations | Les échéances, attestations, revues et renouvellements sont-ils tenus ? |
| Conformité des tiers | Fournisseurs et sous-traitants restent-ils dans les limites des contrats ? |
La surveillance est centrée sur les politiques
La surveillance est donc centrée sur les politiques. Chaque politique est traduite en événements observables : un fichier qui sort par un canal non approuvé, un compte privilégié utilisé hors fenêtre de changement, une échéance de revue manquée. Le programme surveille ces événements en continu, et non seulement au moment de l'audit. La surveillance de l'activité utilisateur fournit les événements rattachés à une personne.
Comment fonctionne la boucle de surveillance
La surveillance de la conformité fonctionne comme un cycle qui se répète, et non comme un exercice ponctuel :
- 1
Définir
Traduire chaque politique en règles explicites et testables, avec un responsable nommé et une échelle de gravité.
- 2
Observer
Collecter les événements des postes, systèmes et applications sur les canaux régis par les politiques.
- 3
Détecter
Corréler les événements avec les règles et classer chaque écart par gravité et catégorie de risque.
- 4
Agir
Alerter le responsable, bloquer ou mettre en quarantaine quand le contrôle le permet, et ouvrir une action corrective.
- 5
Rendre compte
Agréger les résultats en indicateurs et dossiers de preuves pour la direction, les auditeurs et les régulateurs.
Les preuves pour les audits
Le second produit de la surveillance, ce sont les preuves. Les auditeurs et les régulateurs acceptent rarement des affirmations. Ils demandent ce qui s'est passé, quand, qui était impliqué et ce qui a été fait. Un programme de surveillance répond par des enregistrements : événements horodatés rattachés à un utilisateur, règle déclenchée, classification du contenu et issue de chaque cas. Anexet regroupe ces enregistrements dans des rapports de sécurité et de conformité.
Pour qu'un enregistrement étaye une conclusion, il doit être complet et attribuable. Les lacunes brisent le raisonnement, et les enregistrements anonymes ne prouvent rien. La conservation compte aussi : la preuve doit survivre au cycle d'audit, car l'enregistrement de surveillance est lui-même sensible. Son traitement relève des règles de protection des données.
Métriques et KPI
Les métriques transforment des observations brutes en information de pilotage. Un ensemble utile est restreint, stable et rattaché à une politique. Les indicateurs les plus courants :
| Indicateur | Ce qu'il montre |
|---|---|
| Taux de violation des politiques | Violations pour cent utilisateurs ou pour mille événements, par politique et canal |
| Délai moyen de détection (MTTD) | Durée pendant laquelle un écart persiste avant d'apparaître |
| Délai moyen de remédiation (MTTR) | De la détection à la clôture de l'action, par classe de gravité |
| Couverture des contrôles | Part des systèmes, utilisateurs et canaux du périmètre réellement observés |
| Vieillissement des exceptions | Durée d'ouverture des exceptions approuvées ; vieillies, elles deviennent des violations |
| Taux de récurrence | Retour du même écart après correction, signe d'un contrôle défaillant |
Surveillance de la conformité et surveillance de sécurité
Les deux disciplines partagent outils et données d'événements, mais répondent à des questions différentes. La surveillance de sécurité demande si l'organisation est attaquée ; son unité de travail est l'incident de sécurité, son horloge la minute. La surveillance de conformité demande si l'organisation s'est comportée comme l'exigent ses propres politiques ; son unité de travail est l'écart ou l'exception, son horloge le cycle d'audit.
En pratique, elles se recouvrent : une fuite de données est à la fois un incident de sécurité et une violation de politique. Beaucoup d'organisations font tourner les deux sur les mêmes flux d'événements. La sécurité trie vite, la conformité conserve l'enregistrement qui comptera encore quand l'auditeur arrivera un an plus tard. Le programme de lutte contre les menaces internes est l'un des consommateurs de ces données partagées.
Pour aller plus loin : Utiliser le système DLP Anexet Ultimate pour la conformité au RGPD; Que sont les systèmes SIEM pour la gestion de la sécurité de l'information ?.
Une politique sur papier est une affirmation. Un enregistrement de surveillance en est la preuve.
Anexet TeamComment Anexet traite ce sujet
Un outil de surveillance ne rend pas une organisation conforme : l'obligation reste à sa charge. La contribution d'Anexet est la couche d'observation des politiques qui encadrent le traitement des données sensibles. Elle observe en temps réel les canaux que ces politiques régissent et conserve les enregistrements qui attestent de ce qui a été fait.
L'architecture on-premise s'accorde aussi avec ce rôle de preuve. Les enregistrements de surveillance eux-mêmes, à savoir les événements capturés, l'historique des incidents et les journaux d'audit, restent dans l'infrastructure de l'organisation, ce qu'exige généralement un dossier de conformité.
Des politiques de sécurité comme règles de surveillance
Des règles fondées sur le contenu, comme les thésaurus de sécurité, les bases de hachage, les bibliothèques d'empreintes numériques et les étiquettes de confidentialité, évaluent en continu les transferts de données par e-mail, web, stockage cloud, messagerie, périphériques amovibles, impression et presse-papiers. Chaque correspondance génère un incident enregistré, et non une ligne muette dans un journal.
Catégorisation des risques des incidents
Chaque incident est classé dans des catégories de risque préconfigurées, comme Fuite de données ou Violation de la loi, ou dans des catégories personnalisées. Les tendances d'écart peuvent ainsi être mesurées par politique, au lieu d'être lues comme un flux unique.
L'application fait partie de l'enregistrement
Selon la gravité et la classification du contenu, une politique peut bloquer le transfert, le mettre en quarantaine pour examen, le journaliser ou déclencher une alerte. La réaction du contrôle devient elle-même un événement surveillé et attribuable.
Une piste d'audit complète et attribuable
Chaque événement porte l'utilisateur, l'horodatage, le canal, la classification du contenu et l'action menée. Ce sont les champs qu'un auditeur demande pour reconstituer le traitement des données sensibles.
Anexet DLP
En savoir plus