Content Aware Protection

Les premiers contrôles de données regardaient l'emballage : le port, l'extension du fichier, l'adresse de destination. La protection sensible au contenu regarde à l'intérieur. L'outil lit le texte du document, le compare à ce que l'organisation juge confidentiel, et ne décide qu'ensuite d'autoriser, de journaliser, d'avertir ou de bloquer l'action.

Cette idée est au cœur de la prévention des pertes de données. Elle répond à une question que le contexte ne peut pas traiter : non pas « qui copie un fichier sur une clé USB », mais « ce fichier contient-il des données sensibles ». C'est ce qui laisse le travail ordinaire circuler tandis que les rares documents importants restent protégés.

Les mêmes quatre étapes valent pour la messagerie, les envois web, les messageries instantanées et les supports amovibles. Elles peuvent s'exécuter en périphérie du réseau ou sur le poste de travail ; un agent sur le terminal a l'avantage de voir le contenu avant qu'il soit enveloppé dans une connexion chiffrée.

1. 1

   Définir ce qui compte

   La sécurité et les propriétaires des données décrivent le contenu protégé : jeux de mots-clés, motifs tels que les numéros de carte, documents de référence ou étiquettes appliquées aux fichiers.

2. 2

   Intercepter l'action

   Un agent ou une passerelle saisit l'opération au moment du transfert : envoi d'un message, dépôt d'un fichier, copie vers un lecteur ou collage depuis le presse-papiers.

3. 3

   Analyser le contenu

   Le texte est extrait du fichier, y compris des archives et, lorsque la reconnaissance est disponible, des images, puis comparé aux définitions de la première étape.

4. 4

   Appliquer la politique

   Le résultat décide de l'action : autoriser, journaliser, avertir l'utilisateur, mettre en quarantaine ou bloquer, souvent avec une copie conservée pour l'enquête.

Aucune technique ne couvre à elle seule tous les types de données, c'est pourquoi les outils en combinent plusieurs. Le choix dépend de la nature du contenu : il suit un motif, appartient à un document connu ou porte une étiquette. Les documents à reconnaître même après modification demandent des empreintes numériques, tandis que les données déjà dotées d'une étiquette se reconnaissent grâce à elle.

Dans Anexet, une règle de blocage selon le contenu s'appuie sur l'un des quatre objets d'analyse : thésaurus de recherche, sommes de hachage, empreintes numériques ou étiquettes de sensibilité. La première vue montre ces onglets dans une règle, la seconde les jeux de mots prêts à l'emploi fournis avec la console. Les images sont traitées à part par la reconnaissance de texte.

1 / 2

• 
• 

Les règles purement contextuelles décident selon le canal, l'utilisateur, l'heure ou l'appareil : bloquer toute clé USB, ou n'autoriser la messagerie que vers des domaines approuvés. Elles sont simples et prévisibles, mais traitent de la même façon le menu de la cantine et la base clients. Les règles sur le contenu ajoutent la question manquante, et en pratique les deux fonctionnent mieux ensemble.

La lecture du contenu reste probabiliste. Un nombre à seize chiffres peut être une carte ou un numéro de commande, et un jeu de mots composé de termes courants se déclenche sur des documents anodins. Trop de fausses alertes apprennent aux gens à fermer les avertissements sans les lire, ce qui ruine le contrôle.

Des angles morts demeurent aussi. Un contenu chiffré avant que l'outil ne le voie, photographié depuis l'écran d'un téléphone ou reformulé par l'expéditeur peut passer. La plupart des données non structurées, telles que documents, conversations et captures d'écran, n'ont pas de format fixe : les définitions doivent donc être revues régulièrement.

Un programme fondé sur le contenu fonctionne lorsqu'il part des données qui comptent le plus, et non de la liste de règles la plus longue possible.

• Listez les quelques types de données dont la perte ferait le plus mal et rédigez une définition pour chacun.
• Privilégiez les empreintes ou les hachages pour les documents connus ; réservez motifs et mots-clés aux données à format ou à thème précis.
• Associez le contenu au contexte, comme le canal, le groupe d'utilisateurs et la destination, pour réduire les faux positifs.
• Exécutez d'abord les nouvelles règles en mode audit, examinez ce qu'elles repèrent et ajustez les seuils avant de bloquer.
• Dites aux employés ce qui est inspecté et pourquoi ; une action bloquée avec un message clair enseigne plus qu'un blocage silencieux.

Commencez par un canal et une classe de données, en général la messagerie ou les envois web et les dossiers clients ou financiers. Quand les correspondances paraissent justes, étendez la même définition aux autres canaux au lieu d'en écrire de nouvelles.