Violation, fuite et exfiltration de données
Les trois termes se recoupent largement et sont souvent employés l'un pour l'autre, mais chacun met l'accent sur un aspect différent.
La violation de données est le terme juridique et réglementaire. Elle signifie qu'un contrôle de sécurité a échoué et que des données protégées ont franchi la limite prévue. Cet échec peut déclencher une évaluation et, souvent, une notification exigée par la loi.
La fuite de données est le terme technique le plus large. Elle couvre toute exposition non autorisée, quelle qu'en soit la cause. Toute violation est une fuite, mais toute fuite n'atteint pas le seuil juridique d'une violation à notifier, par exemple lorsqu'elle est contenue avant que les données aient réellement été consultées.
L'exfiltration de données est le retrait délibéré et dissimulé de données par un insider ou par un attaquant qui a déjà accès au système. C'est un mécanisme possible de violation. Elle est toujours intentionnelle, alors qu'une violation peut résulter d'une simple négligence.
Les textes réglementaires définissent en général la violation de données personnelles assez largement pour englober les trois. L'article 4, point 12, du RGPD la décrit comme une violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à celles-ci. La cause peut être un attaquant externe, un employé négligent ou un insider malveillant.
Causes courantes d'une violation de données
Les causes se répartissent selon qu'elles viennent de l'extérieur ou de l'intérieur de l'organisation. En pratique, de nombreuses violations combinent les deux. Par exemple, un attaquant externe utilise un identifiant obtenu par hameçonnage ou acheté, c'est-à-dire l'accès d'un insider repris par une personne extérieure.
L'utilisation abusive par un insider relève des programmes contre la menace interne. La divulgation accidentelle correspond au cas de la divulgation involontaire : personne ne voulait nuire, mais les données ont tout de même franchi leur limite.
| Cause | Ce qui se passe |
|---|---|
| Attaque externe | Exploitation d'une faille logicielle, malware ou identifiants volés |
| Hameçonnage et ingénierie sociale | Un employé est amené à révéler des identifiants ou à exécuter du code malveillant |
| Utilisation abusive par un insider | Accès légitime détourné pour consulter, copier ou retirer des données |
| Divulgation accidentelle | E-mail mal adressé, bucket cloud public ou lien partagé sans expiration |
| Appareils perdus ou volés | Ordinateur portable, téléphone ou disque non chiffré contenant des données protégées |
| Exposition par un tiers | Violation chez un fournisseur exposant des données dont l'organisation reste responsable |
La dimension juridique et réglementaire
Ce qui distingue une violation de données d'un incident purement technique, c'est l'ensemble des obligations légales qui s'y rattachent. La plupart des cadres de protection des données exigent des organisations qu'elles évaluent les données concernées, le nombre de personnes touchées et le risque probable pour leurs droits et libertés. Elles doivent aussi notifier l'autorité de contrôle, informer les personnes concernées lorsque le risque est élevé, et tenir un registre interne de chaque violation.
Les délais sont serrés, et dépasser un délai constitue en soi un manquement, quelle que soit la gravité de la violation. Le tableau résume les obligations principales.
Le registre interne compte aussi. Les régulateurs peuvent le réclamer lors d'un audit, y compris pour les violations restées sous le seuil de notification.
| Obligation | S'applique à | Statut |
|---|---|---|
| Notification à l'autorité de contrôle | RGPD, dans les 72 heures suivant la prise de connaissance d'un risque probable | Obligatoire |
| Information des personnes concernées | Violations susceptibles d'engendrer un risque élevé pour les personnes | Risque élevé |
| Notification sans retard injustifié | La plupart des lois des États américains sur les violations | Obligatoire |
| Registre interne des violations | Chaque violation, y compris celles sous le seuil | Requis |
Impact d'une violation de données
Une violation coûte cher sur plusieurs fronts. Les amendes du RGPD ne sont qu'un de ces aspects, et HIPAA, CCPA, LGPD et des cadres similaires ont leurs propres structures de sanctions.
- Sanctions réglementaires : au titre du RGPD, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu
- Coûts de notification : informer les personnes, renforcer les lignes d'assistance et proposer une surveillance du crédit
- Atteinte à la réputation : les violations rendues publiques érodent la confiance, parfois pendant des années
- Responsabilité juridique : recours collectifs et mesures d'exécution réglementaires contre l'organisation
- Perturbation opérationnelle : contenir la violation et corriger la faille consomment du temps et des ressources
Pourquoi une détection rapide compte
Le coût et l'exposition juridique d'une violation sont fortement liés au temps nécessaire pour la détecter et la contenir. Une violation découverte en quelques heures, avant que les données aient été consultées ou retirées, est un événement très différent de la même faille exploitée pendant des mois sans être remarquée.
C'est pourquoi les programmes de réponse aux violations accordent autant d'importance à la détection et à l'investigation qu'à la prévention. La prévention réduit la fréquence des violations. La détection détermine ce qu'elles coûtent lorsqu'elles surviennent.
Anexet associe chaque événement à une règle de sécurité et à un niveau de risque, ce qui permet à l'analyste de voir quelles règles se déclenchent et combien d'incidents attendent encore une revue. C'est là que commence l'investigation d'incidents.
1 / 2
Prévenir une violation de données et s'y préparer
Aucun contrôle isolé n'élimine le risque de violation, les programmes efficaces superposent donc plusieurs défenses. La prévention de la perte de données (DLP) et le contrôle des accès réduisent la fréquence des violations, tandis que la surveillance, le chiffrement et la préparation à la réponse déterminent l'ampleur des dégâts.
| Contrôle | Réduit les violations | Limite leur coût |
|---|---|---|
| Gouvernance des accès | ||
| DLP sensible au contenu | ||
| Surveillance des postes et de l'activité | ||
| Chiffrement au repos et en transit | ||
| Préparation à la réponse aux incidents |
Par où commencer
Commencez par la classification des données : déterminez quelles données causeraient le plus de tort si elles fuyaient, puis cartographiez les canaux par lesquels elles circulent réellement. Des politiques écrites pour tous les fichiers à la fois finissent par bloquer le travail et sont désactivées.
Pour aller plus loin : Ingénierie sociale contre systèmes DLP : comment protéger votre entreprise des fuites de données; Fuite technique d'informations : de quoi s'agit-il et comment s'en protéger ?.
Une fuite ressemble rarement à une attaque. Elle ressemble à une journée de travail ordinaire, un transfert après l'autre.
Anexet TeamComment Anexet traite ce sujet
Anexet n'est pas un produit de périmètre ni un antimalware et ne prétend pas empêcher un attaquant externe de violer un réseau; il est conçu pour fonctionner aux côtés d'un pare-feu et d'un antivirus sur cette couche. Là où Anexet contribue directement, c'est sur la part la plus importante des violations impliquant un compte légitime : un insider abusant de son accès, un identifiant compromis se comportant anormalement, ou du contenu sensible sortant par un canal quotidien comme l'e-mail ou le stockage cloud.
L'architecture on-premise signifie que les preuves dont dépend une enquête sur une violation; contenu capturé, journaux d'audit et historique de risque; restent au sein de l'infrastructure propre de l'organisation, ce qui importe car les données d'enquête sont elles-mêmes hautement sensibles.
Catégorie de risque intégrée "Fuite de données"
l'une des huit catégories de risque préconfigurées dans les Politiques de Sécurité d'Anexet signale automatiquement les transferts correspondant à des règles de contenu sensible, faisant remonter des événements candidats à une violation pour examen.
Détection basée sur le contenu
les méthodes de classification incluent des thésaurus de sécurité, des banques de hachage pour la correspondance exacte de fichiers, des bibliothèques d'empreintes numériques et l'intégration d'étiquettes de sensibilité, afin qu'une violation potentielle soit jugée selon les données réellement concernées.
Couverture complète des canaux
les agents de poste couvrent l'e-mail, le web, les applications de stockage cloud, la messagerie, les périphériques amovibles, l'impression et le presse-papiers; les canaux quotidiens par lesquels surviennent la plupart des violations hors périmètre.
Piste d'investigation et d'audit
chaque événement pertinent est journalisé avec l'utilisateur, l'horodatage, le canal et la classification du contenu, donnant à l'enquêteur les preuves nécessaires pour délimiter une violation et respecter un délai de notification.
Analyse des Risques
la notation du risque comportemental met en évidence les comptes et l'activité méritant investigation avant qu'un petit incident ne devienne une violation à signaler.
Anexet DLP
En savoir plus