L'étiquetage comme métadonnée, pas comme classement
Une étiquette n'est pas un nom de dossier ni un commentaire destiné à être lu par des personnes. Ce sont des métadonnées structurées, stockées dans l'objet ou attachées à lui, afin que les logiciels puissent les interroger.
Un traitement de texte, un client de messagerie, un agent DLP et un service de chiffrement peuvent lire la même étiquette et parvenir à la même décision sur un document, même si aucun d'eux ne l'a créée. La classification des données est le jugement sur le niveau de sensibilité. L'étiquette est la trace durable de ce jugement : la décision n'a donc pas à être reprise chaque fois que le fichier est ouvert, copié ou envoyé par e-mail.
Ce qu'une étiquette encode généralement
La plupart des schémas d'étiquetage combinent plusieurs types d'informations dans un même marqueur :
| Élément | Ce qu'il enregistre |
|---|---|
| Sensibilité | Un niveau tel que Public, Interne, Confidentiel ou Restreint |
| Responsabilité | L'équipe ou la personne responsable des données |
| Conservation | Durée de conservation de l'enregistrement, puis archivage, révision ou suppression |
| Périmètre réglementaire | Obligations liées aux données personnelles, aux cartes de paiement ou à la santé |
| Marquage du contenu | Un en-tête, un pied de page ou un filigrane visibles qui répètent l'étiquette pour les utilisateurs |
Comment les étiquettes sont appliquées
Les étiquettes proviennent rarement d'une seule source. La plupart des environnements combinent plusieurs méthodes pour qu'aucun élément ne reste sans étiquette.
Étiquetage manuel : l'auteur choisit une étiquette dans un menu lors de la création ou de l'enregistrement d'un document. Cela fonctionne lorsque les personnes sont formées, mais c'est facile à oublier sous la pression des délais.
Étiquetage automatique : le logiciel analyse le contenu à la recherche de mots-clés et d'identifiants structurés, comme des numéros de carte ou de pièce d'identité, ainsi que des empreintes numériques de documents, et applique une étiquette sans attendre une personne.
Étiquetage par défaut : une étiquette de base est appliquée à la création d'un fichier ou d'un e-mail. Un document n'est jamais totalement sans étiquette, même avant que quelqu'un ne l'examine.
Étiquetage hérité : une copie, une pièce jointe ou un fichier exporté reprend l'étiquette de sa source. Le contenu dérivé reste ainsi encadré sans étape d'étiquetage séparée.
Où les étiquettes assurent l'application des règles
Le chiffrement, l'accès et le partage, la prévention des pertes de données et la conservation peuvent tous lire la même étiquette au lieu de deviner la sensibilité. Une politique qui utilise une étiquette suit quatre étapes :
- 1
Vérifier l'étiquette
La politique contrôle si l'étiquette est présente, ainsi que son identifiant ou son nom interne.
- 2
Appliquer la règle
L'étiquette trouvée devient une condition supplémentaire, à côté des conditions de texte et de canal.
- 3
Exécuter l'action
Autoriser, journaliser, alerter, placer en quarantaine pour examen ou bloquer, dans la messagerie, le web, le stockage cloud, les messageries et les supports amovibles.
- 4
Conserver la trace
L'événement est journalisé afin que le résultat puisse être examiné plus tard.
Où l'étiquetage échoue
L'étiquetage est une surface de contrôle, non une garantie. Il échoue de trois façons prévisibles, et les outils qui reconnaissent directement le contenu sensible continuent de fonctionner lorsque l'étiquette manque.
L'absence d'étiquette n'est pas une raison de sauter le contrôle du contenu. La reconnaissance agit sur le texte sensible lui-même.
- Lacunes de couverture : des années de données non structurées sur les partages de fichiers et dans les boîtes mail personnelles ont été créées avant toute politique d'étiquetage. Elles sont rarement étiquetées après coup.
- Perte de l'étiquette : l'étiquette est attachée au conteneur. Copier un paragraphe, faire une capture d'écran ou coller dans une fenêtre de discussion transporte le contenu et laisse l'étiquette derrière. Un paragraphe copié peut toujours atteindre le mauvais destinataire, et c'est ainsi qu'une fuite de données commence.
- Étiquettes obsolètes : un document est étiqueté une fois et n'est jamais revu. Il peut rester surprotégé bien après avoir cessé d'être sensible, ou sous-protégé une fois que du contenu nouveau y a été ajouté.
À quoi cela ressemble dans Anexet
Dans une règle de blocage basée sur le contenu, l'onglet Sensitivity labels teste l'étiquette elle-même, et pas seulement le texte. La condition peut vérifier si l'étiquette est présente, quel est son identifiant ou son nom interne.
Étiquetage et conformité
Les réglementations citent rarement un schéma d'étiquetage précis. Elles supposent en revanche qu'une organisation peut démontrer quels enregistrements sont personnels, liés à des paiements ou à la santé, et que leur traitement correspondait à l'obligation. Une étiquette cohérente en est une preuve concrète. Elle permet de répondre à une demande d'une personne concernée, de délimiter une notification de violation ou de montrer à un auditeur qu'un enregistrement a été traité selon sa sensibilité dès sa création.
Les étiquettes ne protègent que ce qu'elles décrivent, la décision doit donc accompagner l'enregistrement dès le départ.
Anexet TeamComment Anexet traite ce sujet
Anexet ne crée pas ses propres étiquettes de documents ; il lit et applique les étiquettes déjà posées par un autre système, de sorte que l'investissement existant de l'organisation dans l'étiquetage pilote directement la politique :
Conditions basées sur les étiquettes de sensibilité
les politiques de recherche et de blocage peuvent conditionner l'action à la présence d'une étiquette, à son identifiant, à son nom interne, et au fait qu'elle ait été installée automatiquement ou manuellement.
Vérification du marquage du contenu
les politiques peuvent vérifier si un document porte un marquage visible, un en-tête de page, un pied de page ou un filigrane, dans le cadre de cette même condition.
État du chiffrement
le fait que le contenu étiqueté soit chiffré ou non constitue en soi une condition sur laquelle une politique peut agir.
Application sur tous les canaux
une fois qu'une étiquette est identifiée, le même ensemble d'actions s'applique que pour toute autre condition de contenu, autoriser, journaliser, alerter, mettre en quarantaine pour examen ou bloquer, sur l'e-mail, le web, le stockage cloud, les messageries et les périphériques amovibles.
Architecture on-premise
les étiquettes inspectées, les politiques construites à partir d'elles et les journaux qui en résultent restent au sein de la propre infrastructure de l'organisation.
Anexet DLP
En savoir plus