Quel problème le DLP résout
Les organisations détiennent des données précieuses, réglementées, ou les deux : bases clients, code source, modèles financiers, dossiers patients, plans techniques, projets de contrats. Au quotidien, ces données sont envoyées par e-mail, déposées sur des espaces cloud, copiées sur des clés USB, collées dans des messageries et imprimées.
La plupart de ces transferts sont légitimes. Un transfert nuisible leur ressemble presque trait pour trait : un salarié qui dépose un fichier dans le cloud peut envoyer une proposition à un client ou sortir une base de données confidentielle. Le DLP fait la différence en examinant le contenu, pas seulement le canal.
Comment fonctionne le DLP
Le DLP sur poste, réseau et cloud n'agit pas au même endroit, mais la plupart des solutions partagent trois capacités qui s'enchaînent.
- 1
Classifier les données
Le système apprend d'abord ce qui est sensible, à l'aide de dictionnaires, de motifs, d'empreintes numériques et de hachages. Les données se classent au repos (serveurs de fichiers, bases de données), en cours d'utilisation (postes) ou en transit (réseau).
- 2
Surveiller les canaux
Il observe ensuite les voies de sortie : e-mail, envois web, applications de stockage cloud, messagerie instantanée, FTP, impression, presse-papiers et supports amovibles. Sur le poste, il voit le fichier en clair, avant que le chiffrement du transport ne masque le contenu.
- 3
Appliquer la politique
En cas de correspondance, il agit : il bloque le transfert, met le message ou le fichier en quarantaine pour examen, avertit l'utilisateur, alerte les analystes sécurité ou journalise l'événement pour l'audit. L'action dépend de la gravité, de la catégorie de données et de la destination.
Comment le DLP reconnaît les données sensibles
Les règles de classification combinent plusieurs méthodes. Chacune repère un type de données différent.
| Méthode | Ce qu'elle repère |
|---|---|
| Dictionnaires de mots-clés (thésaurus) | Documents qui emploient le vocabulaire d'un sujet sensible |
| Expressions régulières | Valeurs structurées, comme les numéros de carte ou de sécurité sociale |
| Correspondance exacte des données | Enregistrements copiés d'une source confidentielle connue |
| Empreintes numériques | Nouveaux documents créés à partir d'un modèle protégé |
| Correspondance de hachage | Copies exactes d'un fichier protégé précis |
À quoi cela ressemble dans une console DLP
Dans la console client d’Anexet, les résultats des contrôles DLP apparaissent sous forme de documents trouvés par empreinte numérique, de règles de sécurité avec des conversations interceptées, du risque par employé et d’un tableau de bord d’activité.
1 / 4
Les variantes du DLP
Les variantes diffèrent par l'endroit où elles inspectent les données et par ce qu'elles voient.
| Variante | Fonctionnement | Force et limite |
|---|---|---|
| DLP sur poste | Un agent sur chaque poste surveille fichiers, presse-papiers, envois et périphériques connectés | Voit les transferts chiffrés et locaux ; exige des agents sur tout le parc |
| DLP réseau | Un équipement en bordure de réseau inspecte le trafic qui le traverse | Efficace sur l'e-mail et les protocoles ; aveugle au trafic chiffré et aux canaux non couverts |
| DLP cloud | Analyse les données au repos dans le cloud et les SaaS via des API | Couvre les données déjà dans le cloud, pas les données en transit |
DLP versus notions voisines
Le DLP est souvent confondu avec des outils qui travaillent à côté de lui.
| Notion | Ce qu'elle fait | Ce qui distingue le DLP |
|---|---|---|
| Antivirus | Détecte le code malveillant | Le DLP surveille des applications légitimes utilisées pour déplacer des données sensibles. Les deux se complètent. |
| Gestion des droits numériques (DRM) | Limite ce que les utilisateurs autorisés font d'un contenu, par exemple l'imprimer | Le DLP empêche les données sensibles de quitter l'environnement contrôlé |
| Simple surveillance | Journalise les transferts pour l'audit | Le DLP applique aussi : il bloque, met en quarantaine ou alerte |
Facteurs réglementaires
L'adoption du DLP répond souvent à des exigences de conformité : principes de protection des données du RGPD, garanties de la HIPAA pour les informations de santé protégées, contrôles PCI DSS pour les données de porteurs de carte et réglementations sectorielles comme la GLBA, la SOX ou NIS2. Quand le contrôle porte sur l'activité des salariés, s'y ajoutent l'information préalable, la consultation du CSE et les recommandations de la CNIL.
Les régulateurs attendent des organisations qu'elles prouvent leur maîtrise des données réglementées, pas qu'elles la promettent. Le DLP en fournit les preuves : détection, blocage et piste d'audit.
Pour aller plus loin : Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne; Comment acheter un système DLP ?.
La plupart des données ne sortent pas à la suite d'une attaque. Elles sortent au fil d'une journée de travail ordinaire, un transfert d'apparence légitime après l'autre.
Équipe AnexetComment Anexet traite ce sujet
Le module DLP d'Anexet met en œuvre les trois capacités fondamentales via des agents de poste déployés on-premise :
Anexet fonctionne entièrement on-premise, sans accès de l'éditeur aux données du client. Règles de classification, contenus capturés, dossiers d'enquête et journaux d'audit restent dans l'infrastructure de l'organisation. C'est important dans les secteurs soumis à des obligations de résidence des données, comme la banque, l'administration et la défense, où un DLP hébergé dans le cloud n'est pas envisageable.
Classification
170 thésaurus prêts à l'emploi, plus des thésaurus personnalisés en 12 langues, des banques de hachages pour la correspondance exacte de fichiers, des banques d'empreintes numériques pour les modèles de documents et les étiquettes de confidentialité Microsoft, le tout configuré de façon centralisée sur le serveur.
Surveillance
Les agents interceptent le trafic réseau (HTTP/HTTPS, FTP, SMTP), l'e-mail (y compris les connecteurs Microsoft 365 et Exchange), les applications de stockage cloud, la messagerie instantanée, les périphériques amovibles, l'impression, le presse-papiers et les captures d'écran. Le contenu est capturé sur le poste avant que le chiffrement du transport ne le masque.
Application
Les règles de blocage se déclinent en 11 types, du HTTP(S), de l'e-mail et de l'impression aux supports amovibles et aux fichiers de messagerie. Un type s'appuie sur les objets de classification : correspondance de thésaurus, hachage, empreinte ou étiquette de confidentialité. Les e-mails bloqués peuvent être placés en quarantaine, et les politiques de sécurité alertent le responsable sécurité.
Anexet DLP
En savoir plus