Sécurité des Données

Chaque contrôle de sécurité des données répond à l'un de trois objectifs, appelés ensemble la triade CIA.

La confidentialité signifie que seules les personnes et systèmes autorisés peuvent lire les données. Le contrôle d'accès, le chiffrement et la surveillance des consultations non autorisées la garantissent. L'intégrité signifie que les données n'ont pas été altérées, corrompues ou manipulées, qu'il s'agisse d'un attaquant, d'un bug ou d'un employé négligent. La disponibilité signifie que les données sont présentes et utilisables lorsqu'un utilisateur légitime en a besoin. C'est pourquoi la sauvegarde, la redondance et la planification de la reprise relèvent aussi de la sécurité des données.

Un contrôle qui protège un objectif peut en affaiblir un autre. Chiffrer tout au niveau le plus strict peut ralentir l'accès légitime que la disponibilité exige. Les programmes réels équilibrent donc les trois objectifs au lieu d'en maximiser un seul.

La plupart des programmes de sécurité des données reposent sur les mêmes types de contrôles, disposés en couches pour qu'une seule défaillance n'expose pas les données.

La sécurité du réseau et des postes de travail ajoute une couche supplémentaire. Pare-feux, contrôle des périphériques et gestion des correctifs réduisent les voies par lesquelles un attaquant peut atteindre les données. Anexet couvre la couche des périphériques avec le contrôle des périphériques.

Ces trois termes sont souvent utilisés comme synonymes, ce qui brouille les budgets comme les intitulés de poste.

La sécurité des données protège les données contre l'accès non autorisé ou la perte. C'est une fonction technique et opérationnelle. La confidentialité des données concerne les droits que les personnes ont sur leurs données personnelles, ainsi que les règles qu'une organisation suit pour les collecter, les utiliser ou les partager. C'est une fonction juridique et réglementaire, qui s'exprime dans des textes comme le RGPD ou l'HIPAA.

La gouvernance des données est le cadre plus large de propriété, de normes de qualité et de droits de décision sur les données en tant qu'actif de l'entreprise. La sécurité et la confidentialité en sont deux composantes, aux côtés de la qualité des données et de la gestion des métadonnées. En pratique, les trois se recoupent sans cesse. Un solide programme de sécurité des données rend réellement applicables la plupart des engagements en matière de confidentialité et de gouvernance, et pas seulement souhaitables.

Les données suivent les mêmes étapes, de leur création à leur destruction, et des contrôles s'appliquent à chacune d'elles. Tout commence par la classification des données.

1. 1

   Création et classification

   Les données sont étiquetées selon leur sensibilité dès leur création ou leur réception, afin que les contrôles suivants sachent avec quelle rigueur les traiter.

2. 2

   Stockage

   Les bases de données, serveurs de fichiers et dépôts cloud appliquent un chiffrement au repos et des restrictions d'accès adaptées à la classification.

3. 3

   Utilisation et partage

   Les employés travaillent sur les données, les copient, les envoient par e-mail ou les téléversent sur des outils collaboratifs. C'est là que surviennent la plupart des fuites, et là que le DLP et la surveillance font le plus gros du travail.

4. 4

   Archivage

   Les données qui ne sont plus activement utilisées sont conservées selon une politique documentée. La surface exposée diminue sans détruire les documents qui doivent être gardés.

5. 5

   Destruction

   À la fin de la durée de conservation, les données sont supprimées ou le support est assaini pour qu'elles ne puissent pas être récupérées. Elles ne s'accumulent pas indéfiniment.

Une règle de blocage dans Anexet DLP peut cibler des données selon leur étiquette de sensibilité Microsoft ou selon le contenu d'un transfert web, à l'aide de motifs intégrés pour les numéros de carte bancaire et les adresses e-mail, ou d'une expression régulière personnalisée. Les deux captures ci-dessous montrent les deux types de conditions.

1 / 2

• 
• 

Les contrôles techniques sont bien connus. La plupart des échecs réels viennent de la manière dont ils sont appliqués.

La classification est omise ou appliquée de façon incohérente, si bien que les règles DLP et les politiques d'accès protègent les mauvaises choses, voire rien. Les contrôles sont configurés une seule fois au déploiement et jamais révisés, alors que l'organisation ajoute de nouveaux services cloud, des outils de partage de fichiers et des modes de travail à distance absents du modèle de menace initial.

La surveillance échoue aussi lorsque personne n'examine les journaux. Un incident est alors découvert des semaines plus tard, et non en temps réel. La cause isolée la plus fréquente reste l'insider : un employé qui emporte des données en partant, un prestataire qui manipule mal un fichier, ou simplement une erreur humaine. C'est pourquoi la visibilité sur ce que les personnes font réellement des données comble des lacunes que les défenses périmétriques laissent ouvertes. Le versant humain de ce risque relève de la détection de menace interne.

Les journaux ne servent que si quelqu'un les examine. Cette vue affiche les incidents qui n'ont pas encore été consultés, avec leur statut et un graphique de statistiques. Les examiner est le cœur de l'investigation sur les incidents de sécurité.

Commencez par les données dont la fuite causerait les plus gros dégâts, puis cartographiez les canaux qu'elles empruntent réellement. Une politique écrite pour tous les fichiers à la fois bloque en général le travail courant et finit désactivée peu après.

Révisez les contrôles selon un calendrier fixe. Un programme de sécurité des données ne vaut que par sa dernière révision.

Pour aller plus loin : Sécurité de l'information des bases de données; Qu'est-ce que la protection technique de l'information ?.