Gestion de la Posture de Sécurité des Données (DSPM)

Data Security Posture Management (DSPM) part d'un constat simple : la plupart des organisations ne peuvent pas affirmer avec certitude où se trouvent leurs données sensibles. Des copies d'enregistrements clients finissent dans des bases de test, des fichiers personnels glissent vers des dossiers partagés et d'anciens exports restent sur des ordinateurs portables. Le DSPM répond d'abord à la question qui précède tous les autres contrôles : quelles données sont sensibles, où sont-elles et qui peut y accéder ?

Un programme DSPM travaille sur les données elles-mêmes, et pas seulement sur le périmètre. Les constats sont regroupés par classification des données, comme les données personnelles, financières, de santé ou d'identifiants, ce qui montre dans quels endroits, que personne n'avait prévus, se trouvent des données sensibles.

Le travail DSPM répète en général les mêmes quatre étapes, chacune alimentant la suivante.

1. 1

   Découvrir

   Analyser les emplacements de stockage et les dépôts de fichiers pour dresser l'inventaire des endroits où les données se trouvent réellement.

2. 2

   Classer

   Étiqueter les données trouvées selon leur sensibilité et leur type, à l'aide de la correspondance de motifs et de l'analyse de contenu.

3. 3

   Cartographier l'exposition

   Relier chaque entrepôt de données aux personnes, rôles et systèmes qui peuvent le lire ou le copier.

4. 4

   Prioriser

   Classer les constats selon leur impact réel, pour traiter d'abord les copies les plus exposées.

L'adoption du cloud, les plateformes de données en libre-service et la copie routinière de données de production vers des environnements de test, d'analyse et de sauvegarde ont fait se disperser les données sensibles bien au-delà des systèmes conçus pour les héberger. Les anciens contrôles supposaient que les équipes savaient déjà où ces données se trouvaient. Le DSPM part de l'hypothèse inverse : localiser les données est la première étape, et la plus difficile.

La réglementation est allée dans le même sens. Le RGPD, HIPAA et PCI DSS attendent d'une organisation qu'elle sache où résident les données réglementées et qui peut y accéder. Une copie oubliée dans un dossier non cartographié est une faille, même sans fuite, et ces copies apparaissent souvent dans des outils de Shadow IT que personne n'a approuvés.

Le DSPM est souvent confondu avec deux catégories voisines. Les trois traitent du risque lié aux données, mais chacune observe une couche différente, c'est pourquoi un programme complet nécessite généralement plus d'une d'entre elles.

Le DSPM restreint la question à l'emplacement des données sensibles et à ceux qui peuvent les atteindre. La prévention des pertes de données couvre l'autre face du même problème : elle surveille les données en mouvement et en usage, et bloque ou journalise les transferts qui enfreignent la politique. Les deux se complètent bien, car le DSPM indique quelles données méritent une règle, et le DLP l'applique.

Le CSPM est la couche infrastructure et vérifie la configuration des comptes cloud. Un contrôle Cloud DLP ne protège que les entrepôts visés, si bien que l'inventaire du DSPM montre jusqu'où ce contrôle doit aller.

Côté postes de travail, les agents Anexet comparent les empreintes de fichiers sur les ordinateurs gérés avec des banques de hachages de documents confidentiels. L'onglet File system de la console d'administration montre quelles banques s'appliquent à chaque profil. Les thésaurus ajoutent une analyse de contenu : un jeu de mots-clés intégré peut signaler un texte correspondant à des termes comme carte de crédit ou mots liés aux paiements.

La surveillance du système de fichiers ne fonctionne que sur les ordinateurs inscrits dans la liste d'indexation, si bien que c'est l'administrateur qui définit la portée de l'inventaire. Les détails du module figurent sur la page du logiciel DLP.

1 / 2

• 
• 

Le DSPM montre la carte, mais il ne modifie pas à lui seul ce qu'elle représente. La plupart des plateformes signalent des constats et des recommandations, et quelqu'un doit encore modifier une autorisation, supprimer une copie périmée ou transmettre l'alerte à l'équipe responsable du système. La précision de la classification varie également : les champs structurés, comme les numéros de carte, sont classés de façon fiable, alors que le texte libre et les formats inhabituels génèrent davantage de faux positifs et de faux négatifs.

• Considérer le premier scan comme l'inventaire définitif. Les données bougent chaque jour, un scan propre du trimestre dernier dit peu de chose d'aujourd'hui.
• Ouvrir des constats sans responsable. Les points dont personne ne répond restent ouverts et érodent la confiance dans l'ensemble du programme.
• Copier un tableau de bord au lieu de corriger l'exposition. Une carte que personne n'utilise laisse les mêmes risques, simplement documentés.

Commencez par les entrepôts dont la fuite causerait le plus de dégâts, puis vérifiez quels canaux copient des données à partir de ceux-ci. Une carte construite autour des données importantes reste utile pendant des mois, alors qu'une carte de tout est ignorée en quelques semaines.

Pour aller plus loin : Sécurité de l'information des bases de données; Le concept de « Zero Trust ».