Déversement, fuite et exfiltration
Déversement, fuite et exfiltration décrivent des événements différents, et les confondre conduit à une mauvaise réponse. Une fuite de données signifie que des données sensibles deviennent accessibles hors du contrôle de l'organisation. L'exfiltration de données est le cas délibéré, où quelqu'un sort les données pour atteindre précisément ce résultat.
Le déversement est le plus précoce et le plus courant des trois : il ne requiert aucun attaquant, le travail routinier le produit. Un fichier est enregistré au mauvais endroit, une copie de test est créée à partir d'enregistrements réels ou une pièce jointe atteint un public plus large que prévu. Les données restent souvent au sein de l'organisation, c'est pourquoi le déversement relève d'abord du confinement.
Comment les déversements se produisent
Les déversements naissent du travail courant. Les voies les plus fréquentes :
- Mauvaise destination : un document Restreint enregistré sur un partage d'équipe général, un dossier de projet ou un lecteur personnel à l'accès plus large.
- Transfert entre niveaux : des données d'un système à classification plus élevée collées ou exportées vers un niveau inférieur, y compris des environnements de test et de développement alimentés par des données de production.
- Plateformes collaboratives : un fichier ajouté à un canal ou à un espace de travail dont les membres dépassent le public visé, ou partagé par un lien faiblement cadré.
- Courriel et messagerie : une pièce jointe envoyée à une liste de diffusion, ou ajoutée à un fil qui inclut ensuite des participants externes.
- Agrégation : des extraits individuellement inoffensifs réunis dans un rapport plus sensible que l'environnement qui le contient.
Pourquoi le nettoyage est plus difficile
Supprimer des données déversées revient rarement à effacer un seul fichier. Les environnements modernes dupliquent le contenu automatiquement, et la suppression n'efface pas toujours les données, un effet connu sous le nom de rémanence. Les copies subsistent généralement à ces endroits :
| Où subsistent les copies | Pourquoi elles restent |
|---|---|
| Clients de synchronisation, versions et caches | Conservent des copies que l'utilisateur n'a jamais créées délibérément |
| Sauvegardes et archives | La sauvegarde suivante le capture ; la rétention peut l'interdire |
| Index de recherche et aperçus | Conservent le contenu après la disparition de l'original |
| Diffusion ultérieure | Les destinataires transfèrent ou repartagent avant que le déversement soit remarqué |
| Rémanence | La suppression libère l'espace sans effacer les données sous-jacentes |
Contenir le déversement
Un confinement efficace combine prévention et détection. La prévention consiste à gouverner les chemins suivis par les données : contrôler les transferts entre niveaux de classification, restreindre la synchronisation vers des comptes cloud personnels, cadrer strictement les espaces collaboratifs et ne jamais alimenter des environnements de test avec de vrais enregistrements de production. Tout cela relève du contrôle des flux de données.
La détection suppose une surveillance des dépôts et des canaux qui tient compte du contenu, afin de repérer le déversement tant qu'il reste en un seul endroit. Dans Anexet, chaque transfert est comparé à des ensembles de mots-clés, des règles de motifs et des bases de hachage, et une règle de blocage des transferts peut l'arrêter avant son achèvement.
1 / 2
Réagir à un déversement
La réponse formelle considère l'identification et la délimitation comme l'effort principal :
- 1
Trouver chaque occurrence
Localiser chaque copie des données déversées, y compris aux emplacements cités plus haut.
- 2
Décider de l'assainissement ou de la destruction
Déterminer si les données doivent être assainies ou détruites.
- 3
Documenter le résultat
Consigner ce qui a été trouvé et les actions menées.
Dimension réglementaire
Un déversement peut être un événement à notifier même sans exposition externe. Lorsque les règles de protection des données exigent des mesures techniques et organisationnelles adaptées, des enregistrements sensibles dans un environnement qui en est dépourvu constituent une défaillance de contrôle.
Sous le RGPD, l'accès interne non autorisé aux données personnelles est traité comme une catégorie de violation à part entière. La réponse à un déversement inclut donc généralement l'examen des obligations de notification.
Par où commencer
Commencez par les données dont la fuite causerait le plus de dégâts, puis cartographiez les canaux qu'elles empruntent réellement. Une politique qui couvre tous les fichiers d'un coup bloque le travail courant, et les collaborateurs apprennent vite à la contourner.
Pour aller plus loin : Fuite technique d'informations : de quoi s'agit-il et comment s'en protéger ?.
Un déversement ressemble rarement à une attaque. Il ressemble à une journée de travail ordinaire, avec un fichier enregistré au mauvais endroit.
Anexet TeamComment Anexet traite ce sujet
Anexet traite le déversement au point où les données se dirigent vers le mauvais endroit et conserve l'enregistrement nécessaire pour délimiter un déversement a posteriori :
Politiques de transfert sensibles au contenu
les transferts sont évalués selon le contenu des données : thésaurus de sécurité (dictionnaires prêts à l'emploi), règles de motifs pour les identifiants structurés, bases de hachage pour les correspondances exactes de fichiers, bibliothèques d'empreintes numériques pour les modèles de documents et étiquettes de sensibilité, et non seulement selon la destination.
Couverture des canaux
les agents sur les postes surveillent le courriel, les envois web, les applications de stockage cloud, les messageries, les supports amovibles, l'impression et le presse-papiers, soit les voies par lesquelles les données atteignent des environnements non autorisés.
Blocage et mise en quarantaine
un transfert vers un lieu où son contenu ne doit pas aller peut être bloqué ou mis en quarantaine pour analyse, au lieu de s'achever en silence.
Piste d'audit pour la délimitation
chaque événement est enregistré avec l'utilisateur, l'horodatage, le canal, la classification du contenu et l'action menée, afin que les équipes puissent reconstituer où le contenu a été et jusqu'où il s'est propagé.
Architecture on-premise
politiques, contenus capturés et journaux restent dans l'infrastructure propre de l'organisation.
Anexet DLP
En savoir plus