Vol de données et perte de données
La perte de données est toute exposition non autorisée de données, intentionnelle ou non. Un employé qui envoie par erreur un tableur à la mauvaise personne provoque une perte de données.
Le vol de données est toujours délibéré. La personne retire sciemment des données qu'elle ne devrait pas emporter, dans l'intention de les utiliser en dehors de l'intérêt de l'organisation.
La différence tient à l'intention, ce qui compte pour la prévention, l'investigation et la réaction. La perte accidentelle se traite par la formation, les contrôles de processus et un DLP qui intercepte les erreurs. Le vol exige des contrôles qui tiennent compte de l'évasion : le voleur dissimule ses actions, utilise des canaux autorisés pour se fondre dans la masse et efface ses traces.
Ce qui est généralement volé
La propriété intellectuelle est souvent emportée par des employés qui rejoignent un concurrent. Les données clients servent à la fraude, à l'intelligence économique ou sont vendues à des tiers. Les identifiants ouvrent un accès supplémentaire ou se vendent sur des marchés criminels.
| Catégorie | Ce qu'elle comprend |
|---|---|
| Propriété intellectuelle | Code source, plans d'ingénierie, travaux de recherche, formules, plans produits |
| Données clients | Listes de contacts, données de comptes, historiques d'achats |
| Données financières | Modèles de tarification, conditions contractuelles, états financiers, informations sur les fusions et acquisitions |
| Identifiants | Mots de passe, clés API et certificats |
| Informations stratégiques | Plans d'affaires, stratégies marketing, positions de négociation, dépôts réglementaires |
Qui vole des données
Les données sont volées par plusieurs catégories d'initiés et d'attaquants extérieurs :
- Les employés partants : une catégorie importante. Les salariés qui ont accepté une offre concurrente ou ont appris leur licenciement peuvent copier des données dans les semaines précédant leur départ.
- Les initiés mécontents : salariés animés par un ressentiment, un sentiment d'injustice ou un désaccord idéologique, qui peuvent voler des données pour nuire à l'organisation ou la dénoncer.
- Les initiés motivés par l'argent : personnes qui volent des données pour les vendre, commettre une fraude ou profiter d'une activité parallèle.
- Les comptes compromis : attaquants extérieurs qui obtiennent des identifiants légitimes et agissent comme un employé. L'intention est externe, mais l'accès et l'activité sont internes.
- Les logiciels malveillants : chevaux de Troie voleurs d'informations et APT qui automatisent la collecte et l'exfiltration des données.
Méthodes courantes
Le vol de données emprunte les mêmes canaux que le travail légitime, ce qui le rend difficile à distinguer sans inspection du contenu. La colonne de droite indique quelle partie du DLP sur les postes de travail surveille chaque canal.
| Canal | Comment les données sortent | Ce qu'Anexet surveille |
|---|---|---|
| Comptes cloud personnels | Envoi vers Google Drive, Dropbox ou OneDrive personnels depuis un poste de travail | Contrôle des envois vers le stockage cloud |
| Messagerie personnelle | Envoi de fichiers vers une adresse personnelle pour un accès ultérieur | Interception des courriels |
| Supports amovibles | Copie sur clés USB, disques externes ou supports optiques | Contrôle des périphériques avec copies de sauvegarde |
| Applications de messagerie | Envoi de fichiers via WhatsApp, Telegram, Signal ou des plateformes collaboratives | Surveillance des messageries et des discussions d'équipe |
| Impression | Impression de documents sensibles pour les emporter sur papier | Surveillance de l'impression |
| Préparation des données | Regroupement de fichiers dans une archive avant le transfert, pour réduire les actions visibles | Score de risque comportemental |
| Photographie de l'écran | Photo de l'écran avec un téléphone, en contournant totalement les canaux numériques | Indirectement, via des signaux comportementaux |
Pourquoi le vol de données est difficile à détecter
Le défi central tient à ce que chaque action est légitime prise isolément. Un employé qui envoie un fichier, écrit un courriel ou copie sur une clé USB fait ce que font habituellement les employés. Le vol n'apparaît que dans des schémas : ce qui est déplacé (contenu sensible), quand (à l'approche du départ), combien (au-delà de la référence habituelle) et vers où (comptes personnels, destinations externes).
La détection exige donc quatre types de signaux, et l'analyse comportementale des utilisateurs et entités (UEBA) combine les signaux comportementaux :
- Inspection du contenu : ce qui est déplacé.
- Référence comportementale : si l'activité est inhabituelle pour cet utilisateur.
- Contexte : si l'utilisateur part, fait l'objet d'une enquête ou accède à des données inhabituelles.
- Surveillance des canaux : si la destination est personnelle ou externe.
À quoi cela ressemble dans Anexet
Copier-coller au sein d'un même poste déplace des données sans aucun transfert de fichier, il faut donc un journal propre à cette action. Anexet le suit avec la surveillance du presse-papiers : chaque copie est reliée à sa source et chaque collage à sa destination.
Ce que coûte le vol de données
L'impact du vol de données dépasse les données elles-mêmes et se manifeste souvent sous plusieurs formes à la fois :
- Préjudice concurrentiel : la propriété intellectuelle ou les plans stratégiques volés profitent directement aux concurrents.
- Préjudice pour les clients : les données clients volées permettent la fraude, l'usurpation d'identité et les atteintes à la vie privée.
- Sanctions réglementaires : les données réglementées déclenchent des obligations de notification et des amendes possibles (RGPD, HIPAA, CCPA).
- Atteinte à la réputation : la divulgation publique érode la confiance des clients et des partenaires.
- Coûts juridiques : enquête, contentieux et procédures pénales éventuelles.
Par où commencer
Commencez par les données dont la fuite serait la plus dommageable, puis par les canaux qu'elles empruntent réellement. Les politiques écrites pour tous les fichiers à la fois finissent par bloquer le travail et sont désactivées.
La prévention repose sur un ensemble de contrôles, pas sur un transfert bloqué isolément. Le guide prévention du vol de données présente l'ensemble complet.
Pour aller plus loin : Top 5 des types de données que les concurrents tentent de voler; Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.
Une fuite ressemble rarement à une attaque. Elle ressemble à une journée de travail ordinaire, un transfert après l'autre.
Anexet TeamComment Anexet traite ce sujet
Anexet traite le vol de données par la combinaison de ses modules DLP et de contrôle des périphériques :
L'architecture on-premise garantit que les données de surveillance, les scores de risque et les pièces des dossiers restent dans l'infrastructure de l'organisation, un point important, car les données d'une investigation pour vol sont elles-mêmes sensibles.
Détection fondée sur le contenu
empreintes numériques des documents protégés, banques d'empreintes pour des fichiers précis, thésaurus de sécurité pour les termes liés à la propriété intellectuelle et intégration des étiquettes de sensibilité, de sorte que le vol de données à forte valeur est détecté par ce qui circule, et pas seulement parce que quelque chose circule.
Contrôle des périphériques
le module de contrôle des périphériques surveille et peut bloquer les supports amovibles (USB, disques externes, supports optiques, appareils mobiles utilisés comme stockage) par type de périphérique, numéro de série ou identifiant matériel. Les politiques d'écriture avec copie fantôme conservent une copie de chaque fichier écrit sur un support externe, créant une piste d'audit même lorsque l'écriture est autorisée.
Couverture complète des canaux
les agents installés sur les postes surveillent la messagerie, le trafic web, les applications de stockage cloud, les messageries instantanées, l'impression, le presse-papiers et la capture d'écran, les canaux par lesquels le vol se produit.
Application des blocages
les politiques peuvent bloquer les transferts correspondant à du contenu sensible, les mettre en quarantaine pour examen ou déclencher une alerte.
Score de risque comportemental
le moteur d'analyse de risque signale les utilisateurs dont le comportement suggère une constitution de stock ou une préparation de vol, y compris autour des événements de départ.
Investigations et éléments probants
le module d'investigations constitue des dossiers structurés à partir des événements détectés, avec export des éléments pour un usage juridique ou disciplinaire.
Fonctionnalité de contrôle des périphériques
En savoir plus