Vol de données et perte de données
La distinction compte pour la stratégie de prévention. La prévention du vol est plus ciblée que le DLP général. Elle suppose un adversaire intentionnel, souvent un initié, qui cherchera à contourner les contrôles, et non un utilisateur négligent qui commet des erreurs.
Les contrôles doivent donc anticiper le contournement : chiffrement pour masquer le contenu, regroupement des données avant le transfert, usage de canaux autorisés pour se fondre dans l'activité normale et sortie physique par support amovible.
La perte de données désigne toute exposition non autorisée, y compris accidentelle, comme un e-mail envoyé à la mauvaise personne. Le vol de données est le retrait délibéré de données à des fins illicites, par exemple la revente de secrets commerciaux.
Quelles données sont dérobées
Les cibles de plus grande valeur sont généralement la propriété intellectuelle, comme le code source, les plans d'ingénierie, les données de recherche, les feuilles de route produit et les procédés brevetés. Les données clients, comme les bases de contacts et les historiques d'achat, sont elles aussi précieuses pour la fraude et l'intelligence concurrentielle.
Sont également visées les données financières, comme les modèles tarifaires, les conditions contractuelles, les états financiers et les projets de fusion-acquisition, les mots de passe, jetons d'API et certificats qui ouvrent de nouveaux accès, ainsi que les plans stratégiques, comme les plans d'affaires, les stratégies marketing et les positions de négociation.
Les couches de prévention
Une prévention efficace superpose les contrôles, de sorte que la disparition d'une seule couche laisse les autres en place. Chaque couche répond à une question différente, de qui peut accéder aux données à ce qui est écrit sur une clé USB :
| Couche | Ce qu'elle fait |
|---|---|
| Gouvernance des accès | Limite qui accède aux données sensibles, avec revues régulières des droits. |
| Inspection de contenu et DLP | Bloque ou isole un contenu sensible envoyé vers une cible non autorisée. |
| Contrôle des périphériques | Restreint les supports amovibles et garde une copie fantôme des écritures. |
| Surveillance des canaux | Observe e-mail, envois cloud, messageries, téléversements web, FTP et impression. |
| Surveillance comportementale (UEBA) | Détecte regroupements de données, accès hors périmètre et volumes croissants. |
| Visibilité sur le poste | Voit les canaux locaux : copies sur USB, presse-papiers et captures d'écran. |
| Audit et éléments probants | Enregistre qui, quoi, quand, par quel canal et quel contenu était concerné. |
Le risque lié au départ
Une part importante des vols de données se produit lors des transitions professionnelles : salariés qui partent chez un concurrent, prestataires en fin de mission, personnes informées de leur licenciement. Dans les semaines qui précèdent le départ, la personne a à la fois un motif (préparer son nouveau poste) et une occasion (l'accès légitime reste actif).
Les programmes de prévention traitent spécifiquement cette fenêtre. Il s'agit d'une surveillance des activités fondée sur le risque, pendant une période connue pour être sensible, et non d'une surveillance des personnes. Elle s'applique de façon homogène et est encadrée par une politique.
- 1
Observer les départs
Surveillance renforcée de l'activité des personnes qui vont bientôt quitter l'entreprise.
- 2
Réduire les accès
La revue des accès et la réduction des privilèges commencent dès la notification du départ.
- 3
Alerter sur les mouvements massifs
Des alertes automatiques se déclenchent en cas d'accès ou de transfert massif de données par un utilisateur sur le départ.
- 4
Fermer les accès à la sortie
Les procédures de sortie révoquent rapidement les accès et auditent l'activité récente.
Pourquoi prévenir suppose aussi détecter
Aucun ensemble de contrôles ne rend le vol impossible : un initié déterminé disposant d'un accès légitime trouvera des failles.
Une prévention efficace intègre donc la détection des menaces internes : la capacité à identifier qu'un vol est en cours ou a eu lieu, à l'investiguer et à agir. La prévention réduit la surface d'attaque, et la détection rattrape ce qui passe. Les deux sont complémentaires, et non alternatives.
À quoi cela ressemble dans Anexet
Dans Anexet DLP, les contrôles sur les supports amovibles et le presse-papiers se configurent sous forme de règles, et chaque règle peut journaliser ce qu'elle a bloqué.
1 / 2
Par où commencer
Commencez par les données dont la fuite causerait le plus de dégâts, puis cartographiez les canaux qu'elles empruntent réellement. Des politiques écrites pour tous les fichiers à la fois finissent par bloquer le travail courant et sont désactivées.
Associez la prévention à la détection dès le premier jour, pour qu'un vol en cours ne dépende pas de la chance.
Pour aller plus loin : Top 5 des types de données que les concurrents tentent de voler; Prévention des fuites de données par les super-utilisateurs.
Un vol ressemble rarement à un vol. Il ressemble à un fichier de plus copié un jour de travail ordinaire.
Anexet TeamComment Anexet traite ce sujet
L'architecture d'Anexet répond directement aux couches de prévention décrites ci-dessus :
L'architecture on-premise constitue elle-même une mesure de prévention : l'éditeur n'ayant aucun accès aux données du client, il n'existe pas de chemin externe vers les données de surveillance, les règles de classification ou les éléments collectés.
Inspection de contenu
Les thésaurus de sécurité, banques de hachages, bibliothèques d'empreintes numériques et l'intégration des étiquettes de sensibilité détectent le déplacement d'un contenu protégé. La détection s'appuie sur une propriété intellectuelle précise, et non sur de simples motifs génériques.
Contrôle des périphériques
Le module de contrôle des périphériques surveille et peut bloquer les stockages amovibles (clés USB, disques externes, supports optiques et appareils mobiles connectés comme stockage) selon le type de périphérique, le numéro de série, l'identifiant fabricant ou l'identifiant produit. Les politiques vont du blocage complet à l'écriture avec copie fantôme, où une copie de chaque fichier écrit sur un support externe est conservée pour l'audit.
Couverture des canaux
Les agents installés sur les postes surveillent la messagerie, le trafic web, les applications de stockage cloud, la messagerie instantanée, l'impression, le presse-papiers et la capture d'écran, c'est-à-dire les canaux par lesquels le vol se produit.
Application des blocages
Les politiques bloquent les transferts correspondant à un contenu sensible, les placent en quarantaine pour examen ou déclenchent une alerte, selon la gravité.
Score de risque comportemental
Le moteur d'analyse de risque signale les utilisateurs dont le comportement suggère une constitution de données ou la préparation d'un vol, y compris autour d'un départ.
Export des éléments probants
Le module d'investigations constitue des dossiers structurés à partir des événements détectés, exportables pour un usage juridique ou disciplinaire. C'est la piste d'audit qu'exige la prévention du vol.
Fonctionnalité de contrôle des périphériques
En savoir plus