Classification par Défaut

La classification par défaut est le niveau de sensibilité attribué automatiquement aux données lorsque personne n'en a choisi un autre. Elle constitue la couche de repli d'un schéma de classification des données et s'applique à chaque fichier, message ou enregistrement nouveau qui arrive sans décision associée.

Ce réglage compte, car la plupart des données ne sont jamais examinées par une personne. Un partage de fichiers typique contient des milliers de documents que personne n'a étiquetés, donc un seul paramètre détermine le traitement de la plus grande partie du parc. Un même document peut être ouvert à tous avec un niveau par défaut et strictement réservé avec un autre, et les données sensibles sont les premières exposées lorsque ce paramètre est mal réglé.

Le niveau par défaut peut être défini à plusieurs endroits. Les organisations en ont généralement plusieurs en vigueur à la fois, et le résultat est porté par le document sous forme d'étiquette descriptive :

La valeur par défaut détermine ce qui se passe lorsqu'aucune décision n'a été prise. C'est précisément la situation que les contrôles de sécurité doivent supporter.

Les schémas matures placent la valeur par défaut un cran au-dessus de Public. Cela protège par omission sans bloquer le travail courant, et les niveaux supérieurs restent réservés aux décisions explicites ou aux correspondances automatiques fiables. Les deux extrêmes échouent de façon opposée :

• Une valeur par défaut permissive (Public ou Non classifié) échoue en mode ouvert. Les données sensibles non étiquetées circulent librement, et chaque lacune d'étiquetage devient une lacune de protection.
• Une valeur par défaut restrictive (Interne ou Confidentiel) échoue en mode fermé. Rien ne reste sans protection par omission, mais la surclassification s'ensuit. Les utilisateurs se heurtent à des blocages dans leur travail courant, demandent des exceptions et finissent par considérer les étiquettes comme du bruit.

Fixer une valeur par défaut trop élevée semble prudent, mais coûte autrement. Lorsque la plupart des documents portent un niveau qui impose un traitement strict, ce niveau ne distingue plus rien. Les relecteurs approuvent les exceptions en masse, et les utilisateurs apprennent que le marquage ne veut pas dire ce qu'il dit.

Les documents réellement sensibles finissent par être traités avec la même légèreté qu'un ordre du jour de réunion. La classification ne fonctionne que si les niveaux les plus élevés restent rares. La valeur par défaut doit donc être un niveau que l'organisation peut assumer sur des milliers de fichiers ordinaires.

Dans Anexet DLP, une règle de blocage peut lire une étiquette de sensibilité Microsoft comme condition, et les jeux de mots-clés intégrés reconnaissent les contenus sensibles qui ne portent aucune étiquette. Les deux voies comptent lorsque la valeur par défaut est le seul niveau qu'a un fichier.

1 / 2

• 
• 

Les valeurs par défaut gouvernent les données nouvelles. Plus difficiles sont les données non structurées accumulées pendant des années, comme les partages de fichiers et les boîtes aux lettres, qui n'ont en général aucune étiquette. Appliquer rétroactivement une valeur par défaut laisse tout ce parc sous-protégé ou le sur-protège, c'est pourquoi la démarche habituelle comporte trois étapes :

1. 1

   Lancer une passe de découverte

   Inspecter le contenu des partages de fichiers et des boîtes aux lettres.

2. 2

   Proposer des niveaux là où ils comptent

   Suggérer des niveaux pour les registres réglementés, les contrats et les identifiants.

3. 3

   Laisser le défaut couvrir le reste

   La valeur par défaut traite la longue traîne des données ordinaires.

La valeur par défaut n'est pas un réglage ponctuel. Revoyez-la lorsque l'entreprise change ce qu'elle traite, par exemple avec de nouvelles données réglementées ou de nouveaux marchés. Une hausse du nombre d'exceptions indique qu'elle est trop stricte. Les revues d'incidents qui trouvent des données non étiquetées au cœur d'une fuite indiquent qu'elle est trop permissive.

La valeur par défaut détermine aussi le comportement de la prévention de la perte de données sur les données que personne n'a touchées. Un mauvais réglage se manifeste donc soit par un travail bloqué, soit par une fuite. Surveillez les deux signaux.

• Ajouter un nouveau type de données réglementées sans revoir la valeur par défaut.
• Considérer la liste croissante d'exceptions comme normale au lieu d'y voir un signal.
• Supposer qu'un rapport d'étiquetage propre signifie qu'il ne reste aucune donnée non étiquetée.

Commencez par les données dont la fuite causerait le plus de dégâts, puis choisissez une valeur par défaut qui couvre le reste sans bloquer le travail courant. La valeur par défaut est la règle qui s'applique lorsque personne n'a décidé. Elle doit donc être une règle que l'organisation peut défendre chaque jour.