Liste de Mots Interdits

Une liste de mots interdits remplit une seule fonction : elle indique au système quel contenu mérite un examen plus attentif. La liste, en elle-même, est anodine. Sa valeur vient du canal qu’elle protège, comme le courriel sortant ou les envois de fichiers, où une correspondance peut déclencher une alerte, une quarantaine ou un blocage. Dans un programme de prévention de la perte de données, c’est le moyen le plus rapide de décrire ce qui constitue une information sensible.

L’idée est plus ancienne que n’importe quel produit. Les équipes de sécurité ont toujours nommé ce qui ne doit pas sortir de l’organisation, des noms de projets aux tarifs non publiés. Un dictionnaire transforme ce savoir en une règle que le système applique à chaque message à la fois.

Les listes sont généralement organisées en dictionnaires thématiques plutôt qu’en un seul fichier plat. Une politique peut ainsi invoquer « données de paiement » ou « dossiers RH » au lieu de milliers de termes isolés. Les mentions issues de la classification des données constituent un bon point de départ, car une étiquette que l’équipe applique déjà est un signal fiable.

Les dictionnaires de mots-clés n’exigent aucun enregistrement préalable des documents. Ils peuvent donc signaler des données non structurées que personne n’avait enregistrées, ni même soupçonnées.

Ils sont transparents : un analyste peut lire la règle et comprendre exactement pourquoi elle s’est déclenchée. Ils coûtent peu à exécuter à grande échelle et constituent le moyen naturel d’encoder un savoir propre à une organisation. Un nom de code ne signifie rien pour un modèle général, mais tout pour l’entreprise qui l’emploie.

La recherche brute de mots-clés produit à elle seule des volumes d’alertes inexploitables. Les implémentations pratiques ajoutent les mécanismes suivants, et chacun restreint ce qui compte comme une correspondance.

La technique est imprécise par nature. Un terme peut figurer dans de vrais dossiers, du matériel de formation, une discussion sur la politique ou un contexte sans rapport qui partage le même vocabulaire. Chacun de ces cas est un faux positif, et les faux positifs apprennent aux analystes à ignorer les alertes.

Les faux négatifs viennent de la paraphrase, des abréviations, des fautes d’orthographe délibérées, de la traduction et des contenus devenus images. Les listes se dégradent aussi : les noms de code changent, de nouveaux produits apparaissent, et un dictionnaire que personne ne maintient protège peu à peu les secrets de l’année passée.

Anexet fournit ces thésaurus sous forme de catégories prêtes à l’emploi, que les politiques peuvent citer par leur nom. La liste affiche chaque catégorie avec son nombre de mots et ses recherches, ce qui permet de repérer les jeux bruyants avant la mise en service d’une politique. Ces mêmes catégories sont utilisées dans Anexet DLP.

L’appariement par dictionnaire est une couche, pas une stratégie. Il s’associe généralement à des empreintes de hachage à correspondance exacte pour les fichiers connus, à des empreintes numériques pour les documents les plus importants, et à des classificateurs statistiques ou fondés sur des modèles pour les catégories qui se prêtent mal à l’énumération.

La couche dictionnaire mérite sa place, car elle détecte ce que les autres méthodes ne voient pas : contenus non enregistrés et termes propres à l’organisation. Anexet combine ces approches ; les détails figurent sur la page empreintes numériques et appariement par hachage.

Commencez par les mots dont la fuite causerait le plus de dégâts, puis vérifiez les canaux par lesquels ils circulent réellement. Une politique écrite pour tous les termes à la fois bloque le travail courant, et les gens trouvent le moyen de la contourner.

Pour aller plus loin : Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne.