Méthodes en usage
| Méthode | Ce que cela recouvre |
|---|---|
| Pièces jointes | Universelles, tracées par défaut dans la messagerie d'entreprise, limitées en taille |
| Téléversements web | Fichiers déposés dans une application web : portail, formulaire, convertisseur |
| Synchronisation cloud | Fichier placé dans un dossier synchronisé, transféré sans envoi explicite |
| Transfert de fichiers géré (MFT) | Plateformes avec authentification, chiffrement, planification et journal complet |
| Transferts par protocole | Points de terminaison SFTP, FTPS et HTTPS utilisés par intégrations et scripts |
| Messagerie et collaboration | Fichiers envoyés dans des discussions, canaux ou appels |
| Partage par lien et pair à pair | Services générant une URL utilisable par tous, détachée de l'identité |
Transfert géré contre transfert ad hoc
La différence de sécurité tient à la responsabilisation. Le transfert géré offre à l'organisation des points de terminaison connus, un chiffrement imposé, un accès lié à l'identité et un enregistrement durable de ce qui a été envoyé, quand, par qui et s'il est bien arrivé. Le transfert ad hoc, comme une pièce jointe, un téléversement ou un lien partagé, est rapide, mais il ne produit de façon fiable rien de tout cela. La plupart des organisations utilisent les deux : des flux gérés pour les données métier récurrentes et volumineuses, et le transfert ad hoc pour tout le reste. C'est précisément là que se concentre l'exposition.
Les flux gérés sont les chemins que le contrôle des flux de données peut autoriser nommément, si bien que la voie approuvée reste la plus simple.
Propriétés de risque
- Volume en une seule action: Un envoi accidentel peut divulguer un jeu complet d'enregistrements
- Ambiguïté de la destination: La même interface sert un portail approuvé et un compte personnel
- Chiffrement en transit: TLS protège de l'interception, mais masque le contenu à l'inspection réseau
- Persistance des liens: Les liens partagés survivent à leur raison d'être, sauf expiration imposée
- Traitement par des tiers: Le service externe fixe la conservation, l'accès et la juridiction
Comment les transferts sont contrôlés
Le contrôle combine chemin et contenu. Les contrôles de chemin définissent quelles méthodes et destinations sont permises pour quelles données et quels utilisateurs : MFT approuvé pour les flux réglementés, synchronisation cloud personnelle bloquée, partage externe encadré avec expiration. Les contrôles de contenu évaluent le fichier lui-même avant la fin du transfert, à l'aide de la classification, de dictionnaires de mots-clés, de motifs de données structurées, de hachages de fichiers exacts et d'empreintes de documents. Ils autorisent, avertissent, mettent en quarantaine ou bloquent. Comme les transferts ont un double usage, les actions graduées comptent ici plus qu'ailleurs. Bloquer complètement un canal produit de façon fiable un contournement par un canal moins visible.
Le contrôle du contenu est au cœur de la prévention des pertes de données (DLP) et s'exécute avant la fin du transfert.
Blocage des transferts dans la messagerie
Les transferts de fichiers dans les messageries relèvent d'une règle de blocage distincte, dont l'objet de la condition est le type de messagerie ou ses membres.
Les services de stockage cloud se contrôlent un par un. Dans le tableau du contrôle du stockage cloud, chaque service a son propre réglage d'accès, d'audit et de copie fantôme, et chaque client de synchronisation suit ces règles.
1 / 2
Registres et conformité
Les registres de transfert sont des preuves. Les règles de conservation, les évaluations de violations et les demandes des personnes concernées reposent toutes sur la capacité à dire quelles données sont allées où. Les plateformes gérées produisent ce registre nativement. Pour les transferts ad hoc, il doit provenir de la supervision des points de terminaison ou des passerelles. Les restrictions sur les transferts transfrontaliers ajoutent une seconde exigence : connaître la destination, et pas seulement le destinataire.
Les équipes conformité peuvent extraire cet historique directement depuis les rapports de conformité sécurité.
Pour aller plus loin : Prévention des fuites de données par les super-utilisateurs.
Chaque transfert est une décision prise en quelques secondes, le contrôle doit donc fonctionner pendant ces secondes.
Anexet TeamComment Anexet traite ce sujet
Anexet évalue les transferts de fichiers par leur contenu au moment où ils sont initiés, sur les canaux que les utilisateurs empruntent réellement :
Couverture des canaux
pièces jointes, téléversements web, applications de stockage cloud et leurs clients de synchronisation, transferts par messagers et plateformes de collaboration, périphériques amovibles et impression.
Évaluation sensible au contenu
chaque fichier transféré est inspecté à l'aide de thésaurus de sécurité (170 dictionnaires prêts à l'emploi), de règles de motifs pour les identifiants structurés, de banques de hachages pour la correspondance exacte de fichiers, de bibliothèques d'empreintes numériques pour documents et modèles, et d'étiquettes de sensibilité.
Actions graduées
autoriser, journaliser, alerter, mettre en quarantaine pour revue de l'analyste ou bloquer, avec des règles cadrées par utilisateur, groupe, classe de contenu et destination.
Point d'observation au point de terminaison
l'inspection ayant lieu sur le client, les transferts protégés par TLS ou par un chiffrement de bout en bout restent évalués sur leur contenu.
Piste d'audit complète et attribuable et architecture on-premise
chaque transfert est enregistré avec l'utilisateur, l'horodatage, le canal, la destination, le fichier, la classification et l'action prise, et le contenu capturé ainsi que les journaux restent dans l'infrastructure même de l'organisation.
Anexet DLP
En savoir plus