Ce que couvre la catégorie
Les services de messagerie électronique sont les canaux qui transportent messages et pièces jointes entre des personnes : messagerie d'entreprise et webmail, chat interne, plateformes de collaboration, messageries grand public et SMS. Chacun déplace les données à sa façon, si bien qu'une politique écrite pour le courriel convient rarement aux autres.
Pour la protection des données, cette catégorie compte, car le message est le moyen le plus courant par lequel une information quitte une organisation sans que personne le veuille. Les règles applicables à ce contenu relèvent de la prévention des pertes de données (DLP), et le volet fichiers du même problème relève des services de partage de fichiers.
Catégories de services de messagerie
La messagerie professionnelle repose sur plusieurs types de services. Chacun transporte les données différemment et demande sa propre attention.
| Service | Ce que cela change pour les données |
|---|---|
| Messagerie d'entreprise | Registre de la communication externe, point de départ des analyses d'incidents |
| Plateformes de collaboration d'entreprise | Partage rapide, avec des publics souvent moins bien délimités que par e-mail |
| Messageries grand public | Utilisées au travail malgré la politique, chiffrées de bout en bout |
| SMS et messagerie mobile | Faible volume, forte exposition, souvent sur des appareils personnels |
| Applications de voix et de vidéo | Chat et fichiers pendant les appels, souvent oubliés dans la politique |
| Messagerie web | Boîtes personnelles ouvertes depuis le navigateur pro, comme du trafic web |
Pourquoi la messagerie devient le principal canal de fuite
La messagerie est conçue pour l'action que la protection des données cherche à contrôler : envoyer un contenu à quelqu'un d'autre. Quatre caractéristiques aggravent le risque. Le canal est utilisé toute la journée, si bien que le seul volume garantit des erreurs. Le choix du destinataire est sujet aux erreurs, car la saisie automatique et les noms proches provoquent des divulgations sans intention. Les pièces jointes transportent des documents entiers en un clic. Et sur un poste partagé, un fichier déposé dans une conversation personnelle au lieu du canal d'équipe a déjà quitté l'organisation.
L'usage délibéré emprunte les mêmes chemins. Le volet accidentel est décrit dans la divulgation involontaire, le volet délibéré dans l'exfiltration de données. Le canal ne peut donc pas être simplement fait confiance ni bloqué, car le bloquer arrête l'activité.
Le problème du chiffrement
Le chiffrement de bout en bout masque le contenu du message en transit et au regard du fournisseur, si bien que l'inspection réseau et passerelle ne voit que les métadonnées : qui a écrit à qui, quand, et la taille de la pièce jointe. Deux conséquences en découlent. Les contrôles de contenu doivent s'exercer là où le contenu est encore lisible, sur le poste, avant chiffrement ou après déchiffrement, ce que fait le DLP sur les postes. Et l'organisation ne peut pas compter sur le fournisseur pour conserver une trace de ce qui a été envoyé, ce qui pèse sur les enquêtes et les obligations de conservation.
Comment la messagerie est gouvernée
Cinq contrôles ensemble couvrent le canal, de la politique au contenu protégé. Chacun échoue seul : une politique sans inspection n'est qu'un document, et une inspection sans règles de destinataires laisse passer l'erreur d'adresse. Les règles qui combinent contenu et destination relient les contrôles entre eux, comme le décrit le contrôle des flux de données.
| Contrôle | Ce qu'il fait | Lacune fréquente |
|---|---|---|
| Politique des canaux | Définit les services, données et appareils autorisés et nomme des alternatives | Les utilisateurs migrent vers des outils non autorisés quand aucune alternative n'est indiquée |
| Inspection du contenu | Vérifie messages et pièces jointes selon les règles de classification | Ne voit que le contenu encore lisible |
| Règles sur les destinataires | Limite les domaines externes et signale les premiers destinataires | Ne peut pas juger si un destinataire connu doit accéder aux données |
| Conservation et archivage | Garde les échanges professionnels pendant la durée imposée par la réglementation | Ajoute un travail de stockage et de revue pour l'équipe |
| Chiffrement et protection des droits | Protège le message lui-même, pour que le transfert ne l'expose pas | Le destinataire doit disposer d'un logiciel capable d'ouvrir le fichier protégé |
Contrôle de la messagerie et du webmail dans la console
Dans la surveillance des messageries par Anexet, chaque messagerie web dispose de son propre interrupteur : l'administrateur décide, service par service, quelles conversations sont inspectées. Le webmail fonctionne de la même façon. Le courriel professionnel relève de la surveillance du courriel, tandis qu'une boîte personnelle ouverte dans le navigateur de l'entreprise se configure à part.
1 / 2
Dimension de conformité et surveillance des salariés
Les enregistrements de messagerie sont souvent soumis à des obligations légales : règles de conservation dans la finance et le secteur public, demandes d'accès aux données personnelles au titre du RGPD et production de preuves en contentieux. Les échanges sur des services grand public non autorisés sont difficiles à produire à la demande, ce qui fait de la politique des canaux une question de conformité autant que de sécurité.
La surveillance des communications des salariés est elle-même encadrée dans de nombreuses juridictions. La gouvernance associe donc en général contrôles techniques, information, proportionnalité et, lorsque la loi l'exige, accord avec les instances représentatives du personnel. Vérifiez les règles locales avant d'activer l'inspection d'un canal.
Par où commencer
Commencez par les données dont la fuite serait la plus dommageable, puis examinez les canaux qu'elles empruntent réellement. Les politiques écrites pour tous les fichiers sur tous les services à la fois finissent par bloquer le travail et sont désactivées. Une courte liste de contenus protégés et de deux ou trois canaux autorisés vaut mieux qu'une longue liste d'interdictions.
Pour aller plus loin : Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne; Ingénierie sociale contre systèmes DLP : comment protéger votre entreprise des fuites de données.
Les fuites par messagerie ressemblent rarement à une attaque. Elles ressemblent à une journée de travail ordinaire, un message après l'autre.
Anexet TeamComment Anexet traite ce sujet
Anexet surveille la messagerie là où le contenu est encore lisible, sur le poste de travail, de sorte que les services chiffrés sont couverts autant que la messagerie d'entreprise :
Interception des e-mails
les messageries d'entreprise et les messageries web sont inspectées, pièces jointes comprises, avec des actions allant de la journalisation au blocage.
Couverture des messageries
les agents sur les postes captent messages et transferts de fichiers dans les messageries et plateformes de collaboration très utilisées, y compris les services chiffrés de bout en bout, parce que l'inspection se fait côté client.
Politiques sensibles au contenu
messages et pièces jointes sont évalués par des thésaurus de sécurité (170 dictionnaires prêts à l'emploi), des règles de motifs pour identifiants structurés, des banques de hachages pour correspondance exacte de fichiers, des bibliothèques d'empreintes numériques pour modèles de documents et des étiquettes de sensibilité.
Conditions de destinataire et de canal
les règles combinent contenu et destination, si bien que les adresses externes et personnelles peuvent être traitées différemment des internes.
Piste d'audit et architecture on-premise
chaque événement de message est consigné avec l'utilisateur, l'horodatage, le service, le destinataire, la classification et l'action menée, et tout le contenu capturé reste dans l'infrastructure de l'organisation elle-même.
Anexet DLP
En savoir plus