DLP sur les terminaux (endpoint DLP)

L'approche traditionnelle du DLP plaçait l'inspection en bordure de réseau, avec un équipement qui observait le trafic entrant et sortant. Elle fonctionnait tant que les données circulaient par quelques canaux bien identifiés, comme la messagerie d'entreprise et quelques protocoles web. Dans un environnement moderne, elle ne tient plus, pour trois raisons.

Le chiffrement est omniprésent. Lorsqu'un utilisateur téléverse un fichier vers un service de stockage cloud en HTTPS, l'équipement réseau ne voit qu'un flux chiffré. Le contenu du fichier, précisément ce que le DLP doit inspecter, reste invisible. Le DLP sur les terminaux voit le fichier avant son chiffrement pour le transport, car l'agent lit le contenu au moment du téléversement, sur l'appareil.

Les canaux sont locaux. Copier un fichier sur une clé USB, imprimer un document ou coller du texte dans une application ne passe jamais par le réseau. Un équipement réseau ne voit pas ces actions. Un agent sur le poste de travail, si.

Le cloud et le SaaS contournent le périmètre. Lorsque les salariés utilisent des applications cloud depuis leur navigateur ou un client bureau, la bordure réseau cesse d'être un point de passage unique. Le DLP sur les terminaux suit les données là où elles sont manipulées.

Un agent DLP endpoint remplit quatre fonctions, dont la première repose sur les règles de classification des données définies par l'administrateur :

1. 1

   Inspection du contenu

   Lorsqu'un fichier va être téléversé, envoyé par courriel, copié ou imprimé, l'agent évalue son contenu selon des règles de classification : dictionnaires de mots-clés, expressions régulières (numéros de carte, numéros d'identité), correspondances exactes de données, empreintes numériques de documents connus ou étiquettes de sensibilité.

2. 2

   Surveillance des canaux

   L'agent observe les canaux par lesquels les données peuvent quitter l'appareil : trafic réseau (HTTP/HTTPS, FTP, SMTP), clients de messagerie, webmail, applications de stockage cloud, messageries instantanées, supports amovibles, imprimantes, presse-papiers et capture d'écran.

3. 3

   Application des politiques

   En cas de correspondance, l'agent peut bloquer le transfert, mettre le fichier en quarantaine, l'autoriser en journalisant un événement, avertir l'utilisateur ou alerter un analyste sécurité. La réponse dépend de la gravité de la règle.

4. 4

   Remontée des événements

   Les événements collectés partent vers un serveur central pour être stockés, recherchés et audités. Chacun contient des métadonnées : utilisateur, horodatage, canal, classification du contenu et action appliquée.

Le DLP sur les terminaux n'est qu'une des déclinaisons du DLP, et chacune observe un lieu différent.

Beaucoup d'organisations combinent les approches, par exemple le DLP endpoint avec le DLP cloud. Le DLP endpoint est la seule variante qui offre une visibilité complète, car le poste de travail est le point unique par lequel transitent toutes les activités des utilisateurs sur les données.

Le tableau indique où chaque déclinaison observe, ce qui fait sa force et où elle s'arrête.

Quatre points pratiques pèsent lors du déploiement.

• Empreinte de l'agent. L'agent tourne en continu sur chaque poste. Sa consommation de processeur et de disque doit rester faible pour ne pas gêner le travail. Les agents modernes sont légers et, dans certains déploiements, invisibles pour l'utilisateur.
• Couverture des plateformes. Les environnements d'entreprise mêlent généralement Windows, Linux et macOS, y compris ARM64. L'agent doit prendre en charge toutes les plateformes utilisées, faute de quoi des angles morts apparaissent.
• Fonctionnement hors ligne. Lorsque le poste est déconnecté du réseau, l'agent continue d'appliquer les politiques localement et met les événements en file d'attente pour un envoi ultérieur au serveur central.
• Vie privée et proportionnalité. Le DLP sur les terminaux voit une grande partie de l'activité des utilisateurs. Le déploiement doit donc reposer sur une politique claire, l'information des salariés et des contrôles d'accès aux données collectées, conformément au droit du travail et à la réglementation applicable en matière de protection des données.

La fiche de chaque poste dans la console liste le matériel détecté par l'agent, avec le type d'appareil et le fabricant. Cette liste montre ce qui est connecté à la machine et constitue le point de départ d'un inventaire matériel.

Commencez par les canaux qui présentent le plus de risque sur les postes eux-mêmes : clés USB, impression, presse-papiers et envois vers les services web. Des règles écrites pour tous les fichiers à la fois bloquent le travail courant et finissent désactivées. Commencez donc par quelques règles étroites et élargissez-les lorsque les événements montrent à quoi ressemble un travail normal.

Examinez les événements capturés chaque mois. Les règles qui se déclenchent sans raison sont à ajuster en premier, et les événements montrent de quels canaux dépend réellement le travail.

Pour aller plus loin : Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne; Comment acheter un système DLP ?.