Les causes les plus fréquentes
La plupart des incidents découlent d'actions de travail ordinaires, légèrement mal exécutées. Un mauvais destinataire est la cause unique la plus fréquente. La plupart de ces erreurs surviennent dans les services de messagerie électronique, le canal le plus utilisé pour les divulgations.
| Cause | Ce que cela donne |
|---|---|
| Mauvais destinataire | L'autocomplétion choisit un nom proche, ou répondre à tous élargit le public |
| Mauvaise pièce jointe | Le fichier voisin du dossier, ou une version antérieure contenant des données en plus |
| Partage trop large | Un lien ouvert à « tous », ou un canal plus large que le public visé |
| Contenu caché | Modifications suivies, commentaires, lignes masquées ou métadonnées restées dans le fichier |
| Caviardage incomplet | Texte masqué visuellement mais toujours présent dessous |
| Agrégation | Des extraits anodins qui, réunis, identifient des personnes ou révèlent une position |
| Mauvaise configuration | Un dépôt, un bucket ou un environnement de test laissé ouvert |
| Physique et environnement | Impressions oubliées sur une imprimante, écrans visibles dans un espace partagé |
Pourquoi elle domine les statistiques d'incidents
Chacune de ces causes est une action de travail normale, exécutée légèrement de travers. Envoyer des fichiers, partager des documents et publier des rapports fait partie du travail lui-même. La défaillance tient à une seule étape mal dirigée au sein d'une tâche répétée des centaines de fois par semaine : volume et routine font la fréquence. La sensibilisation seule ne suffit pas, car les personnes concernées connaissent généralement la politique et voulaient la suivre. C'est le versant non malveillant du risque interne.
Détection et réponse
La divulgation accidentelle est souvent découverte tardivement, généralement par une personne extérieure à l'organisation. Le destinataire non prévu la signale, un partenaire remarque des données inconnues ou un chercheur trouve un dépôt exposé. Une fois sorties de l'organisation, les données deviennent une fuite de données que personne ne contrôle.
Le rappel est peu fiable en pratique : un e-mail sorti de l'organisation ne peut pas être retiré, et un fichier téléchargé ne peut pas être annulé. La prévention porte donc l'essentiel de l'effort. La réponse suit néanmoins les étapes de toute violation :
- 1
Établir le périmètre
Déterminer ce qui a été divulgué et à qui.
- 2
Tenter le rappel
Tenter un rappel ou une révocation lorsque la plateforme le permet.
- 3
Évaluer les obligations
Vérifier les obligations réglementaires de notification.
- 4
Consigner le résultat
Documenter ce qui s'est passé et les mesures prises.
Traitement réglementaire
Sur le plan réglementaire, la divulgation accidentelle constitue une violation de données, quelle que soit l'intention. Au titre du RGPD, la divulgation non autorisée de données personnelles déclenche une évaluation au regard du délai de notification de 72 heures. Les autorités de contrôle examinent ensuite si des mesures techniques et organisationnelles appropriées étaient en place, et c'est là que comptent les contrôles préventifs documentés et les journaux d'audit.
Les contrôles qui aident réellement
Les contrôles efficaces interviennent dans le flux de travail, et non après coup. C'est précisément le rôle de la prévention des pertes de données. Dans cette catégorie, un avertissement fonctionne mieux qu'un blocage silencieux : l'intention de l'utilisateur est correcte, il suffit donc généralement de lui indiquer ce qu'il s'apprête à faire.
| Contrôle | Ce qu'il fait | Où il agit |
|---|---|---|
| Avertissements sensibles au contenu | Nomment le risque précis au moment de l'envoi | Messages et envois de fichiers au moment de l'envoi |
| Garde-fous destinataires | Signalent les destinataires externes, séparent les adresses proches, retardent brièvement l'envoi | Adresses avant l'envoi |
| Blocage de catégories définies | Refuse le transfert pour un petit ensemble de contenus réglementés | Canaux qui transportent les contenus réglementés |
| Hygiène des partages | Expiration par défaut des liens, authentification externe, revue des partages inactifs | Liens et dossiers cloud |
| Hygiène des documents | Supprime le contenu caché et les métadonnées avant diffusion | Fichiers avant publication |
| Surveillance de la configuration | Vérifie en continu les dépôts et espaces de stockage trop ouverts | Dépôts, buckets et environnements de test |
À quoi ressemble l'avertissement dans Anexet
Lorsqu'une règle arrête un transfert, l'utilisateur voit le message rédigé par l'administrateur, qui le configure dans la console. Le blocage des transferts de données comprend aussi des règles qui réagissent au nombre de destinataires : un message adressé à un large public est repéré, même si chaque adresse paraît anodine.
1 / 2
Par où commencer
Commencez par les données dont la fuite causerait le plus de dégâts, puis par les canaux qu'elles empruntent réellement. Les politiques rédigées pour tous les fichiers à la fois finissent par bloquer le travail courant et sont désactivées.
Pour aller plus loin : Fuite technique d'informations : de quoi s'agit-il et comment s'en protéger ?; Ingénierie sociale contre systèmes DLP : comment protéger votre entreprise des fuites de données.
Une divulgation ressemble rarement à une attaque. Elle ressemble à un envoi ordinaire, parti un instant trop vite.
Anexet TeamComment Anexet traite ce sujet
Anexet traite la divulgation accidentelle au moment du transfert, là où l'erreur est encore réversible :
Évaluation sensible au contenu avant l'achèvement du transfert
les fichiers et messages sont inspectés à l'aide de thésaurus de sécurité (170 dictionnaires prêts à l'emploi), de règles de motifs pour identifiants structurés, de banques de hachage pour correspondances exactes de fichiers, de bibliothèques d'empreintes numériques pour documents et modèles, et d'étiquettes de sensibilité.
Conditions de destination
les règles combinent le contenu avec le destinataire et le canal, de sorte qu'une destination externe ou personnelle est traitée différemment d'une destination interne.
Actions graduées
journaliser, alerter, mettre en quarantaine pour revue par un analyste ou bloquer: le travail courant se poursuit tandis qu'un transfert mal orienté de contenu réglementé est arrêté ou retenu.
Couverture complète des canaux
e-mail, téléversements web, stockage cloud, messagers, périphériques amovibles, impression et presse-papiers.
Piste d'audit
chaque événement est enregistré avec l'utilisateur, l'horodatage, le canal, la destination, la classification du contenu et l'action prise, ce qui soutient ensuite la délimitation du périmètre et l'évaluation de l'obligation de notification.
Architecture on-premise
les politiques, le contenu capturé et les journaux restent dans l'infrastructure de l'organisation elle-même.
Anexet DLP
En savoir plus