Risque d'Initié

La distinction est plus qu'une question de vocabulaire : elle détermine le fonctionnement des programmes de risque d'initié.

Traiter les initiés comme une catégorie binaire (menace ou non-menace) mène soit à la surréaction, où tout le monde est suspecté, soit à la sous-réaction, où les signaux précoces sont ignorés. Les considérer comme porteurs d'un risque mesurable permet de hiérarchiser, de doser la réponse et d'intervenir à bon escient.

Le risque est une probabilité, alors qu'une menace interne est un danger actif ou imminent. C'est pourquoi un programme de gestion du risque d'initié agit avant l'incident, et pas seulement pendant.

Le risque d'initié provient de trois grandes catégories de personnes disposant d'un accès. Chacune appelle des contrôles différents, d'où l'intérêt de les distinguer.

Le risque n'est pas figé : il monte et descend au gré de facteurs individuels et contextuels :

• Niveau d'accès : plus l'accès aux données et systèmes sensibles est large, plus l'impact potentiel est élevé ;
• Changements de comportement : ruptures de rythme, de volumes de données ou de canaux peuvent signaler un risque croissant ;
• Événements RH : démissions, licenciements, sanctions et changements de poste élèvent le risque ;
• Pressions extérieures : difficultés financières, crises personnelles ou offres concurrentes peuvent créer un mobile ;
• Lacunes de contrôle : surveillance insuffisante, privilèges excessifs ou gouvernance des accès défaillante.

Les programmes matures ne se fient ni à l'intuition ni à un signal isolé. Ils procèdent en quatre étapes, l'analyse comportementale des utilisateurs et des entités (UEBA) assurant le calcul du score :

1. 1

   Recueillir les comportements

   Schémas d'accès aux données, horaires, usage des canaux et manquements aux règles.

2. 2

   Ajouter le contexte

   Événements RH comme les départs et les changements de poste, revues d'accès et réorganisations.

3. 3

   Noter chaque utilisateur

   Les signaux sont pondérés selon leur gravité et leur corrélation. Un signal faible isolé indique un risque bas, des signaux convergents font monter le score.

4. 4

   Suivre la tendance

   Un risque qui progresse dans le temps pèse davantage qu'un risque stable ou en baisse, même au même niveau.

Dans la console client d'Anexet, les catégories de risque fixent le poids de chaque type d'événement, et une règle de notification se déclenche lorsque le score d'un utilisateur franchit un seuil défini. Les détails figurent sur la page de détection des menaces internes.

1 / 2

• 
• 

L'atténuation du risque et la détection des menaces sont complémentaires. Un programme bien conçu fait les deux : il abaisse le risque de fond, pour que moins d'incidents surviennent, et détecte rapidement ceux qui se produisent, pour limiter l'impact. La détection repose sur des systèmes DLP et sur des investigations. Une surveillance qui dissuade les abus d'opportunité relève aussi de l'atténuation.

Tout risque d'initié n'appelle pas la même réponse. Un cas à risque élevé, comme un administrateur privilégié consultant des données inhabituelles en dehors des heures de travail, justifie une investigation immédiate. Un cas à faible risque, comme un salarié junior ayant reçu un seul avertissement, appelle un suivi, non une intervention.

Les programmes qui traitent chaque signal comme une crise génèrent des accusations infondées, érodent la confiance des salariés et gaspillent des ressources. Ceux qui calibrent la réponse sur le niveau de risque sont plus efficaces et plus faciles à défendre.

Les programmes de risque d'initié s'inscrivent dans un cadre juridique. La surveillance des salariés est encadrée dans la plupart des juridictions, notamment par le RGPD dans l'Union européenne, la LGPD au Brésil, le CCPA et les lois d'États aux États-Unis, ainsi que par le droit du travail. Un programme doit réunir :

• une finalité légitime : sécurité et conformité, et non surveillance des personnes ;
• l'information des salariés, exigée dans la plupart des juridictions ; en France, elle suppose aussi la consultation du comité social et économique ;
• la proportionnalité : l'étendue de la surveillance correspond au risque géré ;
• des contrôles d'accès : les données de surveillance ne sont pas librement consultables, seuls des rôles autorisés y accèdent dans des conditions définies ;
• une procédure loyale : les mesures fondées sur ces données suivent une investigation, et non de simples alertes brutes.

Commencez par les données dont la fuite causerait le plus de tort, puis par les canaux qu'elles empruntent réellement. Un score construit sur tout à la fois produit du bruit que personne ne lit, et c'est dans ce bruit que les vrais signaux passent inaperçus.

Pour aller plus loin : Comment reconnaître un initié malveillant dans une entreprise et prévenir ses agissements ?; Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.