Gestion du Risque d'Initié

Les mots comptent. Une menace d'initié suggère un état binaire : une personne est une menace ou elle ne l'est pas. Le risque d'initié est un spectre. Toute personne disposant d'un accès porte un certain niveau de risque, qui varie selon son comportement, les circonstances et le contexte. La gestion du risque d'initié mesure et pilote ce spectre au lieu d'attendre qu'une « menace » évidente apparaisse.

Les programmes matures fonctionnent ainsi en pratique. Ils n'attendent pas un vol de données pour réagir. Ils surveillent les indicateurs comportementaux, traitent en priorité les cas les plus risqués et enquêtent avant que le dommage ne survienne. Parfois la réponse est technique, comme le blocage d'un accès. Parfois, c'est un échange avec la direction et les RH. Parfois, il s'agit de combler une faille de processus qui créait un risque inutile.

Un programme opérationnel comporte cinq composantes, de la collecte des données à l'amélioration continue. Sa première étape repose sur les signaux de la surveillance de l'activité des utilisateurs (UAM) et de la prévention des pertes de données (DLP).

1. 1

   Surveillance et collecte de données

   Le socle : surveillance de l'activité, signaux DLP, journaux d'accès et analyse comportementale (UEBA). Sans visibilité, il n'y a pas de programme.

2. 2

   Notation et priorisation des risques

   Les données brutes de surveillance sont du bruit. Les signaux sont combinés en scores de risque. Un utilisateur qui télécharge massivement des fichiers en dehors des heures de travail, accède à des données hors de son périmètre et a remis sa démission présente un risque plus élevé qu'une personne avec un seul signal.

3. 3

   Investigation

   Les analystes examinent l'historique d'activité et établissent le contexte : un changement de poste, un problème de performance ou un besoin métier légitime. Agir sur des alertes brutes sans enquête mène à de fausses accusations et détruit la confiance.

4. 4

   Réponse et intervention

   Les réponses vont d'une surveillance renforcée à une réduction des privilèges, en passant par un entretien avec les RH ou la sécurité, jusqu'à une procédure disciplinaire ou juridique. La réponse doit être proportionnée au risque et reposer sur des preuves.

5. 5

   Gouvernance et révision

   La sécurité informatique ne peut pas piloter le programme seule : les RH apportent le contexte sur les salariés, le service juridique couvre la vie privée et les preuves, et la direction fixe les seuils. Après chaque cas, l'équipe vérifie si la détection et la réponse ont fonctionné.

Un programme qui va trop loin crée ses propres risques. Surveiller sans information préalable, collecter des données au-delà de la finalité de sécurité ou agir sur des preuves fragiles peut entraîner une responsabilité juridique, une défiance des salariés et une atteinte à la réputation. Les bonnes pratiques, et dans de nombreuses juridictions la loi, attendent ces principes :

• Transparence : les salariés savent ce qui est surveillé et pourquoi.
• Finalité légitime : le dispositif sert la sécurité et la conformité, pas le micromanagement ni la surveillance pour elle-même.
• Proportionnalité : la portée correspond au risque. Tout le monde n'est pas surveillé dans le détail.
• Contrôle des accès : seuls les rôles autorisés consultent les données de surveillance, dans des conditions définies.
• Procédure équitable : l'enquête vérifie le contexte avant toute action, et la personne peut répondre.

Gestion du risque d'initié et détection des menaces d'initié. La détection est une composante : elle identifie les signaux. La gestion est le programme plus large qui décide de ce qu'il faut en faire. Une détection sans gestion produit des alertes que personne ne traite. Une gestion sans détection n'est pas possible.

Gestion du risque d'initié et DLP. Le DLP est un contrôle préventif : il empêche les données sensibles de sortir. La gestion du risque d'initié est plus large. Elle prend en compte le contexte comportemental, l'intention et la réaction de l'organisation, pas seulement l'événement de transfert. Le DLP alimente le programme en signaux.

Gestion du risque d'initié et surveillance des salariés. La surveillance est une observation sans direction. La gestion du risque d'initié est une surveillance priorisée selon le risque et liée à une finalité, avec gouvernance, proportionnalité et conformité juridique. La différence est à la fois éthique et juridique. De nombreuses juridictions limitent la surveillance des salariés à des finalités définies et légitimes, et exigent de les en informer.

Quatre mesures montrent si un programme fonctionne. Un taux élevé de faux positifs gaspille le temps des analystes et érode la confiance. La répartition des issues montre si le programme est correctement calibré.

• Délai moyen de détection : la rapidité avec laquelle un comportement risqué est identifié après son début.
• Taux de faux positifs : la part des cas signalés qui se révèlent être une activité légitime.
• Issues de clôture des cas : combien de cas ont mené à une intervention, à aucune action ou à des incidents confirmés.
• Couverture : la part des salariés et des canaux d'activité pertinents sous surveillance.

La fonctionnalité de détection des menaces d'initié regroupe les incidents par niveau de risque, afin que l'analyste voie où se concentrent les événements les plus risqués. Chaque catégorie de risque possède aussi un niveau de risque par défaut, visible dans le gestionnaire de catégories.

1 / 2

• 
• 

Commencez par les données dont la fuite causerait le plus de dommages, puis cartographiez les canaux par lesquels elles pourraient réellement sortir. Définissez la finalité et les seuils avant la première alerte, car un programme sans eux glisse vers la surveillance.

Chaque cas clos alimente ensuite les seuils, ce qui permet au programme d'apprendre quels signaux comptent vraiment.

Pour aller plus loin : Comment reconnaître un initié malveillant dans une entreprise et prévenir ses agissements ?; Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.