Menace Interne (Insider)

Les attaques externes déclenchent les défenses de périmètre, comme les pare-feu, la détection d'intrusion et l'antivirus, conçues pour arrêter des acteurs inconnus. Les menaces internes les contournent entièrement : l'acteur est déjà à l'intérieur, il possède des identifiants valides et sa présence sur le réseau est attendue.

Les périmètres classiques tiennent les tiers à l'écart, mais ne surveillent pas ce que font les initiés une fois entrés. Un transfert discret de fichiers hors de l'entreprise, c'est-à-dire une exfiltration de données, peut passer tous les contrôles de périmètre, car son auteur dispose d'un accès autorisé aux données.

C'est pourquoi les programmes de menace interne associent des contrôles techniques, comme la surveillance, la prévention de la perte de données et l'analyse comportementale, à des mesures organisationnelles, comme la gouvernance des accès, la formation et les procédures de réponse à incident. Aucun outil isolé ne résout le problème.

Tous les initiés ne se valent pas, et le risque d'initié de chaque groupe appelle des contrôles différents. Les équipes de sécurité distinguent généralement trois types.

L'initié malveillant détourne délibérément son accès : vol de données au profit d'un concurrent, fraude ou sabotage de systèmes après une notification de licenciement. L'initié négligent cause un dommage par erreur ou par indifférence aux règles, par exemple en envoyant des données clients sur sa messagerie personnelle pour travailler chez lui.

L'initié compromis est un salarié dont les identifiants ont été volés ou dont l'appareil a été pris en main par un attaquant externe. L'activité paraît autorisée, mais elle provient d'un compte interne : elle relève donc de la surveillance des menaces internes.

Les programmes de menace interne surveillent les signaux comportementaux qui distinguent une activité nuisible du travail ordinaire. Parmi les indicateurs typiques :

• Anomalies d'accès aux données : téléchargement de bien plus de données que le poste ne l'exige, ou ouverture de fichiers hors périmètre.
• Schémas horaires et géographiques : activité à des heures ou depuis des lieux inhabituels, ou juste avant un départ.
• Détournement de canaux : envois volumineux vers un cloud personnel, impressions massives ou copies sur clé USB.
• Manquements aux règles : tentatives répétées de contourner les contrôles, désactivation de la surveillance ou usage de shadow IT.
• Changements de comportement : évolution brusque du rythme de travail, baisse de productivité ou mécontentement grandissant.

Les quatre approches se complètent. La surveillance de l'activité des utilisateurs enregistre ce que font les personnes, et l'analyse comportementale des utilisateurs et des entités repère les écarts avec les schémas habituels. Le DLP montre quelles données circulent, et le SIEM relie les signaux entre eux.

Aucun indicateur isolé ne confirme une menace. Les programmes recourent à un score de risque, qui combine les signaux dans le temps, pour décider quels dossiers méritent une investigation humaine.

1. 1

   Enregistrer l'activité

   La surveillance consigne les programmes lancés, les fichiers ouverts, les sites consultés et les données transférées sur chaque poste.

2. 2

   Comparer à la norme

   L'analyse comportementale confronte chaque action au schéma propre à l'utilisateur et aux normes de son groupe.

3. 3

   Suivre les données

   Le DLP maintient les données sensibles dans des canaux contrôlés, quelle que soit l'intention du transfert.

4. 4

   Relier les signaux

   Le SIEM agrège les journaux de nombreux systèmes, afin que les événements liés soient corrélés et donnent lieu à des alertes.

Le moteur d'analyse des risques du module Activity attribue un score aux utilisateurs selon huit catégories prédéfinies, dont Internal threat et Data leak. La catégorie Internal threat couvre à la fois les actes délibérés et non intentionnels des salariés.

1 / 2

• 
• 

Un programme mature, tel que décrit dans la gestion du risque d'initié, est un processus défini et non un simple ensemble d'outils. Il associe la sécurité informatique (surveillance et détection), les ressources humaines (événements de carrière, contexte comportemental), le juridique (contraintes de vie privée et de droit du travail) et la direction (seuils d'escalade).

Des règles claires sur ce qui est surveillé, pourquoi et sur quel fondement sont indispensables à l'efficacité comme à la conformité. Dans de nombreuses juridictions, la surveillance des salariés est encadrée et suppose une information, une finalité légitime et de la proportionnalité. En France, elle implique notamment l'information des salariés et la consultation du comité social et économique.

Commencez par les comptes et les données dont l'usage abusif causerait le plus de dégâts, puis cartographiez les canaux qu'ils utilisent réellement. Des règles écrites pour chaque fichier à la fois bloquent le travail courant et finissent désactivées.

Un programme de menace interne ciblé peut élargir son périmètre une fois que les premiers résultats montrent quels signaux comptent vraiment.

Pour aller plus loin : Comment reconnaître un initié malveillant dans une entreprise et prévenir ses agissements ?; Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.