Programme de Menaces Internes

Un programme de menaces internes est le plan permanent d'une organisation pour gérer les risques liés aux personnes qui disposent déjà d'un accès légitime : salariés, prestataires et partenaires. Il vise à prévenir les dommages lorsque c'est possible, à les détecter tôt et à réagir de façon cohérente. Le risque lui-même est décrit dans menace interne.

Le programme concerne les personnes et pas seulement les systèmes, il requiert donc plusieurs fonctions à la fois. La sécurité, les ressources humaines, le juridique et les responsables métiers ont chacun un rôle défini. La discipline plus large que le programme met en œuvre est la gestion des risques internes.

Malgré son nom, un programme de menaces internes dépasse la technologie. Les programmes matures combinent généralement six éléments :

Une idée répandue veut que l'installation d'un logiciel de surveillance équivaille à disposer d'un programme. L'outil génère des alertes. Le programme définit ce qui est surveillé, qui examine les résultats, quels seuils déclenchent une action, comment avancent les investigations et quelles garanties de vie privée s'appliquent.

La visibilité technique provient en général de la surveillance de l'activité des utilisateurs et d'un logiciel de détection des menaces internes. Sans elle, le programme repose surtout sur des déclarations et des audits périodiques, qui détectent souvent les problèmes tardivement.

Une manière concrète d'organiser le travail consiste en un cycle continu à quatre phases :

1. 1

   Préparer et évaluer

   Mettre en place la gouvernance, la politique, la revue juridique et celle de la vie privée, puis identifier les actifs et les données critiques.

2. 2

   Détecter et identifier

   Collecter les données d'activité des utilisateurs et les corréler avec des indicateurs de risque définis.

3. 3

   Évaluer

   Trier les indicateurs pour distinguer les anomalies sans gravité des comportements réellement préoccupants. Escalader si nécessaire.

4. 4

   Réagir

   Enquêter, intervenir et documenter les résultats. Ceux-ci alimentent les règles de détection et la formation.

Une politique écrite a besoin de catégories de risque nommées. Les indicateurs de menace interne ne servent que s'ils renvoient à une catégorie que l'organisation a décidé de suivre. Dans Anexet, les catégories se gèrent dans le gestionnaire de catégories de risque, où chacune reçoit un niveau de risque par défaut.

La plupart des programmes qui échouent échouent de la même manière : ils commencent par les outils au lieu d'une liste de ce qui doit être protégé. Les alertes s'accumulent, personne n'en est responsable et le personnel apprend à les ignorer.

Les contrôles techniques, comme la prévention des pertes de données (DLP), bloquent des transferts précis, mais ne remplacent pas les étapes de revue et de réponse qui font vivre le programme.

• Surveiller tout le monde de la même façon, sans périmètre défini ni revue de vie privée
• Des alertes sans responsable, si bien que les incidents se ferment sans décision
• Pas d'étapes de réponse écrites, si bien que chaque cas est traité différemment

Commencez par les actifs et les données dont la fuite causerait le plus de dégâts, puis définissez les quelques comportements qui comptent pour eux. Un programme ciblé peut être testé et ajusté. Un programme qui surveille tout est souvent désactivé.

La surveillance technique n'est qu'un élément de ce travail. Anexet DLP enregistre chaque événement avec l'utilisateur, l'horodatage, le canal et l'action réalisée, ce qui fournit aux relecteurs les preuves dont ils ont besoin.

Pour aller plus loin : Comment reconnaître un initié malveillant dans une entreprise et prévenir ses agissements ?; Top 5 des types de données que les concurrents tentent de voler.