Surveillance

La surveillance est l'observation continue ou périodique d'un système, d'une personne, d'un réseau ou d'un processus. Elle permet de connaître leur état et de détecter les changements au moment où ils surviennent. Dans l'informatique d'entreprise, les données sont collectées pendant que les événements se déroulent. L'organisation peut ainsi réagir tant que cela compte, au lieu de tout reconstituer après coup.

La journalisation passive enregistre des événements dans des fichiers. L'audit a posteriori vérifie des activités après coup, par rapport à une norme. La surveillance est une observation active, destinée à détecter et à agir.

Selon ce qui est observé et pourquoi, la surveillance se répartit en plusieurs types reconnus au sein d'une organisation. Les frontières sont floues : un même agent installé sur un poste peut alimenter à la fois la surveillance de la sécurité, celle des employés et celle des actifs. En pratique, ce qui compte est l'étendue et la profondeur de la collecte, plus que l'étiquette. La partie consacrée aux employés est détaillée dans surveillance de l'activité des utilisateurs.

Les données de surveillance vont du plus léger au plus profond. Au niveau le plus léger, on trouve les métadonnées : l'application lancée et sa durée, le site contacté, la date de modification d'un fichier. Une collecte plus poussée ajoute du contenu, comme le texte des messages, le corps des documents et les captures d'écran, et, dans les environnements très sécurisés, l'audio et la vidéo du poste. Plus la collecte est profonde, plus elle sert les investigations, et plus il est difficile de la justifier au regard du droit à la vie privée. L'exemple le plus granulaire de ce côté profond est la surveillance des frappes clavier.

Les catégories typiques sont les événements d'authentification, l'activité des applications et du web, le trafic de messagerie, les opérations sur fichiers (copie, impression, transfert vers un support amovible), la messagerie instantanée, le presse-papiers et les captures d'écran. Ce qui peut être collecté, pendant combien de temps et au su de qui relève de la loi et de la politique interne.

Les motifs invoqués pour la surveillance au travail se regroupent autour de cinq objectifs. Le premier est le plus proche de la détection des menaces internes, où la chronologie d'activité montre ce qui s'est passé avant une alerte.

• Détection des menaces : repère les logiciels malveillants, les comptes compromis et l'activité interne
• Protection des données : rend visibles les transferts par messagerie, web et USB
• Conformité et preuves : fournit une piste d'audit lorsqu'un incident est examiné ou signalé
• Productivité et ressources : montre l'usage du temps de travail, du matériel et des licences
• Investigation des incidents : reconstitue qui a fait quoi, quand et par quel canal

La vue en direct provient de Anexet Activity. Le superviseur suit plusieurs postes à la fois et peut lancer un enregistrement depuis le même écran. Les graphiques de trafic relèvent de l'interception réseau du produit, qui couvre aussi la surveillance du trafic web.

1 / 2

• 
• 

La surveillance est le point où la sécurité de l'organisation rencontre le droit individuel à la vie privée, et chaque juridiction arbitre cette tension différemment. Dans l'UE et les régimes comparables, la surveillance des employés exige une base juridique, une finalité définie, une proportionnalité, une transparence envers les personnes concernées et des limites de conservation. La surveillance secrète n'est en général admissible que face à un soupçon concret et documenté, pour une durée limitée et un groupe restreint de personnes.

Les États-Unis partent d'une base plus permissive : les employeurs disposent de droits étendus sur l'activité menée sur les systèmes de l'entreprise, même si les lois des États sur la biométrie et l'interception des communications imposent leurs propres limites. Deux principes valent partout : utiliser le moyen le moins intrusif qui atteint l'objectif, et fixer les attentes à l'avance dans une politique de surveillance que les employés connaissent réellement.

Un programme de surveillance qui résiste à l'examen juridique et éthique repose sur les mêmes éléments dans toutes les juridictions.

1. 1

   Documenter la finalité

   La surveillance sert à gérer un risque identifié, comme la perte de données, la fraude ou une panne de système, et non à satisfaire la curiosité.

2. 2

   Garder une portée proportionnée

   La profondeur de la collecte, le groupe surveillé et la durée de conservation correspondent à ce risque. Les techniques les plus intrusives sont réservées aux investigations avec un déclencheur concret.

3. 3

   Assurer la transparence

   Les employés savent que la surveillance existe, ce qu'elle couvre et comment exercer leurs droits sur les données.

4. 4

   Protéger les données de surveillance

   Les enregistrements d'activité figurent parmi les actifs les plus sensibles d'une organisation. L'accès y est restreint et journalisé.

Commencez par le risque auquel la surveillance doit répondre, puis choisissez la collecte la plus légère qui y répond. Une finalité écrite, une durée de conservation courte et une politique que les employés ont lue sont plus faciles à défendre qu'un enregistrement complet de chaque écran. Les résultats peuvent ensuite être partagés sous forme de rapports de conformité sécurité avec les responsables de ce risque.

Pour aller plus loin : SOC et sécurité de l'information.