Périphérique de Stockage Portable

La catégorie se définit par la portabilité et l'amovibilité, et non par une technologie unique. C'est pourquoi les politiques fondées sur un seul type d'appareil vieillissent mal.

Le stockage portable est la partie des supports amovibles que les personnes transportent d'un ordinateur à l'autre, et la plupart se connectent par USB.

Un seul disque bon marché peut contenir un ensemble de données réglementées, si bien qu'un seul transfert peut entraîner une perte totale. La même petite taille qui rend le support pratique le rend facile à perdre. La perte d'un support non chiffré est une cause fréquente d'incidents à déclarer.

Le transfert ne passe jamais par une passerelle : aucun journal réseau ne permet de le détecter ni de l'examiner ensuite. Le support portable constitue donc une voie discrète d'exfiltration de données. Le canal fonctionne aussi hors ligne et dans des environnements isolés. Les appareils font sortir des données et entrer du code, et les fichiers issus de supports personnels ou inconnus contournent les défenses périmétriques. Pour le système d'exploitation, le disque personnel d'un salarié, celui d'un prestataire et celui d'un visiteur sont identiques.

Selon le RGPD, la perte d'un appareil portable contenant des données personnelles constitue une violation de données qui doit être évaluée et, si elle présente un risque pour les personnes, notifiée à l'autorité de contrôle dans un délai de 72 heures. Les lignes directrices HIPAA considèrent un support non chiffré perdu ou volé comme devant être déclaré par défaut. La norme PCI DSS impose des contrôles sur les supports contenant des données de titulaires de carte, dont la restriction d'accès et le chiffrement.

Les environnements à haute sécurité interdisent souvent le stockage personnel et n'admettent que des supports émis, inventoriés et chiffrés, le cas échéant. La même logique atteint les bureaux ordinaires par le départ des collaborateurs : copier des données sur un disque est un geste final courant chez un salarié qui part. C'est pourquoi la politique relative aux supports et la procédure de départ sont conçues ensemble, dans le cadre de tout programme de lutte contre la menace interne.

Le contrôle s'organise en couches, des mesures physiques jusqu'aux règles fondées sur le contenu. Les couches logicielles s'exécutent dans le DLP sur les terminaux :

1. 1

   Mesures physiques

   Verrous de ports et ports USB restreints dans les zones sécurisées, ainsi qu'une interdiction des supports personnels à l'échelle du site.

2. 2

   Règles de port, de classe et d'appareil

   Le logiciel du poste autorise, bloque ou impose un accès en lecture seule selon la classe d'appareil. Seuls les appareils approuvés, identifiés par fabricant, modèle et numéro de série, sont admis.

3. 3

   Application du chiffrement

   L'écriture n'est autorisée que sur les supports qui seront chiffrés. Un disque perdu constitue alors une perte matérielle, non une exposition de données.

4. 4

   Règles fondées sur le contenu

   Chaque écriture est jugée d'après le contenu du fichier, et non seulement d'après l'appareil. Le canal reste ouvert au travail légitime, tandis que le contenu réglementé est arrêté.

5. 5

   Journalisation et copies fantômes

   Chaque opération sur fichier est enregistrée, et une copie de ce qui a été écrit peut être conservée, un enregistrement que le réseau n'aurait jamais eu.

Une politique de stockage portable définit quelles catégories d'appareils sont autorisées, pour qui et sous quelles conditions : enregistrement, chiffrement, approbation. Elle précise aussi comment les exceptions sont accordées et quand elles expirent, ce qui se passe au départ d'un collaborateur et quelles alternatives existent. Lorsque les salariés doivent déplacer de gros fichiers, un chemin géré et approuvé évite que la politique soit contournée. Lorsque les règles sont appliquées par logiciel, le contrôle USB et des périphériques de stockage externes les applique par classe d'appareil.

La sur-restriction a un mode d'échec connu. Quand le chemin approuvé est lent, les utilisateurs passent par des comptes cloud personnels, et un canal contrôlable est remplacé par un canal non surveillé. Les déploiements efficaces commencent en mode surveillance, apprennent ce que l'entreprise fait réellement des supports portables, puis resserrent les règles vers les catégories et les contenus qui comptent.

Dans la console de Anexet DLP, l'audit des appareils et du stockage s'active par profil d'agent, et une règle de blocage peut cibler directement le stockage externe.

1 / 2

• 
• 

Commencez par lister les données dont la fuite causerait le plus de dommages, puis vérifiez quels appareils et canaux le personnel utilise pour les déplacer. Une politique construite sur ces réponses tient dans le travail quotidien, alors qu'une politique écrite pour tous les appareils à la fois tend à être contournée.

Pour aller plus loin : Comment prévenir l'accès non autorisé à votre ordinateur; Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne.