Profilage

Un profil est une synthèse structurée construite à partir de données sur une personne ou une entité : attributs statiques, schémas dynamiques et caractéristiques déduites. Le profilage commence lorsque ces données sont analysées pour évaluer, catégoriser ou prévoir quelque chose à propos du sujet, et non pas simplement lorsqu'elles sont enregistrées.

Le terme recouvre des domaines très différents, aux connotations distinctes :

• Marketing et publicité : profils d'intérêts et d'intention d'achat, construits à partir des données de navigation et de transactions pour cibler contenus et offres.
• Application de la loi et renseignement : profils de suspects établis à partir de registres et de métadonnées de communication, là où les risques de discrimination sont les plus aigus.
• Sécurité de l'information : profils comportementaux d'utilisateurs, de comptes et d'appareils, utilisés pour détecter les anomalies et le risque interne. Cet article porte sur ce domaine.

Dans les outils de sécurité, un profil comportemental se construit en étapes qui se répètent. Les contrôles effectués en chemin recherchent les indicateurs de menace interne bien connus.

1. 1

   Collecte des données

   Activité sur les postes et les applications : usage des programmes, opérations sur les fichiers, trafic web et messagerie, connexions d'appareils.

2. 2

   Référence

   Une période d'apprentissage définit ce qui est normal pour le sujet : applications habituelles, sources de données, horaires de travail et volumes de transfert.

3. 3

   Évaluation des indicateurs

   Les nouveaux événements sont comparés à la référence et à des indicateurs de comportement risqué, comme les violations de politique, les destinations inhabituelles ou les volumes anormaux.

4. 4

   Notation

   Les correspondances et les écarts sont pondérés dans un score de risque qui se met à jour à mesure qu'arrive une nouvelle activité.

5. 5

   Examen humain

   Un analyste examine d'abord les événements sous-jacents. Les profils et les scores ne servent que de données d'entrée à cet examen.

Le profilage de sécurité est volontairement plus restreint. Son objet est le comportement sur les systèmes de l'entreprise, et son résultat est une évaluation de risque, non un jugement sur une personne.

Sa principale valeur est la concentration. Les programmes de gestion du risque interne concentrent l'attention là où le profil révèle un risque accru, par exemple une hausse soudaine de copies de données pendant le préavis, ou des accès qui suggèrent un compte compromis.

Des pratiques voisines structurent cette démarche. La surveillance de l'activité des utilisateurs (UAM) fournit les événements bruts, et l'analyse du comportement des utilisateurs et des entités (UEBA) applique des modèles statistiques pour faire remonter les anomalies.

Dans le module Anexet Activity, chaque utilisateur surveillé dispose d'une fiche, et les catégories de risque définies par l'administrateur transforment les événements de politique en incidents assortis d'un niveau de risque. Le tableau de bord montre comment les incidents se répartissent entre les catégories, de sorte que l'analyste peut partir du schéma, puis ouvrir les événements qui le sous-tendent.

1 / 2

• 
• 

Le RGPD définit le profilage à l'article 4, point 4, comme un traitement automatisé de données à caractère personnel consistant à évaluer certains aspects personnels d'une personne physique. Cela couvre l'analyse ou la prédiction du rendement au travail, de la situation économique, de la santé, des préférences personnelles, des intérêts, de la fiabilité, du comportement, de la localisation ou des déplacements. Un scoring de risque comportemental fondé sur les données de surveillance des salariés entre dans cette définition.

Trois obligations comptent en pratique. Le profilage repose sur l'intérêt légitime, qui doit être mis en balance avec l'impact sur les salariés. Les salariés doivent être informés de la réalisation du profilage et de la logique générale qui sous-tend les scores de risque. Les décisions automatisées produisant des effets juridiques ou comparablement significatifs ne peuvent pas reposer uniquement sur un traitement automatisé (article 22) et doivent prévoir une intervention humaine.

La surveillance systématique des salariés impose en outre une analyse d'impact relative à la protection des données avant tout déploiement.

Un profil qui déduit la personnalité, les opinions politiques ou religieuses, la santé ou l'appartenance syndicale n'est pas un contrôle de sécurité. Le traitement de ces catégories particulières de données est strictement encadré par le RGPD.

La différence entre un profil de sécurité légitime et un profil discriminatoire ne tient pas à l'algorithme. Elle tient à ce que le profil mesure, à sa précision et à celui qui décide :

La plupart des échecs du profilage sont des échecs de conception. Les programmes qui fonctionnent s'inscrivent dans un processus plus large de gestion du risque interne, et leurs limites se fixent plus facilement avant l'apparition du premier score. Les contrôles pratiques sont les suivants :

• Définir d'abord la question de sécurité, et ne collecter que les données dont elle a besoin.
• Expliquer simplement aux salariés comment sont construits les scores de risque.
• Examiner à la main les scores élevés, au regard des événements sous-jacents, avant toute action.
• Limiter l'accès aux profils à des rôles de sécurité nommément désignés et journaliser chaque consultation.
• Retester régulièrement les seuils, car des indicateurs faibles signalent un travail ordinaire.

Commencez par la question à laquelle le profil doit répondre, par exemple quels comptes sont utilisés à des heures inhabituelles. Un profil qui répond à une seule question avec des preuves vaut davantage qu'un score qui classe tout le monde.

Les équipes qui veulent le mettre en pratique peuvent commencer par la détection des menaces internes et n'élargir le périmètre que lorsqu'une question concrète l'exige.

Pour aller plus loin : Le profilage.