Données Sensibles

Les données sensibles forment une catégorie large. Une fiche client, un dossier médical, un numéro de carte et le plan d'un produit doivent tous être protégés, même s'ils ont peu de points communs. Ce qui les rassemble, c'est que leur divulgation peut nuire à une personne ou à une organisation, sur les plans juridique, financier ou réputationnel.

La notion couvre les enregistrements structurés des bases de données et des journaux, mais aussi les contenus non structurés, comme les documents, les tableurs et les messages de discussion. Avant de protéger ces données, une entreprise doit savoir ce qui est sensible dans son environnement, et c'est le rôle de la classification des données.

Les données sensibles sont généralement regroupées en catégories reconnues. Les données personnelles, par exemple, identifient une personne précise, directement ou lorsqu'elles sont combinées à d'autres données. Le tableau présente les grands groupes et les règles qui s'appliquent le plus souvent à chacun.

Il n'existe pas de liste universelle unique des données sensibles. Chaque cadre les définit pour son propre champ :

Les lois régionales et sectorielles, comme le CCPA et le CPRA en Californie, ajoutent leurs propres définitions. C'est pourquoi les organisations tiennent en général un inventaire interne des données, relié à chaque cadre applicable.

• Le RGPD protège les données personnelles, c'est-à-dire toute information sur une personne identifiable. Les catégories particulières de l'article 9 exigent une justification supplémentaire avant tout traitement.
• La HIPAA définit les informations de santé protégées comme des données de santé créées ou traitées par une entité couverte, sous toute forme : électronique, papier ou orale.
• La norme PCI DSS porte sur les données des titulaires de carte. Après l'autorisation, elle interdit de stocker les données d'authentification sensibles, comme les données complètes de piste, le CVV et le code PIN.

Les outils de détection combinent plusieurs méthodes, chacune ayant ses atouts :

• Thésaurus : listes de mots-clés pour un sujet, comme les termes liés aux cartes bancaires ou le vocabulaire financier.
• Motifs : expressions régulières qui repèrent des identifiants, comme les numéros de compte bancaire, les codes postaux ou le format du numéro de sécurité sociale américain (SSN).
• Empreintes numériques et banques de hachages : détection des copies exactes et des modèles de documents connus.
• Étiquettes de sensibilité : contenus portant déjà une étiquette de sensibilité Microsoft.

Les définitions varient selon le cadre, et les contenus sensibles sont dispersés dans de nombreux systèmes. La perte de contrôle entraîne des sanctions, des obligations de notification de violation et une atteinte à la réputation. La première étape concrète est donc la découverte et la classification. Les données sensibles sont l'objet central de la prévention des pertes de données (DLP), qui ne peut protéger que ce qu'elle trouve.

1. 1

   Découvrir

   Repérez où se trouvent les données sensibles dans les systèmes, sur les postes et dans les services cloud.

2. 2

   Classer

   Étiquetez les données pour que leur sensibilité soit claire pour les personnes et les outils.

3. 3

   Appliquer des contrôles

   Adaptez la protection à la sensibilité de chaque catégorie, en commençant par les canaux les plus exposés.

Dans Anexet DLP, l'onglet Objects of analysis regroupe les éléments de détection. Le premier cadre montre les dictionnaires intégrés, le second les expressions régulières pour les identifiants à format fixe. L'administrateur les sélectionne lors de la création d'une règle de blocage.

1 / 2

• 
• 

La plupart des projets de détection échouent de la même façon : ils commencent par les règles au lieu d'une liste claire de ce qu'il faut protéger. Un dictionnaire qui capte toute mention de la paie, ou un motif qui correspond à n'importe quel nombre à neuf chiffres, submerge la file d'alertes de faux positifs, et le personnel apprend vite à les ignorer.

• Écrire les règles avant d'avoir un inventaire des données, si bien que les dépôts les plus sensibles restent sans couverture.
• Utiliser une seule liste de mots pour tous les services, ce qui bloque le travail courant.
• Considérer l'étiquette comme une preuve : elle peut manquer, être fausse ou ne jamais être appliquée aux fichiers copiés.
• Surveiller seulement les e-mails en négligeant le stockage cloud, les messageries et les supports amovibles, où une fuite de données peut commencer sans être vue.

Commencez par les données dont la fuite causerait le plus de dégâts, puis par les canaux qu'elles empruntent réellement. Des règles écrites pour tous les fichiers à la fois bloquent le travail légitime et finissent désactivées. Une première politique étroite, que les personnes acceptent, vaut mieux qu'une politique large désactivée au bout d'une semaine.

Pour aller plus loin : Audit d'accès aux données sensibles et contrôle d'accès discrétionnaire; Top 5 des types de données que les concurrents tentent de voler.