Ce que couvre l'UAM
La surveillance de l'activité des utilisateurs (UAM) enregistre ce que font les personnes sur les systèmes de l'entreprise : les programmes utilisés, les sites visités, les fichiers ouverts et les appareils connectés. Chaque événement devient un enregistrement d'activité, et l'UAM désigne la pratique qui consiste à collecter et à examiner ces enregistrements dans leur ensemble.
Cette pratique ne décide pas seule de ce qui est acceptable. Une politique écrite fixe la finalité, le périmètre et les personnes autorisées à consulter les données. Sans elle, un outil conçu pour protéger l'entreprise peut glisser vers le contrôle d'individus. Le périmètre doit donc être défini avant l'installation du premier agent.
Ce qu'un agent UAM enregistre
Un agent sur chaque poste envoie les enregistrements vers un entrepôt central. Ce qu'il capture dépend du profil défini pour le poste, de la politique de l'entreprise et du cadre juridique du pays où travaille la personne.
| Domaine | Ce qui est enregistré | Pourquoi c'est important |
|---|---|---|
| Temps actif et inactif | Les moments d'utilisation du poste et ceux où il reste sans surveillance | Sépare le temps de travail de l'absence et alimente les feuilles de temps |
| Utilisation des applications | Les programmes lancés et le temps passé au premier plan | Montre les outils réellement utilisés et ceux que personne n'ouvre |
| Activité web | Sites visités, requêtes de recherche et temps passé sur chaque site | Révèle un travail effectué hors des outils approuvés |
| Opérations sur les fichiers | Fichiers ouverts, modifiés, copiés, renommés ou supprimés, avec leurs chemins | Retrace où est passé un document et qui l'a déplacé |
| Communication | E-mails, messages et transferts de fichiers dans les messageries | Couvre les canaux par lesquels les données sensibles sortent souvent |
| Appareils et impression | Presse-papiers, travaux d'impression et connexions de périphériques USB | Montre les chemins de copie qui contournent le réseau |
| Captures d'écran | Captures périodiques lorsque le profil les active | Fournit une preuve visuelle et constitue la donnée la plus sensible |
Pourquoi les organisations déploient l'UAM
La plupart des déploiements poursuivent trois objectifs. Le premier détermine souvent la conception des autres.
- Sécurité : une référence du travail normal rend visibles les écarts, comme de gros transferts de nuit. C'est le cœur de la détection des menaces internes.
- Enquêtes : après une fuite ou une violation de politique, les enregistrements montrent qui a fait quoi, quand et sur quel système, ce qu'exigent les procédures disciplinaires et juridiques.
- Temps de travail : les données agrégées montrent les heures actives, l'usage des applications et le temps d'inactivité par équipe, ce qui alimente les feuilles de temps et la planification des charges.
UAM, DLP, UEBA et SIEM
Ces notions se recoupent, mais chacune répond à une question différente. La prévention des pertes de données (DLP) détermine où les données sensibles peuvent aller et bloque les transferts qui enfreignent les règles. L'UAM cherche à savoir ce que chaque personne a fait, et le transfert de données n'en est qu'un élément.
L'analyse du comportement des utilisateurs et des entités (UEBA) applique des statistiques et de l'apprentissage automatique à ces enregistrements pour noter les comportements inhabituels. Un SIEM collecte les journaux de sécurité de nombreux systèmes et les corrèle. L'UAM fournit le détail d'activité que les deux autres peuvent exploiter, et de nombreux programmes font fonctionner les trois côte à côte.
Qui peut consulter les données
Les données de surveillance sont sensibles en elles-mêmes, l'accès doit donc être plus étroit que les données. Séparez ceux qui définissent la politique de ceux qui lisent les enregistrements au quotidien, et rattachez chaque consultation à une finalité définie. Cela s'inscrit aussi dans la gestion des risques internes, pilotée comme un processus et non comme un outil.
| Rôle | Ce qu'il examine | Condition |
|---|---|---|
| Analyste sécuritéRéponse aux incidents | Chronologies autour d'une alerte ou d'un dossier précis | Accès lié à un dossier ouvert et journalisé |
| Partenaire RHRelations sociales | Rapports de synthèse sur le temps de travail | Seulement après une demande documentée et une validation juridique |
| Administrateur ITGestion des agents | État des agents et paramètres des profils | Sans lecture du contenu des activités |
| SalariéPersonne surveillée | La politique écrite et le périmètre qui le concerne | Informé à l'avance, avant le début de la surveillance |
Comment Anexet enregistre l'activité
Le module Anexet Activity s'appuie sur des agents d'extrémité pour Windows, Linux et macOS. Chaque profil d'agent détermine l'activité enregistrée, si bien que différents groupes de postes peuvent fonctionner selon des règles distinctes.
La console des profils regroupe ces choix en un seul endroit : surveillance de l'activité du PC avec délai d'inactivité, contrôle du presse-papiers et interrupteur d'usage de keylogger. Les captures d'écran et les autres types de capture se règlent dans le même profil. Le second cadre montre le résultat sur la chronologie de l'utilisateur.
1 / 2
Limites juridiques et éthiques
La surveillance des salariés est encadrée différemment selon les pays. Au titre du RGPD, elle exige une base juridique, une proportionnalité à une finalité déclarée, la minimisation des données et la transparence envers les salariés. Le droit américain est plus souple mais varie selon les États, et dans certains pays, le comité social doit approuver le système avant sa mise en service.
La bonne pratique est presque partout la même : une politique écrite, une finalité claire comme la sécurité plutôt que le micromanagement, et des contrôles d'accès sur les données de surveillance. Un programme UAM doit observer les systèmes et l'activité de l'entreprise, pas la vie privée de la personne. Établir des profils de salariés soulève ses propres questions juridiques.
| Exigence | S'applique à | Statut |
|---|---|---|
| Transparence envers les salariés | Salariés de l'UE et du Royaume-Uni au titre du RGPD | Obligatoire |
| Analyse d'impact | Surveillance systématique des salariés | Généralement requise |
| Avis du comité social | Allemagne et Pays-Bas | Requis |
| Notification écrite | Certains États américains | Selon l'État |
Par où commencer
Commencez par la question à laquelle la surveillance doit répondre, puis collectez le plus petit ensemble d'enregistrements d'activité qui y répond. Un programme conçu pour capter tous les signaux finit souvent désactivé, alors qu'un programme ciblé, avec un responsable clair, continue de fonctionner.
Gardez les données sur une infrastructure que vous maîtrisez. Avec le déploiement sur site, les enregistrements d'activité restent dans l'entreprise, ce qui compte lorsque les données de surveillance elles-mêmes sont sensibles.
Pour aller plus loin : Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.
Une surveillance que les gens comprennent est plus facile à défendre qu'une surveillance que personne ne sait expliquer.
Anexet TeamComment Anexet traite ce sujet
Le module Anexet Activity est une mise en œuvre complète de l'UAM, déployée via des agents on-premise sur des postes Windows, Linux et macOS :
Toutes les données d'activité restent sur l'infrastructure on-premise du client. L'éditeur n'a aucun accès au contenu surveillé. C'est un choix de conception délibéré pour les organisations dont les données de surveillance sont elles-mêmes sensibles (établissements financiers, administration, défense).
Captation des activités
suivi du temps actif et inactif, durée des applications au premier plan, activité web et de recherche, opérations sur les fichiers, activité de messagerie et de courriel, événements du presse-papiers et d'impression, connexions de périphériques USB, et captures d'écran périodiques (paramétrables).
Analytique de productivité
rapports agrégés sur les heures actives, le mélange d'applications et le temps d'inactivité par personne, équipe ou service, y compris des restitutions de type feuille d'heures.
Graphe des relations entre utilisateurs
visualisation des schémas de communication entre utilisateurs, qui aide à repérer des collaborations ou des relations de partage de données inhabituelles.
Moteur d'analyse de risque
il note chaque utilisateur selon huit catégories de risque prédéfinies, avec des tableaux de tendance et des alertes à seuil paramétrables via le gestionnaire de notifications (courriel, syslog, Telegram).
Module Anexet Activity
En savoir plus