Classification des données

Vous ne pouvez pas protéger ce que vous n'avez pas catégorisé. La classification des données étiquette les informations selon leur sensibilité afin que les contrôles, les règles d'accès et les politiques de DLP appropriés s'appliquent. Elle constitue le fondement de la DLP et de la plupart des programmes de conformité.

Un schéma courant à quatre niveaux :

• Public : peut être partagé librement.
• Interne : destiné aux employés, avec un faible risque en cas de fuite.
• Confidentiel : sensible, avec un accès restreint.
• Restreint / Secret : sensibilité maximale, contrôles stricts.

Associez les niveaux à des exemples concrets afin que le personnel sache où classer les données :

• Public : brochures commerciales.
• Interne : organigrammes, notes de réunion.
• Confidentiel : PII des clients, contrats.
• Restreint : données de cartes, dossiers médicaux, secrets.

Certaines données ont une portée juridique :

• PII : informations permettant d'identifier une personne (GDPR).
• PCI : données des titulaires de cartes.
• PHI : informations de santé protégées (HIPAA).

Elles relèvent généralement des catégories Confidentiel ou Restreint.

La classification devient utile lorsqu'elle est étiquetée : la catégorie est associée aux données afin que les outils puissent agir en conséquence.

• Étiquettes de métadonnées stockées avec le fichier.
• Marquages visuels dans les en-têtes et les pieds de page.
• En-têtes et étiquettes dans les courriels et les documents.

Deux approches, souvent combinées :

• Manuelle : l'auteur choisit une étiquette lors de la création ; cette méthode est précise, mais incohérente.
• Automatisée : les outils analysent le contenu et appliquent des étiquettes selon des motifs ; cette méthode est évolutive, mais nécessite un affinage.

La plupart des organisations possèdent déjà des données non étiquetées un peu partout. Les outils de découverte des données parcourent les partages de fichiers, les bases de données et les espaces de stockage en nuage pour trouver et classer les données sensibles existantes.

L’étiquette détermine les règles de traitement :

• Restreint : chiffrer, journaliser les accès et bloquer le partage externe.
• Confidentiel : limiter l’accès aux personnes qui ont besoin d’en connaître.
• Public : aucune restriction.

Les politiques DLP utilisent les étiquettes pour décider s’il faut bloquer un transfert.

Chaque catégorie doit définir comment les données sont stockées, transmises et partagées, ainsi que leur durée de conservation. Les données restreintes peuvent nécessiter un chiffrement et une courte durée de conservation ; les données publiques n’en nécessitent aucune. Documentez ces règles dans une norme de traitement des données.

La sensibilité des données évolue avec le temps. Un rapport confidentiel sur les résultats devient public après sa publication. Définissez quand et comment les données sont reclassifiées ou rétrogradées afin que les mesures de contrôle restent proportionnées.

Les programmes de classification échouent lorsque :

• Il y a trop de niveaux, ce qui déroute les utilisateurs (limitez-vous à 3 ou 4).
• Les étiquettes ne sont pas appliquées par les outils.
• Les données historiques ne sont jamais découvertes ni étiquetées.
• Aucun responsable clairement désigné ne gère le dispositif.

Appliquez les niveaux de classification.

La classification est le fondement de la protection des données :

• Utilisez un dispositif simple à plusieurs niveaux (de Public à Restreint).
• Étiquetez les données au moyen de métadonnées, de marquages et de balises.
• Combinez la classification manuelle et automatisée avec la découverte.
• Laissez l’étiquette déterminer le traitement, la conservation et les mesures DLP.