Qu’est-ce que le DLP ?

La prévention des pertes de données (DLP) regroupe des technologies et des politiques qui détectent et empêchent la sortie non autorisée de données sensibles de l'organisation. Son objectif est d'empêcher l'exfiltration de données, qu'elle soit accidentelle ou malveillante.

La DLP protège les données dans trois états :

• Données au repos : stockées sur des disques, dans des bases de données ou dans des partages de fichiers.
• Données en transit : circulant sur le réseau, par courrier électronique ou sur Internet.
• Données en cours d'utilisation : actives sur un poste (presse-papiers, écran, USB).

Les pertes sont souvent involontaires :

• Un employé envoie une feuille de calcul à la mauvaise adresse.
• Un fichier se retrouve dans un compartiment de stockage en nuage public.
• Des données sensibles sont copiées sur une clé USB.

Les menaces internes malveillantes et les attaquants externes qui exfiltrent des données constituent l'autre moitié du problème.

Les types de données généralement protégés comprennent :

• Données personnelles (PII), comme les noms, les identifiants et les adresses.
• Données de paiement (PCI), comme les numéros de carte.
• Dossiers médicaux (PHI).
• Propriété intellectuelle et code source.

Les moteurs de DLP identifient les contenus sensibles grâce à plusieurs techniques :

• Correspondance de motifs (expressions régulières) pour les données structurées, comme les numéros de carte.
• Mots-clés et dictionnaires.
• Empreintes numériques et correspondance exacte avec des fichiers connus.
• Étiquettes de classification appliquées aux fichiers.

Les contrôles se situent à différents niveaux :

• DLP sur les postes : agent installé sur les ordinateurs portables et contrôlant les clés USB, le presse-papiers et l'impression.
• DLP réseau : inspecte le courrier électronique et le trafic Internet.
• DLP pour le nuage / CASB : surveille les applications en tant que service et le stockage en nuage.

Une politique de DLP associe la détection à une réponse. Les actions courantes sont les suivantes :

• Surveiller et journaliser uniquement.
• Alerter l'utilisateur ou l'équipe de sécurité.
• Bloquer le transfert.
• Mettre en quarantaine ou chiffrer les données.

Activer immédiatement le blocage entraîne des faux positifs et perturbe les processus de travail. La plupart des déploiements commencent en mode surveillance (audit) afin d'étudier le comportement normal et d'affiner les règles, puis passent au blocage pour les règles très fiables.

Des règles trop larges signalent des activités inoffensives et frustrent les utilisateurs. L'affinage est continu :

• Affinez les motifs et ajoutez du contexte (par exemple, exigez un seuil de quantité).
• Ajoutez à la liste d'autorisation les flux légitimes connus.
• Examinez les alertes et ajustez les règles.

La DLP et le chiffrement se complètent. Le chiffrement protège la confidentialité des données ; la DLP contrôle leurs déplacements. Notez toutefois qu'un chiffrement fort effectué par les utilisateurs peut empêcher la DLP de voir les données ; la politique peut donc exiger des canaux de chiffrement gérés par l'entreprise.

La DLP est puissante, mais elle n'est pas absolue :

• Elle ne peut pas inspecter les contenus qu'elle ne peut pas déchiffrer.
• Photographier un écran permet de la contourner.
• Des données mal classifiées peuvent passer entre les mailles du filet.

La DLP constitue une couche d'une stratégie de défense en profondeur, associée au contrôle des accès et à la surveillance.

Rappelez les trois états des données que protège la DLP.

La DLP détecte et empêche l'exfiltration non autorisée de données :

• Elle protège les données au repos, en transit et en cours d'utilisation.
• Elle détecte les données grâce aux motifs, aux mots-clés, aux empreintes numériques et aux étiquettes.
• Elle se déploie au niveau des postes, du réseau et du nuage.
• Commencez en mode surveillance, affinez les règles pour réduire les faux positifs, puis activez le blocage.