Data Loss Prevention
Pour les articles homonymes, voir DLP.
Le terme Data Loss Prevention (DLP) fait référence à un ensemble de techniques qui permettent d’identifier, de contrôler et de protéger l’information grâce à des analyses de contenu approfondies, que l’information soit stockée, en mouvement ou traitée[1]. L’objectif est de limiter la fuite de données sensibles, que cette dernière soit accidentelle ou intentionnelle. D’après le rapport «2013 Cost of Data Breach Study: Global Analysis» réalisé par Ponemon Institute, les fuites de données sont la cause d’actes criminels (exemple : vols de données), d’erreurs humaines et/ou de bugs dans le système[2].
Les termes « data loss » (perte de données) et « data leak » (fuite de données), qui sont étroitement reliés, sont souvent utilisés de manière interchangeable bien qu’ils aient un sens différent[3]. La perte de données devient une fuite de données dans le cas où le support contenant l’information sensible a été perdu puis obtenu par des personnes initialement non autorisées. Une fuite de données est toutefois possible sans que ces dernières aient été perdues.
Volet technique[modifier | modifier le code]
Les catégories de DLP[modifier | modifier le code]
Les techniques de la DLP peuvent être à la fois très simples et couramment utilisées, c’est le cas des antivirus et des pare-feu et vont jusqu’à l’installation de suites complexes de DLP. Nous allons donc analyser ces différents types de catégories[4].
Les mesures de sécurité standards[modifier | modifier le code]
Cette catégorie regroupe toutes les mesures habituelles de sécurité telles que les pare-feu, les logiciels antivirus, ou encore les systèmes de détection d’intrusion (IDS : intrusion detection system). Ces mécanismes sont destinés à protéger les ordinateurs contre d’éventuelles attaques extérieures.
Les mesures de sécurité avancées[modifier | modifier le code]
Les mesures de sécurité avancées utilisent des algorithmes pour détecter un accès anormal aux données sensibles.
Les solutions DLP[modifier | modifier le code]
Les solutions DLP sont non seulement capables de détecter des accès anormaux aux données, mais également de les prévenir et de les éviter. En effet, une solution DLP est capable d’identifier les données sensibles, de repérer l’endroit où elle est stockée, de contrôler qui doit avoir accès à ces données et enfin de les protéger, c’est-à-dire d’empêcher toute personne non autorisée à y avoir l’accès[5].
Le fonctionnement de la DLP[modifier | modifier le code]
La DLP est un outil permettant à l’entreprise de protéger ses données en fonction de sa politique interne. Elle est basée sur un serveur de gestion centralisé qui traite tous types de données, qui les contrôle et les protège[1].
Analyse du contenu de l'information[modifier | modifier le code]
La première étape du processus de prévention contre la perte de données est l’analyse des données. Cette étape s’établit en collaboration avec les dirigeants de l’entreprise et suit la politique interne de celle-ci.
Une fois que les dirigeants établissent quels types de données sont sensibles, la DLP analyse les données de l’entreprise pour déterminer où sont les données sensibles :
- L’envoi des documents de l’entreprise à la DLP qui effectue une recherche d’information correspondant à un modèle donné, par exemple un numéro de carte de crédit.
- Deux types de concordances de données : une avec les documents présents sur le serveur, où on regarde si ces types d’informations n’ont pas été copiés dans des mails ou sur une messagerie instantanée, et une autre concordance du même type mais avec la base de données.
- Les statistiques des endroits où les données identifiées comme sensibles sont les plus fréquemment perdues. À la suite de cela, la DLP effectue une recherche à ces endroits là, mais au sein de l’entreprise afin de détecter une éventuelle perte de données.
- La recherche conceptuelle où la DLP effectue une recherche par thèmes identifiées comme sensibles.
À la suite de ces recherches, la DLP crée des catégories pour chaque type de données sensibles. Il est souvent conseillé d’utiliser plusieurs de ces techniques au sein d’une même entreprise pour garantir une efficacité maximale.
Serveur de gestion centralisé[modifier | modifier le code]
La DLP dispose d’un serveur de gestion centralisé, où la politique interne de l’entreprise est définie, et qui traite de trois types d’information différentes :
- L’information en mouvement qui regroupe les informations diffusées par mails, par messagerie instantanée ou par l’activité sur le web.
- L’information stockée qui regroupe les données statiques sur un serveur.
- L’information traitée qui regroupe les données transmises. Cela peut-être d’ordinateur à clé USB ou par impression.
Le serveur de gestion centralisé est fait pour faciliter l’utilisation de la DLP aux entreprises. L’outil est fait pour s’adapter aux métiers de l’entreprise.
Les données en mouvement[modifier | modifier le code]
Contrôleur réseau
Le contrôleur réseau est un serveur qui scanne l’activité sur le web, localise et contrôle l’information. Il est capable de bloquer certaines infractions en fonction de la politique interne de l’entreprise et de stopper toute activité indésirable.
Le contrôle des flux d’E-mails est le plus important dans une entreprise, et donc celui qui demande la protection maximale. La DLP est donc capable de rediriger tous les e-mails sensibles vers un responsable qui donnera ensuite l’accord pour envoyer ou non l’e-mail.
Agent logiciel
L’agent logiciel agit au niveau des postes de travail et gère les connexions depuis l’extérieur sur un ordinateur de l’entreprise, notamment sur des ordinateurs portables. Le logiciel directement installé sur le poste permet de contrôler les flux de données sans être connecté au réseau de l’entreprise.
Données stockées[modifier | modifier le code]
La DLP est capable d’analyser les données stockées pour trouver où sont les données sensibles. Trois types de mesures existent.
Le scanning à distance
La DLP se connecte à l’espace de stockage et analyse toutes les données pour en faire ressortir les sensibles. Cette solution utilise la bande passante du réseau de l’entreprise.
L’agent logiciel local
L’agent logiciel local scanne l’information localement et transmet les résultats au serveur central. Cet outil est idéal pour protéger l’information des ordinateurs des employés, tout comme l’agent logiciel vu dans la partie concernant les données en mouvement.
L’intégration d’application
L’intégration d’application permet de lier les solutions de gestions de contenu utilisées par l’entreprise telles que Microsoft SharePoint ou EMC Documentum (espaces de stockage en ligne) avec la DLP pour tirer le meilleur profits des deux services.
La DLP est donc capable de mettre en quarantaine et de supprimer les fichiers suspects au sein de l’information stockée.
L’information traitée[modifier | modifier le code]
L’information stockée se contrôle grâce à des agents logiciels. Ils permettent de limiter le transfert de données sensibles sur des espaces de stockage inconnus ou non adaptés. Ce système est également valable pour éviter les impressions de données sensibles.
Volet organisationnel[modifier | modifier le code]
Les composantes de la DLP[modifier | modifier le code]
Selon David Grout qui est le responsable Europe du Sud de l’offre DLP de McAfee, il existe trois composantes essentielles d’une solution de prévention contre les pertes et fuites de données[6] :
- Une composante technologique consistant à gérer les périphériques de sortie, bloquer les clés USB, etc.
- Une composante relative aux contenus en interdisant la copie de certaines données vers certaines destinations
- Une composante relative aux règles : il convient de mettre en place des contraintes au niveau de l’impression, de l’envoi d’informations par email, P2P, etc.
Mise en place de la DLP[modifier | modifier le code]
La première phase consiste à définir et mettre en place au sein de l’organisation une politique interne. Elle doit définir quels types d’informations sont à protéger et comment. Ensuite, il convient de localiser l’information définie en utilisant la solution DLP. Si elle ne se trouve pas là où elle devrait être, il faut la déplacer. La troisième phase consiste à contrôler et surveiller l’information définie stockée, en mouvement et traitée et l’usage qu’il en est fait. Si une infraction a lieu, une alerte doit être générée. Enfin, la dernière phase est la protection de l’information telle que déplacer des mails en quarantaine, bloquer la copie d’éléments sur des supports de stockage, etc.
Avant de mettre en place des solutions DLP, un certain nombre de prérequis sont nécessaires[7]. Lorsqu’il y a une violation de la politique de sécurité, les solutions DLP doivent pouvoir associer cette violation à un utilisateur précis. Ainsi, il convient dans un premier temps de pouvoir lier de manière fiable les comptes aux utilisateurs correspondant. Ensuite, l’entreprise doit identifier les données qu’elle veut protéger (par exemple, des coordonnées clients, des numéros de carte bancaires, des mots de passes...) et savoir où elles se trouvent (sur les postes de travail, dans des bases de données accessibles sur le réseau...). Enfin, comme un outil de protection contre les pertes de données génère des alertes, il faudra décider des procédures à mettre en place afin de les traiter : qui contacter en cas d’alerte ? Quelles démarches réaliser ? Etc.
Les coûts liés à la perte de données[modifier | modifier le code]
Les coûts de la perte de données[modifier | modifier le code]
L’institut Ponemon et Symantec ont réalisé une étude en 2013 sur les coûts de la perte de données et ont montré que le coût moyen d’un fichier perdu serait de 81€. Le nombre de fichiers perdus augmenterait d’années en années notamment dû à l’augmentation des cyber-attaques. Le coût d’un fichier perdu a été estimé en prenant en compte la mise en place de solutions de nettoyage et de prévention ainsi que la perte de confiance occasionnée[2]. Dans son étude “Data Protection Index”, l’EMC souligne qu’en France, le coût annuel de la perte de donnée s’élèverait à 30 milliards d’euros par an[8].
Les coûts d'une solution DLP[modifier | modifier le code]
Les coûts de la DLP varient selon les fournisseurs. Pour une organisation de taille moyenne, une solution DLP coûte entre $300 000 et $500 000 par an. Les fournisseurs proposent généralement un forfait annuel sous forme de licence pour l’ensemble de la solution DLP, mais certains établissent leurs tarifs par composant de la solution DLP [1].
Les apports de la DLP à l'entreprise[modifier | modifier le code]
La DLP offre de nombreux avantages à l’entreprise qui peut savoir, grâce à elle, où est stockée l’information et comment elle est utilisée. Cela aide à réduire les risques de perte ou de fuite. La DLP propose donc deux volets, un premier sur la sécurité des données et un second sur la gestion des menaces, tout en s’alignant sur la politique interne de l’entreprise.
De plus, il est intéressant de noter que le prix d’une solution DLP est nettement inférieur à celui de la perte de données, et que l’entreprise peut donc réduire ses coûts sur le long terme.
La DLP offre également un modèle de conformité capable de faciliter les audits au sein de l’organisme[1].
Volet juridique (France)[modifier | modifier le code]
L’importance de l’informatique au sein d’une organisation entraîne la production, le traitement et l’échange d’un grand nombre de données pouvant être personnelles. La loi « Informatique et Libertés » du 6 janvier 1978 modifiée par la loi du 6 août 2004 impose aux différents organismes que ces données soient sécurisées pour lutter contre toutes menaces pesant sur les systèmes et réseaux d’information. Elle définit les différents principes à mettre en œuvre et à respecter lorsque des données sont collectées, traitées, conservées, utilisées ou détruites. La sécurité des données concerne leur confidentialité, leur intégrité, leur authenticité mais aussi leur disponibilité[9].
L’article 34 de la loi rappelle que « Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. »[10].
La loi « Informatique et Libertés » s’applique pour tout traitement de données qu’il s’agisse d’un fichier “papier” ou informatique contenant des données personnelles relatives à des personnes physiques. Les pouvoirs de contrôle et de sanction de la Commission nationale de l'informatique et des libertés (CNIL) sont également précisés.
Un organisme peut écoper d’une sanction pécuniaire par la CNIL en cas de perte de données non protégées fondée sur l’absence de contrôle interne.
De plus afin de protéger les systèmes d’information de pertes de données, les outils de DLP contrôlent, entre autres, les salariés puisqu’ils sont susceptibles de divulguer de manière intentionnelle ou non des informations sensibles. C’est notamment pour cela que ces outils doivent faire l’objet d’une déclaration à la CNIL, faute de quoi, toutes les données qui auraient été recueillies par les outils de DLP ne pourraient pas être utilisées comme preuves afin de justifier une possible sanction du salarié fautif. C’est ainsi, par exemple, que la Cour d’Appel de Paris en est venue à annuler le licenciement disciplinaire d’un salarié auteur d’une fuite de données à l’occasion d‘une décision du 12 mai 2016[11]. De plus, outre la nécessaire déclaration à la CNIL, il convient de vérifier que la charte informatique de l’entreprise autorise l’utilisation de tels outils, faute de quoi il conviendra de la modifier.
Article connexe[modifier | modifier le code]
Références[modifier | modifier le code]
- Pdf securosis : Le guide de la prévention contre la perte de données
- http://www.ponemon.org/local/upload/file/2013%20Report%20GLOBAL%20CODB%20FINAL%205-2.pdf
- Asaf Shabtai, Yuval Elovici, Lior Rokach, A Survey of Data Leakage Detection and Prevention Solutions, Springer-Verlag New York Incorporated, 2012
- Clifton Phua, « Protecting organisations from personal data breaches », Computer Fraud & Security, vol. 2009, , p. 13–18 (DOI 10.1016/S1361-3723(09)70011-9, lire en ligne, consulté le )
- Ouellet, E., Magic Quadrant for Content-Aware Data Loss Prevention, Technical Report, RA4 06242010, Gartner RAS Core Research, 2012
- « Les trois composantes d'un projet DLP | Solutions Numériques », sur www.solutions-numeriques.com (consulté le )
- « Les prérequis | Solutions Numériques », sur www.solutions-numeriques.com (consulté le )
- http://france.emc.com/collateral/presentation/emc-dpi-key-findings-global.pdf
- https://www.cnil.fr/sites/default/files/typo/document/Guide_securite-VD.pdf
- Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (lire en ligne)
- Eric A. Caprioli, « Fuite d'informations : Quel encadrement juridique pour les Data loss prevention (DLP) ? », usine-digitale.fr, (lire en ligne, consulté le )
