Qu’est-ce que la prévention des pertes de données (DLP) ? [Définition complète]

Avec l’omniprésence du big data dans l’économie actuelle, la prévention des pertes de données est devenue une préoccupation majeure pour les data scientists et les experts en sécurité.

Qu’est-ce que la prévention des pertes de données ? La DLP est l’ensemble des technologies et des politiques utilisées pour empêcher le vol, la corruption ou la divulgation non autorisée d’informations sensibles, en dehors de l’infrastructure informatique d’une organisation.

Qu’est-ce que la « perte de données » ?

La perte de données correspond à l’endommagement, la destruction ou la divulgation d’informations, au point de les rendre illisibles, inutilisables ou inadaptées à l’usage auquel elles étaient destinées.

Cette définition évoque quelques-unes des difficultés engendrées par une perte de données. Dans la plupart des cas, les données sont difficiles à « perdre », simplement parce qu’il est facile d’en faire des copies ou de les restaurer sur ordinateur avec les outils appropriés.

Néanmoins, les données peuvent être « perdues » lorsqu’elles sont exposées ou transférées vers un emplacement externe, consultées par des personnes non autorisées ou corrompues. Voici les formes de pertes de données les plus courantes :

• Les menaces externes (extrusion) : la forme la plus simple de perte de données. Un tiers externe tente de prendre le contrôle des données et de les déplacer vers des systèmes externes à l’entreprise. Par exemple, si un pirate informatique vole un dump dans la base de données d’une entreprise, la copie locale peut rester sur les serveurs de l’entreprise même si des copies sont créées en externe. Cette situation est assimilée à une perte de données.

• Les menaces internes : de même, si un membre de l’entreprise collabore avec un tiers externe pour voler des informations, il est très probable que ce dernier copie les données sans les détruire. Cette forme d’espionnage est considérée comme une perte de données.

• Divulgation accidentelle : les accidents existent. Un salarié peut joindre par inadvertance un fichier sensible à un e-mail, ou emporter l’ordinateur portable de son travail. Bien qu’involontaire, ce genre d’accident est considéré comme une forme de perte de données. Ces évènements peuvent causer des dégâts considérables en matière de sécurité et de conformité s’ils s’accumulent au fil du temps.

• Altération ou destruction : contrairement aux idées reçues, les données ne sont pas éternelles. Les pannes matérielles sont courantes, tout comme les pannes qui résultent d’un problème d’automatisation ou d’une mauvaise configuration de logiciels. Dans les principaux systèmes cloud dépourvus de mesures DLP, il est très facile de corrompre, altérer ou détruire des données.

La prévention des pertes de données est un ensemble de technologies, de pratiques et de politiques visant à empêcher une perte accidentelle, une perte d’intégrité des données, ou une attaque malveillante. Plus exactement, les systèmes DLP auront un impact sur l’infrastructure informatique qui contient des données sensibles pour l’entreprise. Sont considérées comme informations sensibles :

• Les informations personnelles identifiables (PII) : toute Information permettant d’identifier un utilisateur en dehors du système. Les PII peuvent être des numéros de téléphone, des numéros de sécurité sociale, des adresses, des indications sur la famille, etc.

• Les informations médicales protégées (PHI) : toute information associée à des soins de santé, à des soins mentaux ou au paiement de services de soins avec un prestataire ou un partenaire commercial.

• Les informations fiscales fédérales (FTI) : tout renseignement, y compris les PII, lié à des relevés de notes, des dossiers ou des déclarations de revenus.

• Les informations sensibles non classées et contrôlées (CUI) : toute information générée par des prestataires travaillant pour le ministère de la Défense américaine (DoD) ou avec des organismes de défense. Elles ne sont pas classées secrets défense, mais représentent quand même des informations gouvernementales sensibles. Pour protéger les CUI, les prestataires de service du DoD doivent se conformer au niveau 2 du Cybersecurity Maturity Model Certification (CMMC) 2.0.

• La propriété intellectuelle (PI) : la propriété immatérielle d’un individu ou d’une organisation, y compris les brevets, les marques et les secrets industriels.

Comment se présente une stratégie de prévention des pertes de données ?

Dans un monde où les infrastructures big data sont gigantesques et hébergées dans le cloud, prévenir les pertes de données est une évidence. Avec des téraoctets de données transmises, traitées ou stockées en permanence, les risques de perte de données augmentent de façon exponentielle.

Les entreprises ont donc intérêt à mettre en place des stratégies globales de DLP. Ces stratégies sont à inclure dans le plan de prévention des pertes de données, qui relève généralement d’une politique de gouvernance plus large. Le partage des données au sein des entreprises numériques comporte des risques, aussi bien en termes de sécurité que de conformité.

Voici quelques éléments de stratégie DLP :

• Protéger les données au repos, en transit et en cours d’utilisation : le chiffrement au repos et en transit est indispensable pour prévenir les pertes de données. Le chiffrement des informations contenues dans une base de données, ou circulant dans des systèmes en réseau, est une pratique déjà répandue. Il reste pourtant à sécuriser les données pendant leur utilisation, via un chiffrement matériel ou par d’autres méthodes.

• Sécuriser les terminaux : parmi les violations de données les plus courantes, certaines surviennent lorsqu’un terminal (ordinateur portable ou appareil connecté à un système informatique sécurisé) est laissé sans surveillance. Il est recommandé aux entreprises de sécuriser au minimum ces appareils par une authentification multifactorielle (idéalement avec la biométrie) et des disques durs chiffrés.

• Réaliser des contrôles d’intégrité : l’intégrité prévient les altérations de données et enregistre les interactions pour éviter la perte de données. Ces outils peuvent être des journaux des données entrantes, des journaux des événements et des transactions, ou encore la gestion des versions et la récupération de données.

• Systèmes de détection d’intrusions (IDS) et de protection contre les intrusions (IPS) : ils permettent aux équipes de sécurité de repérer toute tentative d’intrusion dans un système pour voler des fichiers. À plus grande échelle, la gestion des informations et des événements de sécurité (ou SIEM) peut inclure la détection et la prévention des intrusions dans un cadre plus large.

Quelles sont les bonnes pratiques de prévention des pertes de données ?

Les bonnes pratiques de DLP consistent bien souvent à utiliser la bonne technologie pour gérer les menaces tout en veillant à l’intégrité des systèmes. Mais cette démarche est trop complexe dans les grandes entreprises pour être viable.

Avant d’envisager les démarches suivantes, gardez bien en tête la vision d’ensemble de votre infrastructure de données :

• Implémenter des politiques de prévention des pertes organisationnelles : la stratégie DLP doit faire partie d’un plan de gouvernance ou de sécurité des données plus large. Elle doit définir clairement quelles sont les données sensibles présentes dans vos systèmes, où elles sont stockées, qui interagit avec elles et quels contrôles sont nécessaires pour garantir leur intégrité et leur sécurité.

• Intégrer la DLP dans les missions du RSSI (Responsable de la Sécurité des Systèmes d’Information) : jusqu’à présent, la sécurité et l’intégrité des données incombaient au directeur technique ou au directeur des systèmes d’information (DSI).

  Mais le big data est devenu si complexe et si important pour les entreprises que le poste de RSSI a fait son apparition. Les RSSI ont un rôle important à jouer dans le déploiement des politiques et des pratiques dans l’ensemble de l’entreprise.

• Procédures d’authentification et de contrôle d’accès bien définies : la base de la prévention des pertes de données est de veiller à ce que seules les personnes autorisées puissent les consulter. Par conséquent, les systèmes d’authentification et d’autorisation doivent être systématiquement intégrés à toute l’organisation, grâce à une plateforme centralisée ou à une solution d’authentification unique (SSO).

• Utiliser un SIEM ou d’autres outils de surveillance des événements : les outils SIEM sont indispensables pour surveiller l’activité des fichiers. Avec une solution SIEM complète, vous pouvez détecter et prévenir les intrusions en appréhendant le contexte global de gestion de vos données.

Choisissez la solution de prévention des pertes de données de Kiteworks

Pour gérer de façon sécurisée les échanges de contenus sensibles entre individus et organisations, la DLP doit s’appliquer à la fois aux communications entrantes et sortantes. Pour les communications sortantes, la DLP identifie les PII, PHI, IP et autres informations sensibles. Grâce à la politique de sécurité zéro trust du Réseau de contenu privé Kiteworks, vous pouvez bloquer l’envoi de fichiers par e-mail, partage de fichiers ou transfert de fichiers géré (MFT). Vous pouvez également choisir de notifier en temps réel les équipes de sécurité, grâce aux métadonnées capturées dans les syslogs qui alimentent les systèmes SIEM du SOC.

En outre, la plateforme Kiteworks peut générer des rapports contenant une synthèse des données DLP, pour satisfaire aux exigences de conformité réglementaire. Ces rapports peuvent servir notamment dans le cadre de l’HIPAA (Health Insurance Portability and Accountability Act), du RGPD, de la loi CCPA (California Consumer Privacy Act), de la loi PIPEDA (Personal Information Protection and Electronic Documents Act), du CMMC, de la loi FISMA (Federal Information Security Management Act) ou encore de la loi GLBA (Gramm-Leach-Bliley Act).

Pour en savoir plus sur le Réseau de contenu privé Kiteworks et sur l’intégration de la DLP dans les politiques de sécurité zero trust, réservez votre démo personnalisée.

Ressources complémentaires

• Rapport Get 15 Predictions for Managing Your Private Content Exposure Risk in 2023
• Guide Map CMMC 2.0 Requirements to Your Sensitive Content Communications
• Rapport Benchmark Your Security and Compliance Risk for Sensitive Content Communications