Données d’entreprise : bonnes pratiques de sécurité

Les solutions de sécurité des données d’entreprises protègent les informations sensibles pour éviter qu’elles ne tombent entre de mauvaises mains. Leur rôle est d’empêcher les divulgations pouvant découler d’une attaque extérieure, d’une erreur de configuration, voire d’un acteur interne.

Lorsque toutes ces données étaient hébergées au sein des data centers, les équipes de sécurité n’avaient à gérer qu’un périmètre centralisé, clairement délimité et prévisible. Mais les choses ont changé : aujourd’hui, les données ne résident plus uniquement sur les appareils des utilisateurs ou les infrastructures physiques contrôlées par l’entreprise. Ce découplage croissant du matériel et de l’information doit donc tout naturellement engendrer une refonte significative de la sécurité des données pour s’adapter aux nouveaux usages.

Où sont les données ?

Aujourd’hui, les données d’entreprise sont réparties sur une multitude de lieux et d’équipements, y compris les appareils utilisateurs, les data centers sur site et les réseaux multicloud. On assiste d’autre part à l’abandon progressif des applications de bureau au profit du cloud, si bien que l’appareil de l’utilisateur ne sert souvent plus qu’à la saisie de données, ces dernières étant ensuite traitées et stockées dans le cloud.

Pour résumer, les données ne sont plus ces éléments statiques d’autrefois, déployés au sein d’un périmètre clairement défini et contrôlé par l’entreprise. Elles transitent désormais entre différents types d’environnements et de multiples régions à travers la planète, ce qui complique évidemment la tâche des équipes de sécurité.

À lui seul, le chiffrement ne fait pas le poids face aux menaces actuelles

Autrefois, les entreprises pensaient à tort que la majorité des pertes de données étaient dues aux agissements de pirates et autres acteurs mal intentionnés. Le chiffrement était donc perçu comme la panacée pour éliminer le risque. Or, nous savons désormais qu’une part importante des fuites de données émane non pas de sources externes, mais de l’intérieur même de l’entreprise.

Dans ce dernier cas de figure, le chiffrement n’offre aucune protection, puisque que la personne dispose déjà d’un accès à toutes les données, chiffrées ou non.

L’identification des données critiques est essentielle

L’identification et la protection des données les plus sensibles sont un problème de longue date pour les entreprises. Pendant longtemps, elles s’y sont attaquées en créant des règles selon le format des données et des fichiers. Ces politiques pouvaient ensuite être ajustées au fil du temps, avec en prime la possibilité de créer des catégories selon un degré d’importance propre à chaque entreprise. Le problème est que cette approche est totalement inadaptée aux usages modernes, à l’heure où des données sont sans cesse créées et partagées en tout lieu et sur une myriade d’équipements.

La solution passe par le machine learning (ML) et sa capacité à identifier les données sensibles de manière plus précise, rapide et évolutive que jamais. Le ML permet d’établir une classification automatique des données importantes. En ce sens, la protection ne passe plus tant par la catégorisation manuelle des données que par l’inspection du contenu en tant que tel.

Avec cette nouvelle forme de contrôle « content-aware », l’identification ne repose plus sur la source ou les attributs externes (p. ex., un nom de fichier) ; les outils de sécurité passent le fichier à la loupe pour déterminer la teneur de son contenu. En clair, le modèle de machine learning est capable d’établir la présence ou non de données sensibles à protéger.

Si la classification manuelle reste utile dans certains cas, l’inspection automatisée du contenu n’en offre pas moins une approche beaucoup plus précise et évolutive.

Les solutions DLP et SASE sont au cœur de la sécurité des données

Composant central des technologies de sécurité informatique, les systèmes de prévention des pertes de données (DLP) ont eux aussi évolué au fil des années. Les solutions DLP modernes s’intègrent désormais aux architectures SASE (Secure Access Service Edge) pour renforcer la cybersécurité des entreprises.

Quel est l’intérêt du SASE ?

Face à la prolifération des données et à l’ubiquité des utilisateurs, le SASE ajoute une couche de sécurité visant à protéger les organisations, les utilisateurs et leurs données. Le SASE assure la convergence entre l’accès aux réseaux cloud et les services de sécurité, ce qui permet de protéger les connexions des collaborateurs aux ressources de l’entreprise, quels que soient le lieu et le moment.

L’architecture SASE rassemble plusieurs fonctionnalités telles que la prévention des menaces ou les CASB (Cloud Access Security Broker). Elle recoupe également le SD-WAN et le ZTNA (Zero Trust Network Access). En ce sens, la prévention des pertes de données devient partie intégrante d’une suite élargie de services dédiés à la protection continue des interactions utilisateurs.

Autres leviers d’amélioration de la sécurité des données

Les responsables de la sécurité disposent d’autres moyens pour renforcer la protection des données de l’entreprise.

Réévaluez vos priorités : à l’heure du tout numérique, la protection des données doit se hisser au rang des priorités de chaque entreprise. Les thématiques de cybersécurité et de confidentialité doivent s’inviter à l’ordre du jour des Comex et des conseils d’administration. Si ce n’est pas déjà le cas, vous devez y remédier.

Adoptez une approche multipartite : : pour être efficace, une stratégie de sécurité des données requiert l’implication de toutes les parties prenantes. Concrètement, les bonnes pratiques recommandent la mise en place d’un comité de pilotage pluridisciplinaire pour discuter des objectifs et déterminer l’approche de sécurité adéquate.

Utilisez des outils modernes : les technologies de protection des données d’il y a dix ans ne font tout simplement plus le poids face aux menaces actuelles. Les entreprises doivent revoir leur stratégie en misant sur des approches et des outils de sécurité modernes. Il incombe donc aux responsables IT de remplacer les systèmes sur site obsolètes par des solutions de nouvelle génération, notamment celles qui s’appuient sur le cloud, l’intelligence artificielle et le machine learning pour classifier automatiquement les données sensibles.

La viabilité d’une entreprise – à moyen comme à long terme – repose aujourd’hui très largement sur son capital data. La protection des informations sensibles et le respect de la confidentialité sont donc deux éléments absolument indispensables. La bonne nouvelle est qu’il existe aujourd’hui des méthodes efficaces pour y parvenir.