Prévention des pertes de données (DLP).

La Prévention des pertes de données (DLP) regroupe des contrôles qui inspectent les contenus en mouvement, au repos et en usage, puis appliquent des politiques pour maintenir les données réglementées ou confidentielles à l'intérieur des frontières de confiance. Les moteurs DLP combinent correspondance de motifs, règles lexicales, exact data matching, apprentissage automatique et empreintes de documents pour reconnaître PII, données de paiement, code source ou propriété intellectuelle. Les actions courantes incluent le blocage d'un e-mail sortant, la mise en quarantaine d'un fichier, la demande de justification ou la rédaction du contenu avant sortie. Les déploiements matures relient le DLP à la classification, à l'IAM et au SIEM/SOAR pour trier les incidents, préserver la preuve et affiner les politiques, en cohérence avec le RGPD, HIPAA et PCI DSS.

Canaux, détection et le problème de l'initié

Le DLP est généralement déployé sur trois points d'application : des agents sur les postes de travail (blocage de la copie USB, de l'impression, du presse-papiers et des captures d'écran), des passerelles réseau/messagerie (inspection du SMTP, des téléversements web et de la synchronisation cloud), et des connecteurs cloud/API qui analysent les données au repos dans les SaaS et le stockage objet. La qualité de la détection dépend de l'identification du bon contenu : les seules regex signalent bien trop de choses, si bien que les programmes sérieux superposent l'exact data matching (hachage des lignes d'une véritable base clients), l'empreinte de documents pour les fichiers propriétaires et des dictionnaires pour les termes réglementés. L'exigence 4 de PCI DSS et l'article 32 du RGPD en sont des moteurs courants, mais la règle la plus précieuse est souvent la moins astucieuse — alerter lorsqu'un seul utilisateur exporte des milliers d'enregistrements d'un coup.

Les cas les plus difficiles sont les initiés et l'exfiltration depuis les postes de travail plutôt que les piratages de masse. En 2022, Yahoo a poursuivi le chercheur scientifique sur le départ Qian Sang, alléguant qu'il avait téléchargé environ 570 000 fichiers de la propriété intellectuelle AdLearn de l'entreprise sur des appareils personnels quelques minutes après avoir reçu l'offre d'emploi d'un concurrent — exactement l'exfiltration « en usage » que le DLP est censé détecter. Comme des initiés motivés peuvent photographier un écran ou recourir à des canaux chiffrés, le DLP fonctionne mieux comme une couche d'un programme plus large : accès au moindre privilège, surveillance de l'activité des utilisateurs (UEBA) et chiffrement, ajustés en continu pour éviter que les faux positifs n'apprennent au personnel à ignorer les alertes.

flowchart TD
  D[Données sensibles<br/>PII / PCI / code source] --> C{Inspection DLP}
  C -->|Poste de travail| E[USB / impression / presse-papiers]
  C -->|Réseau / messagerie| N[SMTP / téléversement web]
  C -->|Cloud / API| S[SaaS / stockage objet]
  E --> P{Correspondance de politique ?}
  N --> P
  S --> P
  P -->|Oui| B[Bloquer / mettre en quarantaine / rédiger<br/>+ alerte vers le SIEM]
  P -->|Non| A[Autoriser]