La fuite d'informations n'est pas inéluctable
En opérant au niveau de la donnée, le DLP ou prévention contre la fuite de données apporte une réponse aux réseaux ' passoires ', qui laissent filtrer les informations confidentielles de
l'entreprise.
01net.
le 23/04/08 à 07h00
Le scénario est classique. Un cadre supérieur oublie, perd ou se fait dérober son ordinateur portable dans un taxi, le lounge d'un hôtel, le salon d'attente d'une compagnie aérienne... L'ordinateur en question contient, en vrac,
des données sur les clients et partenaires de sa société, des courriers électroniques échangés avec sa hiérarchie, voire une partie du savoir-faire de l'entreprise. Cette dernière doit alors faire face à une fuite d'informations confidentielles. Ce
scénario catastrophe est plus courant qu'on ne l'imagine, et connaît de nombreuses variantes.
Selon une étude du Ponemon Institute, 78 % des fuites d'informations en entreprise proviennent de personnes internes et autorisées à accéder à ces informations. Le mythe du hacker s'infiltrant dans les réseaux a du plomb dans
l'aile. ' La faille dans l'entreprise a toujours été l'utilisateur final, mal formé à l'outil informatique, peu respectueux des questions de sécurité, car ce n'est pas son métier ', rappelle Laurent
Gondicart, Business Development Director Emea pour Trend Micro. Face à ce danger, le marché de la sécurité apporte une nouvelle réponse : le DLP (pour Data Leakage Prevention ou Data Loss Prevention), soit la prévention contre la fuite de
données. Depuis la fin 2006, les éditeurs traditionnels de la sécurisation du poste de travail investissent dans cette technologie. Une révolution pour des sociétés longtemps habituées à vendre des boîtes de solutions bloquant uniquement les
nuisances entrantes. Dominique Loiselet, directeur général de Websense France, ne le cache pas : ' On reconnaît tous que cette approche qui consiste à bloquer les menaces et les hackers est définitivement
insuffisante. '
Focus sur la donnée
Le DLP change l'approche en matière de sécurité, en consacrant l'importance de la donnée. Un nouveau paradigme de la protection du ' endpoint ' (terme qui englobe poste de travail fixe et
nomade, serveur et périphériques connectés) est né. Ce n'est pas tant le système en question qui est protégé que les informations, les données, qu'il héberge. Le contenu l'emporte sur le contenant. Ce n'est ainsi pas un hasard si le DLP reprend la
terminologie de la gestion de contenu, en protégeant la donnée au repos, stockée, (data at rest), traitée (data in use), et en circulation (data in motion). La première étape est donc d'identifier et de catégoriser les informations sensibles de
l'entreprise. Cette étape n'est pas que technologique. ' Le DLP est un tryptique entre l'humain, les processus et la technologie ', détaille Dominique Loiselet. Cette solution se conçoit donc en mode
projet, et nécessite notamment l'implication des directions métier. ' Les informations n'appartiennent pas à la DSI ou aux RSSI, mais aux métiers ', continue Dominique Loiselet. Ce sont elles qui savent
quelle est l'information sensible dans leurs domaines respectifs. Par ailleurs, ' cette démarche doit être chapeautée en interne par la gestion du risque, au sens large, et secondée par des partenaires dans une méthodologie de
services ', préconise Bernard Montel, directeur technique de RSA, la division sécurité d'EMC. Le challenge n'est pas mince. Les premiers retours de projets aux Etats-Unis ont montré la difficulté de l'étape d'identification.
Joseph Ansanelli, ex-PDG de Vontu, société de DLP acquise par Symantec fin 2007, et désormais vice-président DLP chez Symantec, est conscient de cet enjeu : ' Au final, il nous faut aider les entreprises à comprendre où
sont leurs informations confidentielles, comment elles circulent, de quelle manière elle sont utilisées. '
Cette étape franchie, l'approche classique consiste à prendre une empreinte numérique de ces données, ce qui garantit la traçabilité de l'information dans l'entreprise. Les solutions de DLP surveillent les données à protéger, leur
parcours, et appliquent le cas échéant des politiques de sécurité prédéfinies. Ainsi, l'administrateur sera alerté si un utilisateur tente d'envoyer des données jugées sensibles, par e-mail par exemple, à un correspondant extérieur. Et l'action
éventuellement bloquée. L'utilisateur peut être lui aussi averti, afin de lui rappeler qu'il manipule des données sensibles. Car les utilisateurs finaux n'ont pas toujours conscience du caractère confidentiel de certaines informations, ou
l'oublient !
Pour que tous les canaux de transfert de l'information soient sous le contrôle d'une solution de DLP, les solutions du marché combinent des agents sur les postes de travail et sur le serveur avec des sondes sur le réseau. Cet ensemble
applique les politiques de traitement et de circulation de l'information. ' On va mettre en place des contraintes au niveau de l'impression, de l'envoi de courriers électroniques, de la communication réseau, du FTP, de la
messagerie instantanée, de la capture d'écran, de la copie vers des périphériques externes, etc. ', développe David Grout, responsable de l'offre DLP pour McAfee en Europe. Peu importe que les données soient tronquées ou
copiées-collées : 'Nous savons retrouver des traces d'un document original dès lors qu'il en subsiste au moins 40 % dans le nouveau document ', affirme Laurent Gondicart. En pratique, seuls des
périphériques externes signés (donc reconnus), et/ou chiffrés autoriseront la copie d'information.
Authentification et chiffrement
La problématique de l'impression est, elle, considérée de deux manières : un agent sur le serveur d'impression contrôle les tâches transmises, bloquant si nécessaire l'impression non autorisée et, par ailleurs, les fournisseurs
d'imprimantes ont ajouté un dispositif d'authentification forte sur leurs matériels. Dans ce cas, toute impression nécessite que l'utilisateur s'authentifie sur le périphérique. Enfin, au chapitre des politiques de sécurité applicables, le
chiffrement figure en bonne place. C'est d'ailleurs par ce biais que les entreprises, ainsi que les éditeurs, ont pris conscience de la problématique de la fuite de données. Dans l'exemple initial de la perte d'un ordinateur portable, le chiffrement
est une précaution utile. Les données ne sont ainsi pas aisément récupérables. Plus généralement, s'il est raisonnable de permettre à des utilisateurs d'envoyer des informations à des correspondants autorisés, chiffrer automatiquement ces données
est prudent. ' En amont, on peut choisir, dès la phase de ciblage des données sensibles, de chiffrer des dossiers contenant ces données ', ajoute David Grout. Attention toutefois à ne pas restreindre le
DLP à ce seul type de protection ! Il s'agit de mettre en place une prévention contre la fuite d'informations, et pas seulement des gardes fous en cas de fuite avérée. C'est d'autant plus critique que le premier levier de ces projets est de
garantir le respect des règles de conformité. Cet objectif ne peut être atteint que si le risque est surveillé, les violations de politiques de sécurité malicieuses ou accidentelles sont détectées, et que l'accès à l'information aux personnes non
autorisées est interdit.
Les offres majeures de prévention de fuite de données
Prévenir la fuite en surveillant les données
Lutter contre la fuite, malicieuse ou involontaire, de données sensibles nécessite de surveiller les données au repos (stockées), traitées (manipulées, modifiées, créées, effacées) et en déplacement (circulant, envoyées par
e-mail, par transfert de fichiers, copiées, etc). Cette tâche est effectuée par des boîtiers spécialisés inspectant les flux et dialoguant avec des agents placés sur chaque ' point de sortie '.
Chronologie d'une consolidation
Un peu plus d'1 Md$ a été dépensé en un an sur le marché de la prévention contre la fuite d'informations. Les trois acteurs historiques de l'antivirus Symantec, Trend Micro, McAfee ont investi ce marché, estimé à plus de
150 M$ en 2008.
Octobre 2006 : McAfee fait l'acquisition de la société israélienne Onigma pour 20 M$.
Janvier 2007 : Websense achète Port Authority pour 90 M$.
Août 2007 : RSA, la division sécurité d'EMC, met la main sur Tablus pour environ 40 M$.
Octobre 2007 : McAfee acquiert Safeboot, une société spécialisée dans le chiffrement, pour 350 M$.
Octobre 2007 : Trend Micro s'offre Provilla, spécialiste américain de la prévention, pour un montant non dévoilé.
Novembre 2007 : Symantec débourse 350 M$ pour acquérir l'un des pionniers du DLP, Vontu.
Février 2008 : Trend Micro ajoute le chiffrement à sa gamme en rachetant Identum, une spin off de l'université de Bristol en Angleterre.
3 Questions à... : Manuel Verdier, directeur commercial de Snaiso
SSII spécialisée dans les problématiques d'infrastructure, d'administration et de supervision des systèmes et réseaux, et dans la sécurité des SI.
L'offre DLP est-elle réellement mature ?
' Ce marché naissant propose une pléthore de solutions, une offre disproportionnée par rapport à la demande, souvent trop haut de gamme, avec très peu de solutions immédiatement exploitables. Leur modèle tarifaire
et la méthodologie de mise en ?"uvre sont surévalués par rapport aux besoins français. Technologiquement, les solutions sont soit trop simplistes, soit d'une complexité impressionnante. '
Quels conseils donneriez-vous aux entreprises tentées par une solution de DLP ?
' D'abord il faut auditer l'environnement : classifier les données, connaître les zones à risques, les points de fuite, puis mettre en place une organisation structurée du stockage, qu'il soit temporaire ou
permanent. Une fois cette étape réalisée, il faut choisir un outil capable d'évoluer en même temps que l'information (création, modification, déplacement, suppression). Pour cela, l'interface de gestion des politiques doit être simple et permettre
d'en appliquer de nouvelles dynamiquement. '
Quels problèmes peuvent-elles rencontrer ?
' L'acceptation de la solution par les utilisateurs est indispensable. Il faut notamment veiller à éviter de les bloquer abusivement par des " faux positifs ",
c'est-à-dire les empêcher de manipuler des données apparues sensibles alors qu'elles ne le sont pas. Cela peut arriver lors de la phase d'ajustement du niveau de sensibilité du moteur DLP. Pour cela, une bonne approche consistera à sensibiliser les
utilisateurs sur le fait que le document manipulé a été classifié comme sensible, et leur recommander dêtre vigilants, sans pour autant restreindre leurs actions. '
nos newsletters
Abonnez-vous à Micro Hebdo : 4,90 €/mois
Abonnez-vous à l'Ordinateur Individuel : 3 €/mois
Abonnez-vous à SVM mac : 4 €/mois
Abonnez-vous à 01 Informatique : 19 €/mois
