Si l’IA dope désormais les solutions de cybersécurité, elle est aussi la source de nouvelles formes d’exposition de la donnée et de risques de fuite. Déjà sensibilisées à la classification dans le cadre de la réglementation française et européenne, les organisations cherchent désormais à appliquer ces principes à leur patrimoine informationnel dont elles connaissent la sensibilité et la valeur.

Le risque de fuite de données face à l’IA

Prévenir les fuites de données a toujours fait l’objet d’une attention particulière des organisations, mais perçues comme complexes à mettre en œuvre, les solutions de Data Lost Prevention (DLP) n’ont principalement été exploitées que par les grandes entreprises, en particulier dans le secteur bancaire.

20 ans plus tard, avec le développement des usages de l’intelligence artificielle, le sujet revient sur le devant de la scène. En témoignent les nombreuses prises de renseignements sur ces solutions de protection de la donnée auprès de Stordata. Franck HENRI, l’un de nos experts data, le confirme : « Lors des Assises de la cybersécurité notamment, des entreprises de toutes tailles et de tous secteurs nous ont interrogés. Nos interlocuteurs pointaient la problématique d’une adoption de l’intelligence artificielle que je qualifierais d’échevelée, et son corollaire, la multiplication des vecteurs de fuite. »

La modernisation de la DLP

Des données toujours plus exposées requièrent une stratégie toujours plus datacentric. Forte de son long accompagnement des établissements bancaires dans la mise en œuvre de solutions de DLP visant à empêcher la divulgation des données critiques, Stordata a depuis théorisé et créé un protocole basé sur une méthode et des solutions logicielles visant à prévenir le risque de fuite de la donnée.   

« Nous nous appuyons à la fois sur un grand éditeur ayant largement démontré sa valeur dans le domaine de la Data Lost Prevention mais également sur les nouvelles solutions de Data Security Posture Management (DSPM) dont l’objectif premier est de cartographier toute la donnée. Nous en avons sélectionné deux avec, comme toujours, beaucoup de précaution et de vigilance quant à leur fiabilité, leur pérennité et leur coût ».

DLP et DSPM se complètent efficacement, en particulier dans un contexte hybride, pour permettre à l’entreprise à la fois de découvrir toute son information, en analyser l’exposition et les risques associés et de fixer les règles de surveillance et de blocage utiles.

Comprendre pour mieux classifier

Mais il ne suffit plus de connaître avec précision l’étendue de sa donnée pour en contrôler la circulation, encore faut-il la comprendre, afin de la classifier correctement. C’est un des points d’achoppement de la DLP qui nécessite une très fine connaissance des enjeux métiers et la capacité à ne jamais perdre de vue son but, la réduction sans concession du risque de fuite de données.

Or, de quelles données parle-t-on dans ce cas précis ? Il ne s’agit pas seulement de la donnée essentielle au redémarrage d’un système d’information ou encore de la donnée sauvegardée qui disposent l’une et l’autre, d’ailleurs, de leurs propres logiques et mécanismes de protection. On cible également la donnée en production laquelle appartient à la catégorie de l’information.
« Outre les cas réglementaires comme le RGPD, la donnée concernée par les solutions de DLP et de DSPM est d’une grande variété, dont une partie relève véritablement du secret industriel. Pour une entreprise, ce sera le prix d’achat de sa matière première. Pour une autre, les prévisions de ventes. Pour une autre encore, les plans de maintenance industrielle. » Informations commerciales sensibles, données contractuelles, R&D, informations logistiques et techniques, l’information d’entreprise est un trésor de guerre à identifier, classifier et contrôler, et ce quelle que soit la taille de l’organisation concernée.

30 jours pour mettre au point sa stratégie

Le processus a fait ses preuves. Si la cartographie de la donnée peut être principalement une question technique, l’identification de l’information sensible relève de la discussion, de l’échange avec les métiers. Les 30 premiers jours ainsi sont cruciaux. C’est au cours de ce mois que la collecte technique, les entretiens et l’exploitation d’un outillage aboutiront à la remise d’une note de cadrage qui donnera le la de la stratégie de lutte contre le risque de fuite. Les organisations sont alors en position de définir leurs politiques DLP : restrictions, mise en quarantaine, blocage, labellisation, monitoring, etc. « Dès lors, de nouveaux objectifs pourront porter à un an, deux ans, parfois trois. L’important est de formaliser le risque et cela peut se faire très vite, afin de mettre l’organisation dans la bonne direction. Compte tenu du travail à accomplir, se fixer une échéance à 30 jours est une méthode éprouvée. »

Le rôle de Stordata est d’aider les entreprises à garder le rythme, tout en apportant de la cohérence et de la visibilité sur les solutions qu’elles peuvent déjà posséder. « Les entreprises l’oublient parfois mais les éditeurs de solutions de stockage, par exemple, ont importé des morceaux de DLP ou de DSPM dans leurs offres. Il est essentiel de les identifier pour penser à les exploiter ! » La sensibilisation enfin reste le fer de lance d’une politique efficace de protection de la donnée à laquelle Stordata peut également apporter son expertise, en soutien d’un bon sponsoring des équipes de direction.

« Les solutions de DSPM sont un vrai début de réponse à ce risque croissant de fuite de données. Elles facilitent vraiment le travail de découverte d’une part, souvent source d’étonnement dans l’entreprise et de classification, d’autre part. »