|
A l'occasion de rencontres avec de nombreux RSSI, nous avons pu discuter en toute confidentialité des fuites de données dans leur entreprise.
La prévention des fuites de données ou aussi appelé DLP (Data Leakage Protection), est très à la mode chez les éditeurs de solutions de sécurité. Mais qu'en est-il du côté des clients potentiels ? A écouter les RSSI aborder librement le sujet, nous ne pouvons que constater le gouffre qui existe entre ce que propose le marché et les problèmes soulevés autours de la table.
D'après la grande majorité des RSSI interrogés, il y a tout simplement trop d'information dans l'entreprise pour parvenir à la contrôler. « Il me semble difficile de définir du jour au lendemain qui peut accéder à quoi au niveau de l'information. Nous savons le faire au niveau des applications, mais la vraie difficulté se trouve dans l'information. On ne sait pas comment s'y prendre chez nous », déclare un premier responsable de la sécurité.
Et si des solutions sécurisées existent bien chez les vendeurs de DLP, les responsables regrettent leur périmètre d'action relativement réduit. « Ces solutions paraissent encore peu mûres. Elles ne prennent pas en comptes le fait que la durée de conservation légale de l'information varie d'un pays à un autre, les bandes archivées, ou le fait qu'il y a encore énormément de stockage papier », déclare Jean-Noël de Galzain.
« Ainsi, entre des solutions de recherche et de gestion de l'information efficaces mais peu sûres, et des solutions de sécurité peu complètes, les RSSI semblent encore attendre la convergence salvatrice ».
Autre limitation, les solutions de DLP sont aujourd'hui encore essentiellement en temps différé, ce que les RSSI semblent regretter. « Nous sommes incapables de contrôler le respect de la politique de sécurité en temps réel. Certes, nous loggons tout ce qui se passe, mais c'est pour un audit ultérieur », confirme l'un des RSSI présent. Le temps-réel est toutefois dans la ligne de mire des éditeurs de logiciels.
L'humain, le problème
Au souci de prolifération de l'information se greffe celui de l'adaptation du DLP à la vie quotidienne de l'entreprise : il semble difficile de demander aux collaborateurs d'évaluer eux-mêmes la sensibilité des documents qu'ils créent. Or une classification humaine est essentielle à la vie d'une solution efficace. « Nos utilisateurs sont frileux, et ils n'estiment le plus souvent pas que ce qu'ils rédigent puisse être confidentiel. Ou alors, ils n'y pensent tout simplement pas », poursuit un RSSI. Et ses camarades d'approuver, notant même pour certains que très peu de personnes dans l'entreprise sauraient le faire convenablement.
L'humain, pourtant, est plus que jamais au cœur de la solution. Les RSSI l'ont bien compris et insistent tous sur les séances de sensibilisation qu'ils imposent à tous les nouveaux employés et aux nouveaux prestataires extérieurs.
Tous, enfin, ont noté que si les solutions de fuite de données peuvent permettre d'éviter le non-respect accidentel de la politique de sécurité (le plus courant), ils ont le sentiment d'être démunis face à la malveillance interne. Celle-ci demande, d'après eux, d'autres outils que ceux proposés actuellement par les vendeurs de DLP. Pour certains, cela passe par exemple d'abord par une maîtrise plus efficace des droits administrateurs (root, bases de données, administrateurs Windows/Linux).
|
