Le challenge de la protection des données sur le Cloud

Avant de parvenir à protéger les données de l’organisation, il est nécessaire de savoir ce que l’on veut protéger. Pour cela, il convient de réaliser un état des lieux des documents et données qui sont créées, utilisées, et transitent sur le système d’information de l’organisation. En ayant une vision globale, il est plus facile de déterminer les données prioritaires nécessitant une protection renforcée de celles qui peuvent être supprimées ou archivées.  

Un inventaire peut se dérouler de la manière suivante : 

• Identifier l’ensemble des sources de données stockées sur M365 & Azure, y compris les applications tierces connectées à la plateforme, au moyen d’interview des acteurs clés ainsi que d’exploration des différents espaces de stockage du tenant M365.
• Recueillir les informations sur les données identifiées : leur emplacement, leur format, l’application utilisée pour les produire, leur propriétaire, leur date de création, etc.
• Faire le point sur les règlementations et les lois auxquelles l’organisation est soumise : RGPD, LPD, données de santé, données bancaires, données gouvernementales…
• Définir des catégories de données pour les classer selon leur importance et leurs risques.

Une fois l’inventaire réalisé, il convient d’utiliser les technologies disponibles pour étiqueter les documents, pour appliquer dans un second temps des protections en fonction de l’étiquette.  

S’assurer que les documents sont correctement étiquetés est un vrai challenge. Deux options imparfaites s’offrent donc actuellement aux organisations : 

• Former et sensibiliser les utilisateurs aux pratiques d’étiquetage des documents. Mais se reposer sur leur bonne volonté et l’exactitude des étiquettes qu’ils appliquent comportent deux risques :  
  1) L’utilisateur applique par mégarde une mauvaise étiquette sur un document sensible qui ne sera donc pas protégé comme il devrait l’être. 
  2) L’utilisateur applique volontairement une mauvaise étiquette pour outrepasser des droits de partage ou dans l’intention malveillante d’exfiltrer de la donnée sensible.
• Mettre en place un système “intelligent” pour appliquer de manière automatique des étiquettes aux documents. Des outils existent pour faciliter ce processus d’étiquetage  
  (par exemple, si un numéro de carte bancaire est détecté dans un document, une étiquette “confidentiel” sera appliquée au document).

Ces mécanismes reposent sur des règles de type regex, mais aussi sur des algorithmes d’intelligence artificielle. Et encore une fois des problèmes se posent : tout d’abord la complexité d’utilisation et de mise en place de ces algorithmes et mécanismes. Du temps et des ressources doivent être alloués pour paramétrer les règles de l’intelligence artificielle et entrainer l’IA qui étiquètera les documents.  
Le second problème réside dans la difficulté d’obtention de mécanismes fiables à 100%.  Même des IA entrainées à reconnaitre des documents sensibles peuvent se tromper si certains paramètres et format de document changent.  

Alors comment procéder ? La réponse est peut-être un mélange des deux solutions évoquées précédemment. 

Certaines entreprises utilisent des mécanismes d’étiquetage automatique où les utilisateurs peuvent toutefois modifier manuellement l’étiquette d’un document. L’utilisateur devra néanmoins apporter une justification à sa modification. Cette justification sera tracée et sauvegardée si l’utilisateur souhaite appliquer au document une étiquette moins critique qu’à l’origine.   

D’autres organisations optent pour des “Tips”, des mécanismes automatiques qui recommandent uniquement quelle étiquette appliquer au document. C’est ensuite à l’utilisateur de décider, ou non, s’il souhaite utiliser cette étiquette. Ces Tips peuvent apparaitre lors de la création ou l’édition d’un document, lors de l’envoi par mail d’un document