Protection des trois états des données

Lorsqu’il s’agit de protéger des informations confidentielles, nous constatons que les clients requièrent des approches différentes ou ont des besoins de protection différents. Certains clients ont besoin de protéger les informations contenues dans leurs ordinateurs ou ordinateurs portables en cas de perte. D’autres veulent garder leur documentation protégée sur des serveurs de fichiers afin de la protéger également contre tout accès abusif par le personnel informatique. Certains clients doivent parfois protéger les documents lorsqu’ils voyagent en pièce jointe à un courriel parce qu’ils utilisent des serveurs de messagerie gérés ou dans le nuage. Certains clients demandent à protéger la documentation lorsqu’elle est envoyée à des tiers ou même en interne afin de minimiser la possibilité qu’elle soit copiée, non protégée ou consultée par des utilisateurs inappropriés.

Les trois états des données

Nous pouvons envisager trois états pour les informations ou les données:

Données au repos: Cette expression désigne les données qui ne sont pas accessibles et qui sont stockées sur un support physique ou logique. À titre d’exemple, il peut s’agir de fichiers stockés sur des serveurs de fichiers, d’enregistrements dans des bases de données, de documents sur des lecteurs flash, etc.

Données en transit: Les données qui transitent par un courrier électronique, un site web, des applications de travail collaboratif telles que Slack ou Microsoft Teams, une messagerie instantanée ou tout type de canal de communication privé ou public. Ce sont des informations qui voyagent d’un point à un autre.

Données en cours d’utilisation: Lorsqu’elles sont ouvertes par une application et consommées ou consultées par les utilisateurs.

Protection des données au repos

Les documents sont considérés comme sûrs lorsqu’ils sont cryptés (de sorte qu’il faut un temps impossible à décrypter lors d’une attaque par force brute), que la clé de cryptage n’est pas présente sur le même support de stockage et que la clé est suffisamment longue et aléatoire pour être protégée contre une attaque par dictionnaire.

Dans ce domaine, on trouve différentes technologies de protection des données. Par exemple:

Chiffrement intégral du disque ou du dispositive: Le chiffrement du disque dur permet, en cas de perte de l’ordinateur portable ou de l’ordinateur, par exemple, de ne pas pouvoir accéder aux données qu’il contient en montant simplement le disque dur ou le dispositif dans une autre machine. Le chiffrement a l’avantage d’être « transparent » pour l’utilisateur dans la mesure où, s’il s’est connecté correctement, il peut accéder aux documents de la même manière que sur un ordinateur non chiffré. Cependant, si l’ordinateur ou le serveur de fichiers est accessible par l’administrateur, rien n’empêche un utilisateur malhonnête d’accéder aux données, de les copier, de les renvoyer, etc. Les données sont protégées lorsqu’elles résident sur l’appareil ou le disque dur, mais ne sont plus protégées une fois extraites de l’appareil (copiées sur un autre appareil, renvoyées, etc.).

Chiffrement au niveau du fichier: Aucune partition ou disque dur n’est crypté, uniquement les fichiers individuels. Le chiffrement à clé publique ou symétrique permet de chiffrer des fichiers, par exemple. Les fichiers ne sont pas seulement cryptés lorsqu’ils sont stockés sur le disque, mais peuvent également être protégés en transit, lorsqu’ils sont envoyés par exemple en pièce jointe dans un courriel. Dans ce cas, l’accès transparent d’un utilisateur est perdu, ainsi que la protection transparente de l’utilisateur. C’est-à-dire qu’avec PGP, par exemple, il est nécessaire d’avoir la clé publique de la personne avec laquelle je veux partager le fichier protégé, et d’autre part, elle doit avoir ma clé publique pour pouvoir le décrypter. D’autre part, une fois que le document a été décrypté par le destinataire, il peut être stocké sans protection, renvoyé sans protection, etc.

Cryptage des données: Les systèmes de base de données tels que SQL Server ou Oracle utilisent le TDE – Transparent Data Encryption (cryptage transparent des données) pour protéger les données stockées dans les bases de données. Les technologies TDE effectuent des opérations de cryptage et de décryptage sur les données et les fichiers journaux en temps réel. Cela permet aux développeurs d’applications, par exemple, de travailler avec des données cryptées en utilisant AES ou 3DES par exemple, sans avoir besoin de modifier les applications existantes. Ce type de cryptage protège les données au repos dans la base de données, mais pas lorsque les données ont déjà été accédées par l’application correspondante et peuvent être extraites.

Protection par la gestion des droits numériques (IRM): Les technologies de gestion des droits sur les données (IRM) comme SealPath permettent le cryptage de la documentation en lui appliquant une protection permanente. La documentation en repos est cryptée et n’est accessible qu’aux utilisateurs qui ont des droits d’accès à celle-ci. Contrairement au cryptage au niveau du fichier, l’utilisateur qui reçoit la documentation peut y accéder pour la lire et même la modifier, mais ne peut pas la décrypter complètement (sauf si on lui a attribué des autorisations de contrôle total sur le fichier).

MDM (Gestion de terminaux mobiles): Une façon de contrôler les données dans les appareils mobiles est d’utiliser les outils de MDM. Ils permettent de limiter l’accès à certaines applications d’entreprise, de bloquer l’accès à l’appareil ou de crypter les données sur le mobile ou la tablette. Comme pour le cryptage standard, ils sont utiles en cas de perte d’un appareil, mais lorsque les données sont envoyées à l’extérieur de l’appareil, elles restent non cryptées.

DLP (Prévention des fuites de données): Un DLP, entre autres fonctions, permet de rechercher ou de localiser des données sensibles sur un point d’extrémité ou un dépôt de réseau. Dans le cas de données dans un référentiel, ils peuvent par exemple supprimer les données ou bloquer l’accès à certains utilisateurs au cas où elles violeraient une politique de sécurité (par exemple dans un ordinateur qui ne devrait pas l’être). Elles sont valables tant que les données se trouvent à l’intérieur de l’organisation, mais elles ne peuvent pas agir sur elles une fois qu’elles sont sorties.

CASB (Courtier de sécurité d’accès au cloud): Ce sont des systèmes qui nous permettent d’appliquer des politiques de sécurité à la documentation que nous avons dans les systèmes en nuage tels qu’Office 365, Box, Salesforce, etc. Pour simplifier, on pourrait dire qu’il s’agit d’un système DLP appliqué à une application en nuage plutôt qu’au périmètre de l’organisation. En ce qui concerne les données au repos, les CASB sont capables de détecter des données sensibles dans certains dépôts de données en nuage et d’appliquer des politiques de protection à la documentation, par exemple, en supprimant un lien public vers le document et en le limitant à un groupe d’utilisateurs si les données sont jugées sensibles. Comme le DLP, ils peuvent agir pendant que les données sont dans le nuage (par exemple, G-Suite), mais pas une fois que le document a quitté le nuage.

Les défis de la protection des données au repos

Les services informatiques d’aujourd’hui sont confrontés à de nombreux défis lorsqu’il s’agit de protéger les documents inactifs:

Les données peuvent être stockées sur différents supports et équipements: Les documents importants se trouvent non seulement dans les serveurs de fichiers ou les gestionnaires de documents, mais il peut également y avoir des copies sur les PC des utilisateurs, les périphériques USB, etc.

Dispersés sur des appareils mobiles: Les téléphones portables et les tablettes sont un outil de travail de plus qui peut contenir au repos une documentation importante qui doit être protégée. Il faut tenir compte du fait que, dans de nombreux cas où des données sensibles sont gérées, les appareils mobiles dans lesquels elles se trouvent ne sont pas ceux de l’entreprise mais personnels et échappent au contrôle des services informatiques.

Incapacité à contrôler le stockage dans le nuage: De nombreux fournisseurs de stockage proposent le cryptage et la protection des données qu’ils gèrent au repos. Cependant, les clés de cryptage sont la propriété du fournisseur de stockage et non des entreprises qui les louent, de sorte que le contrôle de la documentation stockée dans ces nuages est perdu.

Nécessité de se conformer à différentes réglementations en matière de protection des données: En fonction du secteur dans lequel notre entreprise opère, elle peut être soumise à des réglementations strictes concernant la protection et le contrôle des données. Par exemple, les données des patients dans le secteur de la santé ou les données des clients dans le secteur financier sont protégées par des réglementations telles que EU-GDPR, HIPAA, PCI, etc. selon le territoire. Ces réglementations imposent des politiques de protection des données au repos, qu’elles soient stockées dans une base de données, sur un serveur de fichiers ou sur des appareils mobiles.

Pour surmonter ces défis, les départements informatiques doivent analyser les principaux risques auxquels ils sont confrontés en ce qui concerne la gestion de leurs données au repos et sélectionner la ou les technologies en donnant la priorité à celles qui élimineront ou atténueront celles qui sont les plus probables et/ou qui ont le plus d’impact sur leur organisation.

Protection des données en transit

Nous sommes à l’ère de la collaboration numérique et il existe désormais de nombreuses façons de partager nos données avec d’autres. L’un des plus utilisés est traditionnellement le courrier électronique. Avec plus de 3,9 milliards d’utilisateurs utilisant le courrier électronique aujourd’hui (Statista, 2020), ces chiffres devraient passer à 4,3 milliards d’utilisateurs d’ici 2023. Cependant, nous déplaçons les données par le biais d’autres plateformes telles que le travail collaboratif comme Slack ou Microsoft Teams, par le biais d’applications de stockage en nuage comme Box, OneDrive, Dropbox, etc.

Parmi les différentes technologies permettant de protéger les données en transit, on peut citer les suivantes:

Cryptage du courrier électronique: Il existe une grande variété d’outils pour le cryptage du courrier électronique. L’un d’eux est basé sur l’ICP (infrastructure à clé publique), une combinaison d’une clé privée (connue de vous seul) et d’une clé publique (connue de ceux à qui vous voulez envoyer le message protégé). Le courriel et les pièces jointes sont protégés par la clé publique du destinataire, et à la réception, le destinataire utilise sa clé privée pour décrypter le contenu. Une fois le courriel ou la pièce jointe décrypté(e), le contrôle sur celui-ci est perdu et il peut être transmis, copié, etc.

Transfert de fichiers géré (MFT): Il s’agit d’une alternative sécurisée au transfert de fichiers par FTP par exemple. Le fichier est téléchargé sur une plateforme et un lien est généré pour le télécharger. Ce lien est envoyé par courrier électronique ou par un autre moyen au destinataire qui effectue le téléchargement via HTTPS. Il est possible de définir des dates d’expiration pour le lien, un mot de passe pour y accéder, etc. Comme c’est le cas avec le cryptage des courriels, une fois le fichier téléchargé, il n’est plus protégé et vous pouvez en faire ce que vous voulez.

DLP (Prévention des fuites de données): Les technologies DLP assurent une protection en transit ou en mouvement en ce sens qu’elles sont capables de détecter toute tentative d’envoi de données confidentielles à l’extérieur de l’organisation (par exemple, des numéros de carte de crédit) et de bloquer l’envoi de ces données. Elles permettent également de bloquer les copies de données sur une clé USB, l’envoi sur des lecteurs en réseau, le téléchargement vers des applications web ou en nuage, etc. Le problème qu’elles posent est que si les données ont été envoyées, elles ne peuvent plus être contrôlées. En outre, elles peuvent être sujettes à des faux positifs et bloquer des envois valables qui devraient être autorisés à passer.

CASB (Courtier de sécurité d’accès au cloud): En ce qui concerne les données en transit, ils peuvent détecter si un utilisateur tente de télécharger des données sensibles, et s’il ne respecte pas certaines règles de sécurité (par exemple, s’il n’est pas un utilisateur fiable pour ce type de données), ils peuvent bloquer le téléchargement. Comme pour le DLP, si les données ont été téléchargées, le contrôle sur celles-ci est perdu. Ils appliquent la sécurité à un nombre limité d’applications en nuage, généralement les plus connues.

Protection en transit avec droits numériques: Par exemple avec SealPath, vous pouvez postuler par e-mail pour non seulement crypter le corps et les pièces jointes, mais aussi pour appliquer des droits d’utilisation ne laissant que le contenu à visualiser, ou pour visualiser et modifier mais pas imprimer, etc. Ils permettent également, par exemple, de restreindre l’envoi du courrier électronique aux destinataires si nécessaire. Comme un fichier protégé par des droits numériques voyage avec la protection, la protection en transit est offerte via n’importe quel support. Ils sont également intégrés à des outils tels que le DLP ou le CASB, de sorte que si un document sensible est détecté comme sortant du réseau ou si un document confidentiel est téléchargé à partir d’une application en nuage, ils peuvent le protéger automatiquement en fonction de la politique de sécurité.

Les défis de la protection des données en transit

Il existe un nombre infini de moyens et de canaux de communication: Ces outils servent normalement à protéger un certain canal comme le courrier électronique, les téléchargements sur le web, etc. mais il est compliqué d’atteindre n’importe quel protocole et moyen de communication.

Il existe une infinité d’applications à protéger dans le Cloud: Si nous parlons d’une approche de type CASB pour sécuriser les données qui sont téléchargées depuis le cloud, il est très difficile d’atteindre une quelconque application. Des options sont généralement disponibles pour les applications en nuage les plus populaires telles que O365, G-Suite, Salesforce, Box, etc.

Impossibilité de maintenir le contrôle à l’extrémité de réception: Dans le cas du cryptage du courrier électronique ou du MFT, une fois que le destinataire a reçu le fichier et l’a décrypté pour lui, le contrôle est perdu. Ils offrent une protection point à point, mais pas plus, à l’exception de la protection des droits numériques.

Difficulté à déterminer ce qui doit être protégé et ce qui ne doit pas l’être: Il est difficile pour un système DLP ou CASB de déterminer ce qui doit être bloqué ou non. Certaines règles peuvent être fixées, mais elles peuvent entraîner des faux positifs qui bloquent la sortie des données lorsque cela est nécessaire. Parfois, une approche de « protection de tous » (avec des exceptions) est la meilleure politique, par exemple dans le cas du cryptage du courrier électronique, car si quelqu’un compromet une boîte aux lettres électronique, nous sommes sûrs qu’il aura accès à des données cryptées, mais cela n’est pas toujours possible selon le type d’organisation.

Les services informatiques doivent voir si le fait de couvrir une partie des données en transit vaut la peine de prévenir la plupart des problèmes potentiels. Si je couvre 20% des supports, par exemple le courrier électronique ou certaines applications, prévenir 80% des problèmes possibles peut être une bonne approximation, même si je ne serai certainement pas couvert du tout.

Protection des données en cours d’utilisation

Comme mentionné ci-dessus, il s’agit de données en cours d’utilisation lorsqu’elles sont accessibles par une demande de traitement. Normalement, derrière l’application, il y a un utilisateur qui veut accéder aux données pour les consulter, les modifier, etc. Dans cet état, les données sont plus vulnérables, en ce sens que pour les voir, l’utilisateur doit avoir pu accéder au contenu décrypté (dans le cas où il était crypté).

Pour protéger les données utilisées, des contrôles doivent normalement être mis en place « avant » l’accès au contenu. Par exemple, par:

Outils de gestion de l’identité: Pour vérifier que l’utilisateur qui tente d’accéder aux données est bien celui qu’il dit être et qu’il n’y a pas eu de vol d’identité. Dans ces cas, il est de plus en plus important de protéger l’accès aux données par une authentification à deux facteurs.

Les outils d’accès conditionnel ou de contrôle d’accès basé sur les rôles (RBAC) : Permettent l’accès aux données en fonction du rôle de l’utilisateur ou d’autres paramètres tels que l’adresse IP, l’emplacement, etc.

Toutefois, dans ces cas, nous protégeons les données en limitant plus précisément qui peut et ne peut pas y accéder, mais une fois que la base de données ou un document a été consulté, nous ne pouvons pas empêcher la personne de faire ce qu’elle veut avec les données.

Grâce à la protection des droits numériques ou à l’IRM,: nous pouvons obtenir une protection efficace dans l’utilisation des données car nous pouvons limiter les actions que l’utilisateur peut entreprendre une fois qu’il a accédé aux données. Par exemple, nous pouvons vous empêcher de modifier, d’imprimer, etc. Il existe des plateformes de collaboration en nuage ou des gestionnaires de documents qui vous permettent de définir des contrôles de droits numériques tels que la visualisation seule, la prévention, le téléchargement, etc. Cependant, si nous avons téléchargé le document, il n’est pas du tout protégé.

Avec une protection IRM appliquée directement sur le fichier (et non sur le gestionnaire de documents ou la plateforme de collaboration elle-même), nous pouvons appliquer une protection qui voyage avec les documents et limite les autorisations d’ouverture où qu’ils aillent. Que les données soient dans le nuage ou qu’elles aient été téléchargées, je peux les faire voir à un utilisateur, mais pas les déprotéger complètement, les imprimer, etc.

Les défis de la protection des données en cours d’utilisation

La plupart des outils qui contrôlent l’accès aux données le font avant d’autoriser l’accès, mais une fois validés, comme nous l’avons dit plus haut, il est plus complexe de contrôler ce qui peut être fait avec les données.

Même si nous limitons les autorisations sur la documentation, si elle est montrée à l’utilisateur dans l’application, dans un visualiseur, il peut toujours prendre une photo, par exemple, bien que nous puissions atténuer cette action grâce à des filigranes dynamiques sur le document ouvert.

Les plateformes de collaboration qui limitent les droits, comme l’interdiction de télécharger ou le fait de ne laisser que le document être vu, peuvent être efficaces lorsque nous n’avons besoin que d’accéder au document, mais elles ont des limites si nous devons modifier le document, par exemple avec un outil agile sur le bureau. En outre, nous ne devons pas oublier que la plateforme dans le nuage elle-même fait décrypter le document au moment de l’accès et le stocke dans ses systèmes, de sorte qu’il est techniquement possible d’accéder à son contenu. Cela peut poser un problème lorsqu’il s’agit de données confidentielles ou soumises à des réglementations strictes en matière de protection des données.

Sans entrer dans les questions de protection des données en cours d’utilisation par le cryptage des données en mémoire pendant que l’application les a ouvertes pour éviter leur rejet, la protection des droits numériques ou IRM est la protection des données en cours d’utilisation la plus efficace car elle combine cryptage + gestion des autorisations + contrôle d’identité.

Cette protection permet de conserver la documentation en toute sécurité dans ses trois états : En transit, à distance et en cours d’utilisation. La protection voyage avec le document et l’accompagne partout où il se déplace, ce qui permet à l’utilisateur de travailler avec les données, sachant qu’en cas de besoin, il n’en aura pas le contrôle total.