Qu'est-ce que DLP ?
DLP (Data Loss Prevention) désigne les règles et les contrôles techniques qui détectent et empêchent la fuite involontaire ou non autorisée de données sensibles. Cela va du téléversement d'un fichier contenant des données clients vers un espace de stockage cloud personnel à l'envoi de documents confidentiels par e-mail, en passant par la copie de contenus classifiés sur une clé USB. Les règles DLP ne se limitent pas à vérifier où vont les données : elles examinent de plus en plus aussi le type de contenu concerné, par exemple des données personnelles, des informations financières ou des documents classés confidentiels.
DLP en détail
Sur le plan technique, DLP s'appuie le plus souvent sur plusieurs méthodes de détection : correspondances de motifs pour des données structurées comme un IBAN ou un numéro de carte d'identité, listes de mots-clés pour certains sujets, et fingerprinting de documents classifiés connus. Lorsqu'une règle se déclenche, la réaction peut être graduée, de la simple journalisation à une alerte adressée à l'utilisateur, jusqu'au blocage complet de l'action.
Dans le contexte ZIA, DLP s'applique au trafic web et cloud, complété par les fonctions CASB pour des services cloud ciblés. Le contrôle du contenu et le point de contrôle travaillent ainsi ensemble, au lieu de fonctionner séparément.
Pourquoi DLP compte-t-il dans l'exploitation Zscaler ?
Les données sensibles quittent rarement une entreprise à l'occasion d'un seul incident spectaculaire : le plus souvent, cela se produit progressivement, à travers de nombreuses petites actions, la plupart du temps involontaires. DLP rend ces actions visibles et maîtrisables avant que les données ne quittent réellement l'entreprise, plutôt que de traiter un incident après coup.
Pour les preuves de conformité vis-à-vis de NIS2 et DORA, il importe en outre que des mesures techniques appropriées de protection des données soient documentées et effectives. La configuration DLP et son usage réel constituent une preuve directe d'une protection des données réellement vécue dans l'exploitation.
Sources d'erreur courantes
- Les règles DLP sont sous licence, mais pas configurées pour les classes de données réellement sensibles.
- Trop de faux positifs conduisent les utilisateurs et l'administration à ignorer les alertes.
- Aucun contrôle régulier ne vérifie si les règles correspondent encore au paysage de données actuel.
- L'absence de coordination avec les règles CASB laisse des angles morts sur les téléversements cloud.
DLP en pratique : ce qu'apporte CentaurNexus
DLP Studio, dans CentaurNexus, centralise la gestion des DLP Dictionaries, des Engines et des Notification Templates en un seul endroit. Chaque modification passe par une validation avant l'enregistrement, qui rend les erreurs visibles avant qu'une règle ne prenne effet en production, plutôt que de procéder par essais et erreurs sur un référentiel de règles déjà en production. En complément, Policy Health Saga évalue, dans le healthcheck de licence, les fonctions DLP de la licence Zscaler encore inutilisées, afin qu'une protection des données déjà payée ne reste pas en friche. Pour en savoir plus sur l'exploitation systématique de la licence, consultez le guide Tirer davantage de votre licence Zscaler.
DLP en exploitation : comment le reconnaître
Les tickets DLP sont délicats, car l'utilisateur ne sait généralement pas dire ce qui a été bloqué exactement. Quatre observations permettent de cerner la cause sans que personne ait besoin de regarder le contenu.
« Par e-mail, ça passait, au téléversement, non. »
Ce que c'est le plus souvent : C'est le canal qui décide, pas le contenu. Un même fichier peut être autorisé sur une voie et bloqué sur une autre, parce que d'autres règles s'y appliquent.
Comment le vérifier : Clarifiez d'abord le canal, puis la règle. Qui commence par le contenu cherche plus longtemps et doit en plus le regarder.
« C'est une fausse alerte, c'est notre numéro client. »
Ce que c'est le plus souvent : Souvent, il s'agit d'un motif qui ressemble à une séquence de numéros protégée. Un dictionnaire qui réagit à une certaine longueur de chiffres détecte aussi des numéros internes anodins.
Comment le vérifier : Ce n'est pas un dysfonctionnement, mais un ajustement du dictionnaire. Le DLP Configuration Desk centralise cette maintenance en un seul endroit, au lieu de la disperser en exceptions individuelles.
« Cela n'arrive qu'avec les gros fichiers. »
Ce que c'est le plus souvent : C'est un indice d'un seuil de contrôle, pas de la règle elle-même. Au-delà d'une certaine taille ou pour certains formats, le traitement change.
Comment le vérifier : Notez la taille du fichier et le format. Sans cette information, le cas n'est pas reproductible.
« L'utilisateur attend une autorisation et ne sait pas auprès de qui. »
Ce que c'est le plus souvent : C'est le véritable problème de délai avec DLP. Le blocage est rapide, la décision qui doit suivre, rarement.
Comment le vérifier : DLP Release Desk pilote le circuit d'autorisation avec un statut visible, afin que l'utilisateur sache ce qu'il attend et que le rôle décisionnaire dispose du contexte.
Canal, motif, seuil de contrôle, circuit d'autorisation : qui interroge dans cet ordre clarifie la plupart des cas DLP sans ouvrir le contenu. C'est aussi la meilleure approche au regard de la protection des données.
Termes associés
Questions fréquentes sur DLP
DLP signifie Data Loss Prevention. Il s'agit des règles et des contrôles techniques destinés à détecter et empêcher la fuite involontaire ou non autorisée de données sensibles, par exemple lorsqu'un fichier contenant des données clients est téléversé vers un espace de stockage cloud personnel.
On trouve généralement des correspondances de motifs pour des formats connus comme l'IBAN ou les numéros de carte d'identité, des listes de mots-clés, ainsi que des fingerprints de documents classifiés. La logique de détection exacte dépend du système utilisé et de la règle configurée : aucune méthode ne détecte tous les cas de façon fiable.
Pas nécessairement : de nombreuses règles DLP sont graduées. Certains cas sont bloqués, d'autres seulement journalisés ou signalés par une alerte à l'utilisateur. La réaction précise est fixée par la policy concernée et dépend de la classe de données et de la destination.
Aucun des deux cadres n'impose un outil précis, mais tous deux exigent des mesures techniques appropriées de protection des données et de réduction des risques. DLP est un moyen établi de mettre en œuvre cette protection et d'en apporter la preuve ; la transposition nationale applicable fait foi.
CASB apporte la visibilité et le point de contrôle pour les services cloud, DLP la règle de contrôle du contenu, c'est-à-dire ce qui peut arriver aux données. Combinés, ils permettent d'empêcher de façon ciblée que des fichiers sensibles n'arrivent dans des espaces de stockage cloud non autorisés.
- Portail d'aide Zscaler : documentation officielle sur les fonctions DLP dans ZIA - help.zscaler.com
Remarque : CentaurNexus est un produit indépendant de SourcingBlox GmbH et non une offre de Zscaler, Inc. Les noms de produits et de marques appartiennent à leurs détenteurs respectifs.