Qu'est-ce que le DLP ?

La prévention des pertes de données (DLP) désigne un ensemble d’outils et de processus de sécurité qui détectent et empêchent le transfert, la divulgation ou la destruction non autorisés de données sensibles, telles que les informations personnelles, les documents financiers ou la propriété intellectuelle. Les systèmes DLP analysent les données en transit, en cours d’utilisation et au repos, puis appliquent les règles définies par le biais de mesures telles que l’envoi d’alertes, le blocage ou la mise en quarantaine des données concernées.

Points clés à retenir

• Le DLP détecte et bloque les transferts non autorisés de données sensibles.
• Les politiques associent des modèles de données, la logique booléenne et des mesures coercitives.
• La couverture s'étend aux données en transit, au repos et au sein des applications cloud.
• Les mesures vont de l'alerte silencieuse au blocage total et au rejet.
• Pour inspecter le trafic SaaS chiffré, il faut d'abord procéder au déchiffrement TLS.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · DLP et Versa · FAQ

Pourquoi la technologie DLP est-elle importante ?

Les données sensibles quittent désormais une entreprise par des dizaines de canaux courants : une pièce jointe à un e-mail, un téléchargement SaaS vers Dropbox ou SharePoint, un message Slack, une clé USB, un compartiment de stockage cloud mal configuré. La plupart de ces transferts ne sont pas malveillants : un employé joint le mauvais fichier ou copie une liste de clients sur un compte personnel pour travailler à domicile. Un nombre plus restreint correspond à des exfiltrations délibérées. La prévention des fuites de données (DLP) est essentielle car elle détecte ces deux types de cas au moment même du transfert, avant que les données ne échappent au contrôle de l’entreprise, plutôt qu’une fois la violation déjà en cours.

La pression réglementaire renforce encore les enjeux. Des cadres réglementaires tels que le RGPD, la loi HIPAA et la norme PCI DSS exigent des organisations qu’elles démontrent que les informations personnelles identifiables, les dossiers médicaux et les données de cartes de paiement sont activement protégés, et pas seulement soumis à un contrôle d’accès. La solution DLP offre aux équipes chargées de la conformité un contrôle applicable et vérifiable : chaque correspondance, alerte et blocage est consigné, fournissant ainsi les preuves exigées par les régulateurs et les auditeurs. À mesure que le travail s’effectue hors réseau et que les données migrent vers le cloud, le DLP est l’un des rares contrôles qui suit les données elles-mêmes plutôt qu’un périmètre réseau fixe.

Qu'est-ce que le DLP ?

Le DLP fonctionne en classifiant le contenu, puis en appliquant une politique dès que les données sensibles sont sur le point de sortir de leur périmètre autorisé. Les méthodes de classification vont de la simple reconnaissance de motifs – expressions régulières et dictionnaires de mots-clés permettant de reconnaître, par exemple, des numéros de carte bancaire ou des formats de carte d'identité nationale – à des techniques plus précises : comparaison exacte des données avec un ensemble de données connu, empreinte digitale d'un document par rapport à un modèle enregistré, et reconnaissance optique de caractères pour le texte intégré dans des images.

Une simple détection ne sert à rien sans point d’application. Les systèmes DLP sont déployés en ligne à ces points – passerelles Web et de messagerie, courtiers d’accès au cloud, agents sur les terminaux – où ils inspectent le trafic ou les fichiers dans leur contexte (un téléchargement, un chargement, une pièce jointe, un collage depuis le presse-papiers) et prennent une mesure définie par la politique : autoriser l’opération, enregistrer une alerte, bloquer purement et simplement le transfert ou mettre fin à la session. Le trafic chiffré masquant par nature sa charge utile, les solutions DLP destinées au trafic Web et SaaS s’appuient généralement sur le déchiffrement TLS pour accéder au contenu qu’elles doivent inspecter.

Types de DLP

Le DLP est généralement classé en fonction du lieu où s'effectue l'application des règles. Le DLP réseau inspecte les données en transit aux points de sortie du réseau ou du cloud (passerelles Web, messagerie électronique et points d'inspection de l'SASE/SSE) ; il s'agit du mode de déploiement le plus courant, car il couvre un grand nombre d'utilisateurs et d'applications à partir d'une seule couche d'application des règles. Le DLP au niveau des terminaux fonctionne sous forme d’agent sur les ordinateurs portables et de bureau ; il contrôle les actions locales que les contrôles au niveau de la couche réseau ne peuvent pas détecter, telles que les copies via USB, les opérations sur le presse-papiers et l’impression, et continue de fonctionner même lorsqu’un appareil est hors du réseau d’entreprise. Le DLP dans le cloud s’intègre à un courtier en sécurité d’accès au cloud (CASB) pour inspecter les données au repos au sein des applications SaaS et du stockage cloud, et pas seulement celles en transit. Le DLP de découverte (données au repos) analyse les partages de fichiers, les bases de données et les référentiels pour localiser les données sensibles déjà présentes, ce qui constitue souvent la première étape avant la rédaction de politiques de transfert efficaces. La plupart des déploiements aboutis combinent plusieurs de ces approches plutôt que de s’appuyer sur une seule.

DLP & Versa

Versa propose la protection DLP (Data Loss Prevention) comme l’un des services phares de Security Service Edge dans VersaONE, configurable dans Concerto sous Security Service Edge > Protection en temps réel. Le modèle de configuration est modulaire et stratifié : les « Data Patterns » définissent la détection granulaire par expressions régulières et mots-clés pour des valeurs telles qu’un numéro de carte bancaire ou un numéro d’identité ; les « Data Protection Profiles » combinent plusieurs modèles à l’aide d’opérateurs booléens et de proximité (AND, OR, NOT, NEAR) afin d’exprimer des conditions plus précises ; les règles DLP utilisent un ou plusieurs profils et choisissent une méthode d’inspection – analyse de contenu, DLP de fichiers, correspondance exacte des données (EDM), empreinte digitale de documents ou OCR – dont la portée est limitée à des types de fichiers, des activités (téléchargement/envoi) et des contextes (en-tête, corps, pièce jointe) spécifiques ; et les profils DLP regroupent plusieurs règles et les appliquent à des applications et des groupes d’utilisateurs spécifiques. Un profil DLP est ensuite associé à une règle de protection Internet d’ SASE ou à une règle de protection d’application privée, avec les actions suivantes : Autoriser, Alerter, Bloquer ou Refuser.

La plupart du trafic pertinent pour la prévention des pertes de données (DLP) vers des applications SaaS telles que Gmail, Slack ou SharePoint étant chiffré, une règle de déchiffrement TLS pour les applications cibles est une condition préalable à l’inspection du contenu. « Versa » intègre également des règles DLP prêtes à l’emploi – notamment un profil « GenAI_DLP » regroupant les détections « Source_Code », « US_Financial » et « PII_US » – et chaque événement DLP est consigné dans « Versa Analytics » pour être examiné. Consultez le Guide de configuration DLP pour découvrir des cas d’utilisation concrets et le document « Configurer la prévention des pertes de données dans Concerto » pour obtenir la référence de configuration complète.

Questions fréquentes

Quelle est la différence entre un système DLP et un pare-feu ?

Un pare-feu (ou NGFW) contrôle les connexions et les applications autorisées en fonction de l'identité, du port et des signatures d'application. Le DLP analyse le contenu réel du trafic autorisé à la recherche de motifs de données sensibles. Ces deux systèmes sont complémentaires : le pare-feu détermine quel trafic est autorisé, tandis que le DLP détermine quel contenu de ce trafic peut être transmis à l'extérieur.

Qu'est-ce que la « correspondance exacte des données » (EDM) dans le cadre de la prévention des fuites de données (DLP) ?

L'EDM compare le contenu sortant à un ensemble de données structuré et haché – tel qu'une base de données clients – plutôt qu'à un modèle générique. Il identifie des enregistrements spécifiques (un identifiant client réel, et non pas simplement quelque chose qui y ressemble), ce qui réduit considérablement les faux positifs par rapport à une détection reposant uniquement sur des expressions régulières.

Qu'est-ce que l'empreinte numérique des documents dans le cadre d'une solution DLP ?

L'empreinte numérique d'un document consiste à enregistrer un formulaire ou un modèle sensible, puis à calculer un score de similitude entre celui-ci et les fichiers en transit. Si le contenu d'un fichier sortant présente des similitudes avec le modèle supérieures à un seuil défini, la règle se déclenche. Cette fonctionnalité est utile pour protéger les formulaires structurés dont la formulation exacte varie à chaque fois.

Le DLP nécessite-t-il un décryptage TLS ?

Pour le trafic Web et SaaS, oui. Le DLP analyse le contenu de la charge utile, or les connexions chiffrées masquent cette charge utile de par leur conception. Une règle de déchiffrement TLS doit être définie pour les applications concernées avant qu’une règle DLP puisse examiner le contenu d’un fichier téléchargé, d’une pièce jointe ou du corps d’un message.

Quelle est la différence entre un système DLP au niveau du réseau et un système DLP au niveau des terminaux ?

Le DLP réseau analyse les données en transit au niveau des passerelles et des points de contrôle dans le cloud, couvrant ainsi un grand nombre d'utilisateurs à partir d'une seule couche d'application, mais uniquement le trafic transitant par le réseau. Le DLP sur terminal s'exécute directement sur l'appareil lui-même ; il détecte donc également les actions locales telles que les transferts via clé USB, même lorsque l'appareil est hors ligne.

En savoir plus sur le DLP

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au DLP, voici quelques liens qui pourraient vous intéresser.