Le jeu de la taupe des accès ne finit jamais. Il y a une raison à cela

Je pense beaucoup au problème du jeu de la taupe des accès. Nouvelles recrues, nouveaux projets, nouveaux fichiers, nouveaux partages, quelqu'un rompt l'héritage d'un dossier sans s'en rendre compte. C'est pourquoi cela ne finit jamais : les nouveautés arrivent plus vite que personne ne peut examiner ce qui existe déjà, si bien que la liste ne raccourcit jamais, quelle que soit la fréquence du nettoyage.

Ce problème existe depuis toujours, mais il s'est aggravé. Trouver un fichier surexposé exigeait de fouiller manuellement, ce qui signifiait que la plupart restaient là, discrets et introuvés, pendant des années. Copilot et les agents du même type réduisent toute cette recherche à une seule question, avec une réponse en quelques secondes, pour quiconque la pose. L'IA ne crée pas le risque, mais elle amplifie ce qui existait déjà.

Je suis un ancien ingénieur et j'aime observer comment les équipes logicielles gèrent des problèmes similaires. Claude Mythos Preview est sorti en avril et, en un mois, Anthropic et ses partenaires avaient trouvé plus de 10 000 vulnérabilités de gravité élevée ou critique dans des logiciels très répandus. Les mainteneurs ne peuvent pas tout corriger. Corriger chaque bogue au fur et à mesure ressemble beaucoup à vouloir suivre chaque modification de droits : cela ne finit jamais. Les équipes avisées n'essaient donc pas de corriger tous les bogues. Elles repensent plutôt l'architecture du code le plus risqué, celui qu'elles ne peuvent réalistement pas suivre, sur des plateformes durcies et isolées, de sorte qu'un lot entier de vulnérabilités cesse de compter d'un seul coup.

Je pense que la même idée s'applique à la gouvernance des accès.

Déplacez les données, ne vous contentez pas de mieux les protéger

Un partage de fichiers générique est le pire endroit pour des données sensibles : les droits s'héritent de façon imprévisible, l'étiquetage ou la DLP y sont rarement activés par défaut et la piste d'audit est maigre. Un nettoyage manqué expose tout ce qui se trouve derrière. Des revues de droits plus fréquentes sont difficiles à mettre à l'échelle. La solution consiste à sortir les données sensibles de ce qu'il y a de plus difficile à gouverner.

Certaines catégories de données sensibles ont déjà un meilleur foyer, généralement un système que vous possédez déjà. Les dossiers financiers relèvent de la plateforme financière, pas d'un lecteur partagé. Les données de santé relèvent du système clinique ou de remboursement que votre programme de conformité gouverne déjà. Rien de tout cela n'est nouveau, mais il faut y voir la vraie solution, car elle retire les données du tas que vous devriez sinon réauditer indéfiniment.

Les données personnelles générales, les contenus signalés par le RGPD et tout ce qui traîne dans un ancien partage parce que personne ne lui a construit de foyer adapté sont des données sans système dédié évident. Pour celles-ci, SharePoint est réellement une meilleure plateforme, pas seulement plus ordonnée. Une étiquette de confidentialité accompagne le fichier lui-même, de sorte que la protection ne disparaît pas dès que quelqu'un le télécharge ou le transfère, ce qu'un partage de fichiers plat n'est pas conçu pour faire d'emblée. Les étiquettes peuvent aussi déclencher un accès fondé sur l'identité : un site contenant des documents confidentiels peut exiger l'authentification multifacteur dès que quelqu'un tente de l'ouvrir, au lieu de faire confiance à quiconque possède un identifiant. Et Restricted Access Control permet de plafonner immédiatement l'audience réelle d'un site, en écrasant la dispersion des partages accumulée au fil des ans, au lieu de démêler les droits groupe par groupe. Ce dernier point compte tout particulièrement pour Copilot et les agents similaires : ils ne font ressortir que ce que la personne qui pose la question a déjà le droit d'atteindre, donc réduire cette audience réelle réduit aussi ce que n'importe quel agent IA peut trouver. Netwrix 1Secure peut vous montrer dès aujourd'hui votre exposition à Copilot.

La même logique s'applique aux accès permanents

L'autre problème de droits qui ne cesse de s'accumuler concerne ceux qui détiennent des accès élevés qu'ils utilisent à peine. Passer cette liste en revue, c'est le même jeu de la taupe sans fin que de revoir chaque droit sur les fichiers, avec des enjeux plus élevés. Les comptes de service privilégiés ont toujours été une cible, vu leur large rayon d'action, mais les identités d'agents IA portent cela à un autre niveau en raison de leur capacité à agir de façon autonome. La solution la plus durable est l'élévation juste-à-temps : accorder l'accès pour la tâche et le laisser expirer, plutôt que de le laisser disponible en permanence. Des outils d'accès privilégié existent précisément pour cela, et il faut les traiter comme une infrastructure plutôt que comme une règle que quelqu'un doit penser à appliquer.

Là où cela devient urgent

Le volet données ne fonctionne pas si vous ne savez pas d'abord où se trouvent vraiment vos données sensibles, et c'est l'étape que la plupart des équipes sautent.

Les accès permanents peuvent être corrigés dès aujourd'hui ; cela n'attend rien. Mais on ne peut pas repenser ce qu'on ne voit pas côté données. Si vous trouvez des données personnelles sur un partage de fichiers, c'est le signal pour les déplacer vers un endroit conçu pour elles, comme SharePoint. Savoir ce que vous avez et où cela se trouve est le point de départ pour sortir les données sensibles des plateformes qui ne peuvent pas les protéger. C'est exactement là qu'intervient Netwrix 1Secure.