Le risque interne commence par qui peut lire les données

Risque interne

Les équipes de sécurité considèrent souvent le risque interne comme un problème d’attaquant externe, mais ce n’est pas tout à fait exact. Le risque interne vient des personnes ayant déjà un accès légitime. Il concerne les employés, sous-traitants et administrateurs qui peuvent voir ou manipuler des données sensibles dans le cadre de leur travail, qu’ils en abusent ou non. La plupart des discussions sur le risque interne ignorent cette définition pour se concentrer sur le scénario de l’employé malveillant, celui qui vole des données en partant. C’est un vrai risque, mais pas le plus fréquent. La version bien plus courante est un accès jamais remis en question : une autorisation donnée pour un usage qui ouvre discrètement la porte à autre chose.

Les administrateurs peuvent voir les données sensibles

Les équipes de sécurité consacrent beaucoup de temps à modéliser les menaces externes : phishing, bourrage d'identifiants et acteurs de ransomware se déplaçant latéralement dans un réseau. Le risque interne reçoit une autre attention, souvent centré sur les employés malveillants ou négligents qui cliquent sur un mauvais lien. Les deux sont importants. Aucun ne couvre la version plus discrète du problème : les personnes qui voient des données sensibles uniquement grâce aux outils qu'elles gèrent, sans qu'on ait décidé qu'elles devaient y avoir accès.

Une plateforme de classification des données doit scanner les systèmes de fichiers, les boîtes mail, les sites SharePoint et les espaces cloud pour trouver et marquer les contenus sensibles. Cet accès de scan doit être large par conception ; l’outil ne peut pas classer ce qu’il ne peut pas atteindre. Le problème survient lorsque les fournisseurs associent cet accès large à la capacité d’ouvrir et de lire le contenu des fichiers, puis le confient à l’administrateur de la plateforme.

Les comptes administrateurs ne sont pas audités

Demandez à la plupart des équipes de sécurité qui peut voir les données clients réglementées, et elles vous parleront de leurs règles DLP, de leurs revues d'accès et des permissions basées sur les rôles sur le serveur de fichiers. Demandez-leur qui peut ouvrir ces données via l'outil de classification qui les analyse, et la réponse devient vite floue.

Les rôles de super utilisateur et d’administrateur sont généralement exclus des revues d’accès destinées aux employés ordinaires. Ils sont considérés comme fiables par défaut, ce qui est précisément la raison pour laquelle ils méritent d’être examinés. Un administrateur de classification n’a pas besoin de lire le contenu d’un dossier médical pour confirmer que la règle de taxonomie HIPAA a été correctement déclenchée ; il lui faut seulement la confirmation que la règle s’est activée. Ce sont deux permissions différentes, mais la plupart des outils n’en offrent qu’une.

C’est le même principe de moindre privilège qui s’applique partout en sécurité, appliqué ici à un endroit où il est rarement utilisé : l’outil qui gère vos données les plus sensibles.

Filtrage de sécurité

Le filtrage de sécurité, qui limite ce qu’un utilisateur peut trouver dans une recherche selon ses permissions, résout la moitié du problème. Il empêche un employé ordinaire de tomber sur un fichier qu’il ne devrait pas voir via un résultat de recherche. Il n’a jamais été conçu pour gérer la console d’administration elle-même, où quelqu’un avec accès à la plateforme peut ouvrir l’onglet Texte sur n’importe quel document indexé, quel que soit ce que le filtrage de sécurité permet aux autres de voir.

Cette distinction prend plus d'importance à mesure que les réglementations précisent l'accès au contenu, au-delà de l'accès aux métadonnées. Les auditeurs veulent de plus en plus savoir qui peut lire le contenu réel des fichiers réglementés, au-delà de confirmer qu'un fichier existe et comment il est étiqueté. « Nos administrateurs ont un accès étendu car ils doivent gérer l'outil » ne répond pas à cette question, et la considérer comme telle conduit aux constats d'audit.

L'accès au contenu nécessite une permission spécifique

Netwrix Data Classification sépare la possibilité de voir le contenu des documents des fonctions de classification et d’administration qui la géraient auparavant par défaut. Les super utilisateurs ne voient pas automatiquement le contenu des fichiers ; les administrateurs doivent accorder l’accès délibérément.

Cela fonctionne en complément du filtrage de sécurité existant sans le remplacer, donc les deux couches s’appliquent : ce qu’un utilisateur normal peut trouver dans une recherche, et séparément, quels administrateurs peuvent ouvrir ce qu’ils trouvent.

En pratique, un administrateur de classification peut lancer des analyses, vérifier la correspondance des règles de taxonomie et gérer le flux de travail autour des fichiers signalés sans jamais ouvrir le fichier lui-même. Les équipes réservent l'accès au contenu aux examinateurs ou enquêteurs spécifiques dont le travail nécessite de lire ce qu'il contient.