La prévention des pertes de données (DLP) empêche les données sensibles de quitter l'organisation. Elle surveille le parcours des données : pièces jointes aux e-mails, téléchargements sur le cloud, clés USB et impressions. Un système DLP identifie les contenus sensibles à l'aide de modèles et d'étiquettes, puis bloque ou signale les transferts non conformes à la politique de sécurité. Un tableur contenant les numéros de cartes bancaires des clients ne doit pas être envoyé vers un compte Gmail personnel. Le moteur DLP reconnaît le modèle et bloque l'envoi.

La mise en place d'une solution DLP efficace est complexe. Les faux positifs agacent les utilisateurs et génèrent une lassitude face aux alertes. Les faux négatifs laissent fuiter des données. Le chiffrement des fichiers et des images empêche l'inspection du contenu. Les employés trouvent des solutions de contournement, comme la capture d'écran ou le copier-coller des données dans une application de notes personnelles. Une solution DLP efficace combine technologie, politiques et formations. Étiquetez les données sensibles dès leur création. Classez-les afin que le moteur DLP sache ce qu'il doit protéger. Limitez l'accès aux ports USB lorsque cela est pertinent. Surveillez les chargements vers le cloud. La plupart des violations de données impliquent une fuite par un canal négligé. La solution DLP bloque ces canaux, mais seulement si l'organisation définit clairement ce qui est considéré comme sensible et applique les règles de manière cohérente.

canaux DLP à surveiller

• Courriel — pièces jointes et messages sortants
• Stockage cloud — téléchargements vers des comptes personnels
• Supports amovibles — clés USB et disques externes
• Impression — documents sortant sous forme de papier
• Web — soumission de formulaires et téléchargement de fichiers

DLP est un ralentisseur, pas un mur. Un initié déterminé trouvera un moyen de contourner le système. L'objectif est de repérer les imprudents et de freiner les agissements malveillants.