L’essentiel en 30 secondes
- Une règle DLP ne bloque que ce qu’elle sait reconnaître : étiquette, empreinte, correspondance exacte ou motif.
- Si la classification est absente, incomplète ou fausse, la donnée sort sans alerte : c’est souvent la première cause de faux négatifs.
- Un test utile fait varier l’état de classification des leurres, et n’attend pas une classification parfaite.
La classification des données dit à la DLP ce qu’elle doit protéger. Une règle DLP ne bloque que ce qu’elle sait reconnaître : une étiquette de sensibilité, une empreinte de document, un motif ou un mot-clé. Si la classification est absente, incomplète ou fausse, la DLP laisse sortir la donnée sans rien signaler, et c’est souvent la première cause de faux négatifs.
Cet article explique comment la DLP s’appuie sur la classification, où se trouvent les trous habituels et ce que cela change dans la façon de tester vos contrôles.
Ce que la DLP « voit » réellement
Un moteur DLP ne comprend pas qu’un fichier est confidentiel. Il applique des conditions. Selon les produits, ces conditions reposent sur quatre grandes familles de signaux :
| Mécanisme | Principe | Point fort | Limite principale |
|---|---|---|---|
| Étiquettes de sensibilité | Métadonnée posée sur le fichier ou le message (manuellement, par défaut ou automatiquement) | Simple à exploiter dans les règles, lisible par l’utilisateur | Ne vaut que si l’étiquette est posée, correcte et conservée |
| Empreintes de documents | Signature calculée sur un modèle ou un corpus de référence (formulaire, contrat type, base clients) | Reconnaît une donnée précise, même renommée | Corpus de référence à maintenir, sensibilité aux transformations |
| Correspondance exacte de données | Comparaison avec des valeurs réelles hachées (numéros de client, identifiants) | Très peu de faux positifs | Périmètre limité aux jeux de données importés |
| Motifs et mots-clés | Expressions régulières, dictionnaires, types d’informations sensibles | Couverture large sans préparation | Bruit élevé, facilement mis en défaut par un format inattendu |
Les trois premiers mécanismes sont de la classification au sens strict : quelqu’un, ou un processus, a décidé en amont qu’une donnée était sensible. Le quatrième tente de deviner. Une DLP mature combine les deux, mais la règle qui bloque vraiment repose presque toujours sur une décision de classification préalable.
Les étiquettes : efficaces, à condition d’exister
Les étiquettes sont le levier le plus direct. Une règle du type « bloquer l’envoi externe de tout document étiqueté Confidentiel » est claire, auditable et facile à expliquer à un COMEX. Le problème n’est pas la règle. C’est le taux de couverture.
Où les étiquettes manquent
- Le stock historique : les partages réseau et les espaces documentaires antérieurs au projet de classification restent souvent non étiquetés.
- Les données générées hors bureautique : exports CSV d’un ERP, extractions SQL, journaux applicatifs, captures d’écran. Ces formats échappent fréquemment aux étiquettes.
- Le copier-coller : un extrait d’un document étiqueté collé dans un nouveau fichier, un chat ou un prompt perd l’étiquette d’origine.
- L’étiquetage manuel sous pression : quand l’utilisateur choisit, il choisit souvent le niveau le plus bas pour ne pas être gêné. Une justification obligatoire réduit le phénomène sans le supprimer.
- Les conversions : impression en PDF, archive compressée, changement de format. Selon l’outil, l’étiquette suit ou disparaît.
Les empreintes : précises, mais fragiles
L’empreinte de document répond à un autre besoin : reconnaître un contenu précis, par exemple un modèle de contrat, une fiche technique ou un format de dossier patient. Elle ne dépend pas de l’utilisateur, ce qui est un vrai avantage.
Ses faiblesses sont connues des équipes qui l’exploitent :
- le corpus de référence vieillit si personne n’est chargé de le mettre à jour ;
- le seuil de similarité est un compromis : trop strict, il rate les variantes ; trop lâche, il génère des alertes inutiles ;
- certaines transformations du contenu (extraction partielle, reformulation, changement de structure) peuvent faire passer le document sous le seuil.
Scénario : une classification « faite » qui laisse passer l’essentiel
Prenons une ETI industrielle. Le projet de classification est terminé : quatre niveaux, étiquetage par défaut « Interne », étiquetage automatique sur quelques types de données personnelles. La règle DLP bloque l’envoi externe des documents « Confidentiel » et « Secret ».
Les plans de fabrication sont stockés dans un outil métier et exportés au besoin au format PDF ou en archive. Ces exports ne portent aucune étiquette. Aucune empreinte n’a été créée sur ces plans, car ils ne ressemblent pas à des documents bureautiques. Résultat : la donnée la plus stratégique de l’entreprise est celle que la DLP ne reconnaît pas. Personne ne s’en aperçoit, puisqu’aucune alerte ne se déclenche. L’absence d’alerte est lue comme une absence de fuite.
Ce cas n’a rien d’exotique. Il illustre le mécanisme décrit dans notre article sur les faux négatifs DLP : la règle fonctionne, mais elle ne s’applique pas aux bonnes données. Pour ce type de contexte, voir aussi la protection de la propriété intellectuelle contre l’exfiltration.
Conséquences pour les tests
Si la DLP dépend de la classification, un test qui ignore la classification mesure mal la DLP. Trois erreurs reviennent souvent.
Erreur 1 : tester uniquement avec des données parfaitement étiquetées
Envoyer un fichier marqué « Confidentiel » et constater le blocage prouve que la règle existe. Cela ne dit rien des données réelles qui circulent sans étiquette. Un test utile varie l’état de classification de la donnée testée.
Schéma · un leurre, trois états
Erreur 2 : tester avec de vraies données
Pour vérifier qu’un fichier clients est reconnu, la tentation est d’utiliser un vrai fichier clients. C’est précisément ce qu’il ne faut pas faire. Des données factices réalistes, construites pour déclencher les mêmes mécanismes de détection (format, structure, étiquette, empreinte de leurre), suffisent et suppriment le risque. Le sujet est détaillé dans l’article sur les données factices en production.
Erreur 3 : tester une fois, au déploiement
La classification bouge : nouvelles applications, nouveaux formats d’export, migration vers le cloud, évolution des étiquettes. Une règle valide en janvier peut être contournée sans intention malveillante en juin.
Les étapes d’un test qui tient compte de la classification
- Pour chaque catégorie de donnée sensible, identifier le mécanisme censé la reconnaître (étiquette, empreinte, correspondance exacte, motif).
- Préparer des leurres dans plusieurs états : étiquetés correctement, étiquetés au niveau inférieur, non étiquetés.
- Rejouer les mêmes leurres après des transformations courantes : conversion de format, archive, extrait partiel, copier-coller.
- Couvrir les canaux de sortie réels : messagerie, navigateur, stockage cloud, endpoint, réseau.
- Noter pour chaque cas : bloqué, alerté seulement, ou passé sans trace.
- Remonter les échecs vers deux équipes distinctes : celle qui règle la DLP et celle qui porte la classification.
Le dernier point est souvent négligé. Un échec de test n’est pas toujours un problème de règle DLP. Il peut révéler un trou de classification, et la correction ne relève alors pas de la même équipe. Pour la méthode générale, voir comment tester sa DLP et savoir si elle bloque vraiment, et la page de référence sur le test d’exfiltration de données.
Et chez vous ?
Que laisse sortir votre DLP quand l’étiquette manque ?
Une démo guidée de 30 minutes, sur des jeux de résultats préétablis, pour voir comment une campagne restitue ce qui sort par chaque chemin de sortie.
Faut-il attendre une classification parfaite avant de tester ?
Non. C’est même l’inverse. Le test actif est un excellent outil pour prioriser le chantier de classification. Il montre quelles catégories de données sortent sans être reconnues, sur quels canaux, et donc où l’effort d’étiquetage ou de création d’empreintes rapporte le plus. Attendre une classification complète, c’est accepter des mois d’angle mort sur un projet qui, dans la plupart des organisations, n’est jamais vraiment terminé.
FAQ
Une DLP peut-elle fonctionner sans classification des données ?
Partiellement. Les motifs et mots-clés détectent certains types de données (numéros, identifiants) sans classification préalable, mais avec beaucoup de bruit et une couverture limitée aux formats prévisibles. Les données métier spécifiques, comme des plans ou des contrats, exigent une étiquette ou une empreinte.
Quelle différence entre étiquette et empreinte de document ?
L’étiquette est une métadonnée posée sur le fichier et peut disparaître lors d’une conversion ou d’un copier-coller. L’empreinte est calculée sur le contenu lui-même à partir d’un corpus de référence : elle reconnaît le document même sans étiquette, tant que le contenu reste assez proche de l’original.
Comment savoir si ma classification est assez bonne pour la DLP ?
En la testant par la sortie. Faites circuler des leurres représentatifs de vos données sensibles, dans différents états de classification, sur vos canaux réels, et mesurez ce qui est bloqué. Le taux de couverture déclaré par l’outil de classification ne suffit pas.
Qui doit corriger un échec lié à la classification ?
Cela dépend de la cause. Une étiquette absente relève souvent des propriétaires de données ou du projet de classification ; une règle mal ciblée relève de l’équipe qui administre la DLP. Le constat de test doit indiquer laquelle des deux est concernée.