Remédiation DLP : hiérarchiser les corrections après un test

La remédiation DLP consiste à transformer les constats d’un test ou d’un audit de prévention des fuites en corrections concrètes, classées par ordre d’urgence. Une bonne hiérarchisation croise trois critères : la sensibilité de la donnée qui a pu sortir, l’exposition du canal emprunté et l’effort nécessaire pour corriger. Le livrable attendu n’est pas un rapport, c’est une liste d’actions classées que vos équipes peuvent exécuter dès lundi.

Pourquoi la plupart des plans de remédiation DLP échouent

Le problème est rarement le manque de constats. Après un test d’exfiltration de données, vous disposez souvent de dizaines de résultats : une règle e-mail qui ne déclenche pas, un téléversement vers un stockage personnel qui passe, un canal DNS non surveillé. Le problème, c’est l’ordre.

Trois travers reviennent sans cesse :

• Traiter par ordre d’apparition. Le premier constat du rapport n’est pas le plus grave. Il est simplement le premier testé.
• Traiter par facilité. On corrige les dix règles faciles, on affiche un taux de clôture flatteur, et le canal qui laisse sortir le fichier clients reste ouvert.
• Traiter par sévérité technique seule. Une note « critique » sur un canal qui ne transporte jamais de donnée sensible mobilise l’équipe pour rien.

Une hiérarchisation utile tient compte du contexte métier. Elle répond à une seule question : quelle correction réduit le plus le risque de fuite réelle, pour l’effort disponible ce mois-ci ?

Les trois axes de tri

1. Sensibilité de la donnée

Le premier critère est la nature de ce qui a pu sortir pendant le scénario d’attaque. Un leurre imitant un export RH, des données de santé ou des secrets industriels ne pèse pas comme un leurre imitant une plaquette commerciale. Ce critère suppose que votre classification existe et qu’elle est appliquée : sans elle, la DLP ne sait pas quoi protéger (voir pourquoi la DLP dépend de la classification des données).

Une échelle simple suffit : 3 pour les données réglementées ou stratégiques (personnelles sensibles, financières, propriété intellectuelle), 2 pour l’interne confidentiel, 1 pour l’interne courant.

2. Exposition du canal

Le second critère mesure à quel point le canal est accessible et utilisé. Un canal que tout poste de travail peut emprunter sans privilège (navigateur vers un service de partage, messagerie sortante) est plus exposé qu’un protocole qui exige des droits d’administration. Posez-vous trois questions :

• Combien d’utilisateurs ou de machines peuvent emprunter ce canal ?
• Faut-il des privilèges particuliers pour l’utiliser ?
• Le SOC voit-il quelque chose quand le transfert a lieu, même s’il n’est pas bloqué ?

Ce dernier point compte beaucoup. Un transfert non bloqué mais alerté se traite différemment d’un transfert totalement silencieux. Le silence est le pire cas, c’est celui que décrit l’article sur les faux négatifs DLP.

Échelle : 3 pour un canal ouvert à tous et silencieux, 2 pour un canal ouvert mais détecté, ou restreint mais silencieux, 1 pour un canal restreint et détecté.

3. Effort de correction

Le troisième critère est l’effort. Modifier un seuil dans une stratégie existante prend une heure. Déployer un agent endpoint sur un parc hétérogène prend un trimestre. Notez l’effort de 1 (faible, modification de règle) à 3 (élevé, projet avec budget, changement d’architecture ou conduite du changement).

La grille de hiérarchisation

Calculez un score de risque (sensibilité × exposition, de 1 à 9), puis croisez-le avec l’effort. Le tableau ci-dessous donne la règle de décision.

Faites défiler le tableau →

Deux règles complètent la grille. Un constat de risque 9 n’attend jamais, quel que soit l’effort : s’il ne peut pas être corrigé vite, il reçoit une mesure compensatoire (blocage temporaire, alerte dédiée au SOC, restriction du groupe concerné). Et tout risque accepté est écrit, daté, signé par un responsable. Un risque accepté oralement n’est pas accepté, il est oublié.

Scénario concret : cinq constats, une liste

Prenons une ETI industrielle qui vient de rejouer une série de scénarios avec des données factices. Cinq constats ressortent.

1. Un leurre de plans techniques sort par téléversement navigateur vers un stockage personnel, sans alerte. Sensibilité 3, exposition 3, effort 1 (la catégorie d’URL existe déjà dans le proxy, elle n’est pas bloquée). Risque 9, effort faible : P1, cette semaine.
2. Un leurre de fichier clients part en pièce jointe chiffrée par e-mail, la règle ne l’inspecte pas. Sensibilité 3, exposition 3, effort 2 (définir le traitement des archives chiffrées, prévenir les métiers). P1, ce mois-ci. Pour le détail des tests côté messagerie, voir DLP e-mail : comment tester vos règles.
3. Un leurre RH copié sur clé USB depuis des postes sans agent DLP. Sensibilité 3, exposition 2 (une partie du parc seulement), effort 3 (déploiement d’agent). Risque 6, effort élevé : P2 avec mesure transitoire, par exemple blocage du stockage amovible par stratégie de groupe sur ces postes, en attendant l’agent.
4. Un transfert vers un service d’IA générative est alerté mais non bloqué. Sensibilité 2, exposition 2, effort 1. Risque 4 : P2.
5. Un leurre de document interne courant passe par un canal réseau peu commun, détecté par le SOC. Sensibilité 1, exposition 1, effort 2. P4 : surveiller.

La liste finale tient en cinq lignes, avec pour chacune un responsable, une échéance et le critère de clôture. Personne n’a besoin d’un rapport de 80 pages pour l’exécuter.

Ce que doit contenir chaque action

Une action de remédiation mal rédigée revient au point de départ. Vérifiez que chaque ligne contient :

• le constat en une phrase, côté défenseur (canal, type de donnée, comportement observé : bloqué, alerté, silencieux) ;
• la correction attendue, formulée comme un résultat (« le téléversement est bloqué et alerté ») plutôt que comme une tâche vague (« revoir la règle ») ;
• le propriétaire nommé, pas une équipe ;
• l’échéance issue de la grille ;
• la mesure transitoire si l’échéance dépasse un mois ;
• le critère de clôture : quel scénario rejouer pour prouver que la correction fonctionne.

Suivre la remédiation dans le temps

La hiérarchisation n’est pas un exercice annuel. Les règles dérivent, les applications changent, une migration ouvre de nouveaux chemins. Un rythme raisonnable : revoir la liste à chaque série de rejeux, reclasser ce qui a changé, et suivre deux indicateurs simples, le nombre de constats P1 ouverts et le délai moyen entre détection et preuve de correction. Ces deux chiffres parlent à une direction générale bien mieux qu’un score de conformité.

FAQ