1. Auditer l’accès aux données

La gestion efficace d’un ensemble de données est impossible si l’on ne dispose pas d’un enregistrement des accès. Faute de pouvoir observer de façon fiable l’utilisation qui est faite des données, il est impossible de détecter la « non utilisation » et l’utilisation frauduleuse. En l’absence d’un historique d’utilisation des données, on ne peut pas répondre aux questions essentielles, des plus simples comme : « qui a effacé mes fichiers, quelles données cette personne ou ces gens utilisent-ils, et quelles données ne sont pas utilisées », aux plus complexes comme : « qui est propriétaire de ces données, quels ensembles de données soutiennent cette unité opérationnelle, et comment verrouiller les données sans perturber les flux de travail ».

2. Inventorier les permissions et les groupes des services d’annuaires

La gestion efficace d’un ensemble de données est impossible si l’on ne comprend pas qui y a accès. Les listes de contrôle d’accès et les groupes (dans Active Directory, LDAP, etc.) sont un mécanisme de contrôle protecteur fondamental pour toutes les plateformes de données non structurées et semi-structurées, et pourtant, trop souvent, les départements informatiques ne peuvent pas répondre facilement à des questions fondamentales de protection des données comme : « Qui a accès à un ensemble de données ? » et « À quels ensembles de données un utilisateur ou un groupe a-t-il accès ? » Les réponses à ces questions doivent être exactes et disponibles pour que la réussite des projets de protection et de gestion des données soit assurée.

3. Prioriser les données à traiter

Toutes les données doivent être protégées, mais certaines doivent l’être en priorité. Certains ensembles de données ont des propriétaires bien connus, ainsi que des processus et des contrôles bien définis pour leur protection, mais beaucoup d’autres sont moins bien compris. Avec une piste d’audit, une technologie de classification des données et des informations de contrôle d’accès, les entreprises peuvent identifier les données actives et les données inactives, celles qui sont considérées comme sensibles, confidentielles ou internes, et celles qui sont accessibles à de nombreuses personnes. Ces ensembles de données doivent être examinés et traités rapidement pour réduire les risques.

4. Supprimer les groupes d’accès global des listes de contrôle d’accès (comme « Tout le monde »), spécialement là où se trouvent des données sensibles

Il n’est pas rare que des dossiers partagés aient des permissions permettant à « Tout le monde » ou à tous les « Utilisateurs du domaine » (presque tout le monde) d’accéder aux données qu’ils contiennent. Le même problème se pose pour SharePoint (spécialement avec les utilisateurs authentifiés). C’est le cas également pour Exchange, qui dispose en plus d’un accès comme « Utilisateur anonyme ». Cela crée un risque de sécurité significatif. En effet, toutes les données placées dans ce dossier hériteront de ces permissions « exposées », et ceux qui placent des données dans ces dossiers ouverts peuvent ne pas être conscients des paramètres d’accès trop peu restrictifs. Lorsque des données sensibles, telles que des informations personnelles, des données sur des cartes de crédit, des propriétés intellectuelles ou des informations liées aux RH se trouvent dans de tels dossiers, les risques peuvent devenir très importants. L’accès global aux dossiers, aux sites SharePoint et aux boîtes aux lettres doit être supprimé et remplacé par des règles qui donnent accès aux groupes qui en ont explicitement besoin.

Un chemin direct vers une gouvernance des données efficace. Varonis ®

5. Identifier les propriétaires de données

Les départements informatiques doivent suivre les propriétaires des données de l’entreprise et les dossiers et sites SharePoint sous leur responsabilité. En impliquant les propriétaires de données, les départements informatiques peuvent s’acquitter de plusieurs des tâches identifiées ci-dessus, notamment vérifier la révocation et la révision des permissions et identifier les données à archiver.

Au final, l’effet est une augmentation marquée de la précision des droits d’accès aux données et donc de la protection des données.