5 défis liés à la mise en œuvre de Microsoft Information Protection

Savoir ce que vous possédez est la première étape pour le protéger. Savoir où il se trouve, la seconde. Au fil de votre démarche de sécurité des données, vous découvrirez de nombreuses façons d'identifier, d'étiqueter et de sécuriser vos données. Par exemple, avez-vous un inventaire de ce que vous pensez posséder ? Même si c'est le cas, il ne représente potentiellement qu'une fraction de ce qui existe réellement dans votre environnement.

Dans un autre scénario, un projet prend fin et l'équipe quitte l'entreprise ; un OneDrive contenant toutes les données est présent, mais vous ignorez tout de son contenu et de sa destination. Ce problème peut s'avérer encore plus critique pour l'entreprise si les informations sont stockées sur un espace de stockage cloud sans responsable désigné.

Un cadre établi pour l'étiquetage des informations sensibles peut vous aider à comprendre votre environnement de données et à en tirer des renseignements pertinents, comme la découverte de pertes d'informations ou d'exploits, afin de mettre en place des politiques et des contrôles de sécurité plus efficaces.

Quel est l'état de l'étiquetage des données ?

Votre entreprise possède d'immenses volumes de données, principalement des fichiers MS Office, des PDF et d'autres formats facilement transférables. Ces types de fichiers, non structurés par rapport aux bases de données et aux systèmes de traitement des transactions, peuvent s'avérer difficiles à suivre et à protéger. Nombre d'organisations n'ont pas étiqueté leurs données à grande échelle ou ont mis en place tellement de systèmes d'étiquetage au fil des ans que toute cohérence a disparu. De tels processus sont difficiles à initier entre les équipes et nécessitent un suivi constant.

L’évaluation des risques devient alors un processus continu de localisation, d’identification et d’étiquetage des données, afin de définir les conditions acceptables d’accès, d’exposition et… utilisation appropriée.

Vous avez besoin de détails sur l'emplacement et l'état des données, de déterminer leur nature et d'appliquer les connaissances d'utilisation en fonction des définitions et protocoles établis (par exemple, contiennent-elles le mot « confidentiel » ? Si oui, définissez un niveau de sensibilité et appliquez des règles pour empêcher la copie/l'impression).

Ensuite, il vous faut une stratégie pour documenter, examiner, analyser et traiter toutes ces données ; c’est ce qui constitue votre stratégie de gouvernance des données. Après cela, et quelques litres de café, vous serez prêt à vous attaquer au processus proprement dit d’étiquetage des fichiers.

Qu’est-ce que Microsoft Information Protection (MIP) ?

Si votre entreprise utilise principalement Microsoft (avec des investissements importants dans Teams, SharePoint et OneDrive), vous avez probablement déjà entendu parler de Microsoft Information Protection (MIP).

À noter qu'en 2021, Les capacités du MIP ont été étendues pour classer les données. Certaines personnes ayant adopté MIP à différentes périodes le connaissent sous le nom d'Azure Information Protection ou de Purview Information Protection. Depuis l'été 2023, MIP est connu sous le nom de Protection des informations Microsoft PurviewDans le cadre de notre étude, nous nous concentrons sur le nom et le cas d'utilisation les plus courants de MIP : MIP pour l'étiquetage de sensibilité.

MIP est un framework et une solution Microsoft permettant d'étiqueter les données selon leur niveau de sensibilité. Ces étiquettes peuvent être appliquées via des stratégies basées sur des règles définies par les administrateurs, bien que de nombreux utilisateurs les appliquent manuellement directement aux fichiers.

Les fichiers et objets Windows, ainsi que ceux stockés dans Azure, prennent en charge des mécanismes permettant d'associer des étiquettes importantes (telles que le niveau de confidentialité) aux métadonnées du fichier, sous forme de propriétés qui y sont associées (bien qu'il soit possible de les supprimer). Vous pouvez enrichir ces métadonnées en utilisant MIP pour intégrer des étiquettes d'identification et exploiter ces informations afin de prendre des décisions éclairées (automatisées ou non) concernant les restrictions de contenu, la localisation des données, etc.

Les grandes entreprises sont exposées à des risques juridiques et réglementaires en raison des incohérences entre leurs systèmes de stockage et de traitement des données : l’âge, le volume et la nature des données peuvent être largement inconnus. Celles-ci peuvent être dupliquées, non gérées, obsolètes, non fiables, voire inutilisables. Les métadonnées sont-elles nécessaires, connues, complètes, exactes et correctement cartographiées ?

Comment utilise-t-on le MIP ?

Pour de nombreuses entreprises utilisant Microsoft, MIP peut servir de base à la mise en œuvre de programmes de sécurité et de conformité des données :

• Prévention des pertes de données Les politiques de protection contre la perte de données (DLP) permettent de bloquer ou de mettre en quarantaine les informations sensibles. Ces politiques s'appliquent aux données étiquetées et déclenchent des actions spécifiques, en fonction du niveau de sensibilité.
• Politiques de gouvernance de l'accès aux données (DAG) accès par porte et chiffrer les données étiquetées, en fonction de leur sensibilité.
• Les politiques de conformité des données précisent comment les données doivent être collectées, stockées et traitées. Les données qualifiées de hautement sensibles, par exemple, peuvent faire l'objet d'une politique stipulant qu'elles ne doivent pas être stockées dans un SharePoint accessible à des tiers chargés de l'application de la réglementation. principe du moindre privilège et en limitant l'accès aux seules personnes qui ont besoin des données pour remplir leurs obligations contractuelles.

Un étiquetage approprié avec des étiquettes MIP permet aux programmes de sécurité et de conformité des données de fonctionner comme prévu, en protégeant les données en fonction du niveau de risque qu'elles représentent en cas de fuite, d'exposition ou de stockage inapproprié.

Quels sont les défis liés à la mise en œuvre du MIP ?

Bien que MIP puisse vous aider à démarrer l'étiquetage de vos données, il n'est pas reconnu comme un système évolutif pour les raisons suivantes :

• Schéma d'étiquetage incohérent Que vous le sachiez ou non, chaque entreprise possède son propre système d'étiquetage des données. Souvent, une même entreprise coexiste plusieurs systèmes, avec des niveaux de détail et de validation (le cas échéant) variables selon les divisions. Par exemple, chaque fichier peut avoir 3 étiquettes, ou 10, certains types de fichiers en ont 5, tandis que d'autres n'en ont aucune.
• Sujet aux faux positifs – Le recours à des règles basées sur des modèles et à un processus humain sujet à interprétation pour l’attribution des étiquettes MIP engendre une faible confiance dans l’acceptation générale de ces étiquettes comme étant la vérité par l’ensemble des services. Il est donc important de désigner une autorité centrale chargée de vérifier et de valider l’exactitude de l’application des étiquettes. Mais qui a le temps pour cela ?
• Nécessite une application active Ces schémas reposent généralement sur l'étiquetage manuel des fichiers par les utilisateurs, mais il est quasiment impossible de les imposer. Il est difficile de vérifier leur exactitude, de suivre leur mise en œuvre ou d'appréhender pleinement l'étendue du contenu et des processus.
• Sujet aux erreurs humaines – Même si un système d’étiquetage clair est en place, les utilisateurs ne comprennent pas toujours ou ne sont pas toujours d’accord sur ce qui doit être considéré comme interne ou public.
• Facile à contourner Un utilisateur pourrait même contourner les politiques de sécurité en modifiant ultérieurement les balises MIP d'un fichier. En changeant la balise MIP, par exemple de « très sensible » à « non sensible », il peut contourner les politiques DLP qui utilisent l'étiquette MIP pour déclencher des actions de protection.

Comment Cyera peut vous aider à opérationnaliser votre mise en œuvre MIP

Cyera aide les entreprises à concevoir et à mettre en œuvre leurs programmes de protection des données, ce qui leur permet de tirer davantage de valeur de leurs licences Microsoft Enterprise.

Cyera classe et contextualise les données avec précision, sans nécessiter d'expressions régulières personnalisées ni de formation manuelle. Nos centaines de classificateurs prêts à l'emploi et notre capacité à apprendre de nouvelles classifications adaptées à votre environnement réduisent considérablement l'effort manuel requis pour configurer la classification des données de Purview.

Vous pouvez utiliser Cyera pour extraire les étiquettes MIP internes et externes des fichiers de votre environnement. Cyera génère des rapports vous permettant de comprendre les types de données protégées par MIP que vous ingérez de partenaires ou d'autres tiers. Cela vous aide à attester du respect des obligations contractuelles en matière de protection des données lors du traitement de données pour le compte de tiers.

Avec Cyera, vous pouvez visualiser précisément l'emplacement de vos données sensibles, leur nombre et leur contexte. Vous pouvez ainsi mettre en place un programme de prévention des pertes de données (DLP) qui protège vos données les plus précieuses sans générer d'alertes intempestives ni impacter négativement la productivité de votre entreprise.

Cyera vous aide à répondre en toute confiance aux questions de conception DLP :

• Combien de bases de données contiennent des fichiers qui comportent la classification de données X ?
• Peut-on protéger ces données par des conseils en matière de politiques publiques et par la sensibilisation, ou faut-il les bloquer ?
• Où devons-nous mettre en œuvre une solution DLP pour protéger ces données (par exemple, DLP sur les terminaux, DLP natif de M365, DLP dans le cloud) ?
• Combien d'utilisateurs seraient concernés par la mise en œuvre de cette règle ?

En cas d'incohérence dans les étiquettes MIP, Cyera peut détecter le problème, générer une alerte et prendre les mesures correctives nécessaires. Cyera surveille votre environnement afin de détecter les incohérences entre les étiquettes MIP et les données contenues dans un fichier. Par exemple, un utilisateur a-t-il appliqué l'étiquette « Interne - Tous les employés » à un fichier contenant des informations financières confidentielles ? La détection d'incohérences dans les étiquettes MIP permet également de proposer des formations ciblées aux utilisateurs qui appliquent régulièrement des étiquettes MIP incorrectes.

Lorsque MIP n'est pas mis en œuvre ou lorsque les entreprises décident de s'en éloigner, elles peuvent opter pour une approche plus automatisée avec Cyera. classification avancée des informations personnelles identifiables L'application automatique d'étiquettes et de classes de sensibilité aux données vous permet de contourner de nombreuses difficultés liées à une implémentation manuelle de MIP. Des classifications plus précises vous font gagner du temps sur les réglages manuels ; quant à la classification d'un plus grand nombre d'enregistrements, elle élargit la couverture de vos programmes de sécurité des données.

Conclusion

Compte tenu des difficultés liées à la mise en œuvre de MIP, il est essentiel de disposer d'une solution capable d'automatiser l'étiquetage des données et de réduire considérablement les efforts manuels. Votre organisation a probablement consacré des années à concevoir un programme DLP efficace et a peiné à utiliser efficacement les étiquettes MIP dans ses environnements. Cyera réalisera un audit et optimisera l'étiquetage des données afin de fournir une évaluation plus précise de la compréhension des données et de leur sensibilité au sein de votre organisation.

La plateforme de sécurité des données de Cyera fournit un contexte approfondi sur vos données, en appliquant des contrôles corrects et continus pour assurer la cyber-résilience et la conformité.

Cyera adopte une approche de sécurité centrée sur les données, évaluant l'exposition de vos données au repos et en cours d'utilisation et appliquant de multiples niveaux de défense. Grâce à une analyse approfondie et globale de votre environnement de données, Cyera est la seule solution permettant aux équipes de sécurité de localiser leurs données, d'identifier les risques et d'intervenir immédiatement pour y remédier et garantir la conformité, sans perturber l'activité.

Pour en savoir plus sur la manière dont Cyera peut vous aider à auditer l'efficacité de votre mise en œuvre MIP, planifier une démonstration aujourd'hui.