L'ère de la classification manuelle des données est officiellement révolue

Le nouveau projet de guide pratique du NIST sur la classification des données, le SP 1800-39, constitue un signal important pour le secteur. Publié par le National Cybersecurity Center of Excellence (NCCoE) du National Institute of Standards and Technology (NIST), il démontre concrètement comment les organisations peuvent utiliser des outils automatisés pour découvrir, identifier et étiqueter les données non structurées. Pour les équipes de sécurité et de données qui formalisent encore leurs programmes de classification, il s'agit d'une avancée précieuse.

Ce guide renforce trois réalités auxquelles les équipes de sécurité sont confrontées au quotidien :

• Vous ne pouvez pas protéger ce que vous ne voyez pas.
• Les processus manuels de découverte et de classification ne sont pas adaptés aux environnements d'entreprise modernes.
• La classification automatisée est de plus en plus essentielle pour le modèle Zero Trust et la préparation à l'IA.

Ce que le NIST a réellement testé

Le projet du NCCoE a débuté avec un jeu de données synthétiques composé de 25 884 fichiers non structurés issus de SyntheticMass, une source de données fictives mais réalistes sur les patients et la population. L'utilisation de données synthétiques était pertinente pour ce type de démonstration, car elle a permis de tester les flux de travail de classification à grande échelle sans exposer de véritables informations sensibles. Le NIST s'est également concentré sur les données non structurées pour une bonne raison : la majeure partie des données d'entreprise ne sont pas structurées, et c'est généralement la catégorie la plus difficile à inventorier, interpréter et gouverner de manière cohérente.

Le jeu de données comprenait à la fois des fichiers réactifs et non réactifs afin que les outils puissent distinguer le contenu sensible du contenu non sensible. Sur l'ensemble du corpus, le NIST a défini 12 types de données cibles, notamment les noms, adresses, dates de naissance, identifiants de patients, numéros de passeport, ainsi que des numéros de clients et de facturation synthétiques. En d'autres termes, le défi ne consistait pas seulement à trouver des fichiers, mais à identifier les éléments sensibles spécifiques qu'ils contenaient et à appliquer des étiquettes basées sur un schéma défini.

Chaque fournisseur participant a configuré son outil en utilisant son propre schéma de classification et son propre flux de travail. Dans les démonstrations basées sur les fichiers, les outils ont été déployés dans des environnements de laboratoire isolés, orientés vers des emplacements de stockage connus, puis utilisés pour analyser les fichiers synthétiques, identifier le contenu sensible à partir des métadonnées et du contenu des fichiers, attribuer des étiquettes selon le schéma configuré et générer des rapports pour examen. Les schémas spécifiques différaient selon les produits, mais le modèle global restait cohérent : découvrir, identifier, étiqueter, rapporter.

Une première étape prometteuse

En soi, le SP 1800-39 est une preuve utile que la découverte et la classification automatisées des données non structurées sont réalisables. Il devrait être particulièrement utile aux organisations qui élaborent encore leur premier programme formel de classification. Cependant, pour les grandes entreprises ayant des exigences de gouvernance matures et des patrimoines de données tentaculaires, la prochaine génération de démonstrations devra aller plus loin et tester ces approches dans des conditions se rapprochant davantage de la réalité.

Par exemple, les approches présentées dans le projet se concentrent sur des schémas, des politiques configurées et des méthodes d'identification déterministes. Ces techniques sont utiles lorsque les organisations classent des identifiants bien définis dans des environnements déjà connus et accessibles. Mais à l'échelle de l'entreprise, les données sont rarement confinées dans des référentiels soigneusement inventoriés avec des formats stables et des identifiants clairement définis.

Les grandes organisations gèrent souvent des pétaoctets de données non structurées réparties sur des centaines, voire des milliers de référentiels. Une grande partie de ces données est invisible, partiellement inventoriée ou en mouvement constant entre des systèmes sur site, des plateformes SaaS et des services cloud. Dans un tel environnement, les approches basées sur des schémas rigides deviennent difficiles à maintenir. À mesure que le volume, la vélocité et la variété des données augmentent, les systèmes déterministes nécessitent un ajustement continu pour prendre en compte les nouveaux identifiants, l'évolution du contexte commercial, le contenu multilingue et les attentes réglementaires changeantes. 

Tout aussi important, bien que le SP 1800-39 montre que les outils peuvent analyser un emplacement défini et appliquer des étiquettes selon des schémas configurés, il ne publie pas de mesures sur la précision, le rappel ou les performances par type de données. Pour les acheteurs et les praticiens en entreprise, ce ne sont pas des détails académiques. C'est la différence entre un outil qui semble performant lors d'une démonstration contrôlée et un outil fiable en production.

Le véritable test consiste à savoir si un outil peut atteindre vitesse, échelle et précision dans un environnement d'entreprise complexe. C'est pourquoi les futures directives du NIST devraient évaluer explicitement les approches de classification natives à l'IA et basées sur les LLM, parallèlement aux méthodes déterministes. Les règles et les modèles restent importants pour les identifiants bien définis. Mais les grandes entreprises ont également besoin de moteurs de classification capables de comprendre le contexte sémantique, de lever l'ambiguïté sur le contenu commercial sensible et de reconnaître des différences significatives qui ne peuvent être capturées de manière fiable par des modèles seuls.

D'une démonstration contrôlée à la réalité de l'entreprise

Chez Cyera, nous le constatons chaque jour. Au-delà des classificateurs prêts à l'emploi que partagent de nombreuses organisations, une part importante des données sensibles des entreprises relève souvent de classifications apprises, propres à une activité, un secteur ou un environnement opérationnel spécifique. Ce sont précisément ces cas où la compréhension contextuelle est primordiale, car la sensibilité du contenu dépend moins d'une correspondance de modèle que de la signification réelle des données.

C'est aussi pour cette raison que la mesure est essentielle. Étant donné que le jeu de données du NIST inclut à la fois des fichiers réactifs et non réactifs, les prochaines itérations du projet devraient permettre de publier des matrices de confusion ou des indicateurs comparables illustrant la précision et le rappel selon les types de données et les approches. Cela offrirait aux praticiens une base bien plus claire pour évaluer quelles méthodes sont les plus performantes, où elles atteignent leurs limites et quel niveau de charge opérationnelle elles impliquent.

Dans sa forme actuelle, la norme NIST SP 1800-39 démontre que la découverte et la classification automatisées des données peuvent être opérationnalisées grâce à des flux de travail reproductibles. Il s'agit d'une contribution significative, en particulier pour les organisations qui dépendent encore largement de l'étiquetage manuel et de processus ad hoc. Cependant, la prochaine génération de recommandations devra répondre à la question plus complexe à laquelle les équipes en entreprise sont réellement confrontées : non pas si un outil peut classifier des données dans un environnement de laboratoire contrôlé, mais s'il peut découvrir et classifier les bonnes données au sein d'environnements massifs, en évolution rapide et partiellement inconnus, avec une précision mesurable et une charge de travail gérable. C'est la norme dont les programmes modernes de sécurité des données ont besoin, et c'est celle que les futures évaluations du secteur devront atteindre.