Pourquoi votre DLP est désactivé au bout de trois mois
La prévention des fuites de données échoue pour une raison prévisible, et ce n'est presque jamais le moteur de détection. C'est ce qui se passe la première fois qu'elle bloque quelque chose de légitime.
DLP policy in monitor mode
Real product screenshot of a policy in monitor-only mode with match counts. Redact all customer names, paths and addresses. Light theme.
2400×1350 · PNG · @2x
Le schéma est assez régulier pour qu'on puisse programmer un rappel d'agenda. Mois un : la politique passe en mode bloquant parce que le projet avait besoin d'une victoire visible. Mois deux : l'équipe finance ne peut plus envoyer le fichier qu'elle envoie tous les mois. Mois trois : quelqu'un avec de l'autorité dit « désactivez-le pour l'instant », et il n'est jamais réactivé.
Le sur-blocage est le mode d'échec, pas le sous-blocage
Un DLP qui rate une voie d'exfiltration est une faille. Un DLP qui empêche un directeur commercial d'envoyer un contrat légitime est une panne, et les pannes remontent. Le second échec fait retirer le produit ; le premier passe généralement inaperçu pendant des années. Tout plan de déploiement qui ne prend pas cette asymétrie au sérieux perdra.
Personne n'escalade une détection manquée. Tout le monde escalade une facture bloquée.
Observez d'abord, et sérieusement
Passez en mode observation seule sur un groupe représentatif — pas le service informatique, qui n'envoie rien de normal — assez longtemps pour voir un cycle métier complet. La fin de mois diffère du milieu de mois. La fin de trimestre diffère encore. Si vous n'avez jamais vu ce que fait votre organisation les trois derniers jours d'un trimestre, vous n'êtes pas prêt à bloquer quoi que ce soit.
Puis calibrez jusqu'à ce que les faux positifs soient rares, pas jusqu'à ce qu'ils soient expliqués. « C'est un comportement attendu, l'analyste sait qu'il faut l'ignorer » : voilà comment une file d'alertes devient du papier peint.
Trois niveaux, pas un interrupteur
- Bloquer ce qui est vraiment sans ambiguïté : un tableur de numéros de carte vers une messagerie personnelle.
- Avertir et autoriser l'ambigu, avec une justification d'une ligne saisie par l'utilisateur. C'est là que vit l'essentiel de votre trafic réel, et ces justifications deviennent vos données de calibrage.
- Journaliser silencieusement tout le reste, pour garder la visibilité sans friction.
Construisez le circuit d'exception avant d'en avoir besoin
Si l'équipe finance a escaladé au mois deux, ce n'est pas parce qu'elle a été bloquée. C'est parce que le blocage ne lui laissait aucune issue sinon un appel à quelqu'un de haut placé. Une exception limitée dans le temps, approuvée et tracée — demandée sur le moment, accordée en quelques minutes, expirant automatiquement — transforme une panne en petite friction, et vous donne l'inventaire exact des contrôles qui gênent le travail réel.
Chaque déploiement que nous menons livre le circuit d'exception avant qu'une seule politique ne passe en blocage. Ce n'est pas un supplément agréable. C'est ce qui détermine si la plateforme tournera encore l'an prochain.