Varonis DataPrivilege

Varonis DataPrivilege est un logiciel qui permet de revoir et de réorganiser les droits d’accès sur vos données stoquées sur File Server ou sur SAN.

En particulier elle permet de déléguer aux Métiers la gestion des droits d’accès sur leurs propres données.

Sous des apparences anodines, le fait de donner aux Métiers la possibilité de gérer la sécurité d’accès à leurs données, a des implications très positives qui n’apparaissent pas de premier abord :

Pourquoi déléguer aux Métier la gestion de la sécurité de leurs données ?

Pour répondre à cette question prenons du recul, et souvenons-nous de comment la sécurité des données papier était assurée il y a vingt ans.

Flash Back : la sécurité des données papier

Nous nous souvenons tous, les documents importants sur support papier étaient protégés par de nombreux moyens relativement simples, mais nombreux :

• Tiroirs fermés à clé
• Armoires fermés à clé
• Bureaux fermés à clé
• Gardes de sécurité
• Caméras de surveillance
• Bâtiments sécurisés
• Protection incendie
• Chambres fortes
• Difficulté de connaître l’emplacement des documents confidentiels
• Impossibilité de faire une recherche “full text”
• Impossibilité d’accéder “à distance” aux documents papier
• Difficulté d’emporter physiquement l’ensemble des documents d’une entreprise
• Difficulté de copier physiquement l’ensemble des documents papier d’une entreprise, quel que soit le support utilisé (photocopies, films, …)
• Surveillance implicite de qui accède au bâtiment, aux bureaux, aux documents, par l’ensemble du personnel
• …

Bien que chaque moyen puisse théoriquement être contourné, leur diversité et leur nombre s’additionne pour donner au final un degré de sécurité suffisant.

A l’époque on ne parlait jamais d’un vol de données personnelles de 50 millions d’utilisateurs par exemple.

Mais si on y réfléchit, qu’est-ce qui a changé ? Les données digitales ne sont-elles pas bien plus sécurisées que les données papier ? N’a-t-on pas actuellement beaucoup plus de systèmes de protection, d’encryption, d’authentification ?

Back to 2018 : la sécurité des données digitales et le Coca-Cola

Ou – pour être tout à fait correct – la sécurité des données numériques, qui en une vingtaine d’années sont devenues le standard grâce à leurs nombreux avantages : Rapidité de traitement, de transfert, de copie, de recherche, impact positif sur l’environnement et bien d’autres avantages.

Mais qu’en est-il de leur sécurité par rapport au support papier ?

La plupart des avantages des données numériques sont en rapport avec les performances, mais pas avec la sécurité :

• Pas de stoquage dans des tiroirs, armoires, bureaux et bâtiments fermés à clé
• Pratiquement accessible depuis le monde entier
• Pas de gardes de sécurité, caméras de surveillance
• Facilité de recherche “full text”, par exemple pour identifier certains documents confidentiels
• Possibilité d’accéder à distance aux documents
• Possibilité de copier l’ensemble des documents d’une entreprise
• Pas de surveillance implicite par l’ensemble du personnel
• Possibilité d’accéder ou copier en laissant peu ou pas de traces
• …

Chacun de ces points peut être discuté, mais il semble bien que le risque concernant les données numériques est plus grand que celui qui concernait les données papier.

S’il fallait un dernier argument pour se laisser convaincre, on notera que la célèbre formule secrète du Coca-Cola a toujours été conservée sur papier et que depuis 2011 le coffre où elle est enfermée est visible au public…

Les droits d’accès, pierre angulaire

Si les données numériques sont de par leur nature plus difficiles à sécuriser que les données papier, est-ce mission impossible ?

N’a-t-on pas de nombreux systèmes de protection qui peuvent s’y appliquer ? Le fait d’appliquer des droits d’accès n’est-il pas équivalent à fermer un bureau à clé ?

Certes il existe des solutions pour réduire le risque sur l’accès aux données numériques, et il est inutile de les citer toutes, mais on peut noter qu’elles ont presque toutes un point commun : les droits d’accès.

Les droits d’accès. Qui peut faire quoi, qui peut aller où, qui peut lire quels documents, qui peut effacer quel répertoire, qui peut faire des recherches etc.

C’est étonnant si on y pense, mais ce ne sont plus que ces définitions logiques de droits d’accès, ces quelques bytes d’information, qui autorisent quelqu’un à accéder ou non via un VPN au réseau d’une entreprise et à copier ou non l’ensemble des documents confidentiels.

Ce qui était physiquement impossible il y a quelques temps (copier l’ensemble des documents confidentiels d’une entreprise) ne dépend maintenant plus que de quelques bytes d’information, c’est à dire les droits d’accès.

Les droits d’accès sont devenus la pierre angulaire de la sécurité, et souvent aussi la pierre d’achoppement.

Les droits d’accès, pierre d’achoppement

Les droits d’accès sont partout, pour ouvrir votre voiture avec une carte, pour entrer au bureau, se connecter au réseau, faire un paiement, téléphoner, un grand nombre d’activités de notre quotidien dépend de droits d’accès.

Faisons également la distinction avec les méthodes d’autentification (empreinte digitale, possession d’un badge, d’une carte SIM, d’un mot de passe etc) qui sont assez variées, une fois cette étape passée les systèmes supposent que vous être telle personne.

Interviennent ensuite les droits d’accès pour déterminer les opérations que vous pouvez faire.

[to be continued]