DSPM ou DLP : quelle est la différence, et avez-vous besoin des deux ?

Les responsables de la sécurité n’ont pas besoin d’un outil de plus qui ne résout que la moitié du problème. Or, c’est exactement ce qui se produit lorsque les entreprises traitent la gestion de la posture de sécurité des données (DSPM) et Data Loss Prevention (DLP) comme des concepts interchangeables — ou pire encore, lorsqu’elles partent du principe que l’un peut se substituer à l’autre.

Cette confusion est compréhensible. Ces deux technologies prétendent protéger les données sensibles. Les deux fournisseurs les présentent comme indispensables. Et toutes deux figurent sur les listes de sélection des analystes. Mais le DSPM et le DLP répondent à des questions fondamentalement différentes concernant vos données, et comprendre le champ d’action de chacune d’elles fait toute la différence entre un programme de sécurité offrant une couverture complète et un programme comportant des angles morts suffisamment importants pour permettre une violation.

Ce guide explique en détail le fonctionnement de chaque technologie, leurs points communs et, surtout, comment déterminer par quel investissement commencer en fonction de votre profil de risque réel.

Un cadre de réflexion sur le DSPM et le DLP

Avant de comparer les listes de fonctionnalités, il est utile d’ancrer la discussion dans un cadre indépendant des fournisseurs. Le cadre de cybersécurité (CSF) 2.0 du NIST organise la cybersécurité en six fonctions fondamentales : gouverner, identifier, protéger, détecter, réagir et rétablir. Le fait de mettre en correspondance les solutions DSPM et DLP avec ces fonctions permet de comprendre clairement pourquoi elles sont complémentaires plutôt que concurrentes.

Le modèle DSPM correspond principalement aux fonctions « Govern » (Gouvernance) et « Identify » (Identification). La fonction « Govern » définit la stratégie de cybersécurité, le seuil de tolérance au risque et le dispositif de contrôle — c'est-à-dire le contexte organisationnel qui détermine ce que signifie le terme « sensible » dans votre environnement. La fonction « Identify » vise à cerner vos actifs, vos flux de données et votre paysage de risques. Le modèle DSPM apporte des réponses aux questions fondamentales que ces fonctions soulèvent : Où se trouvent nos données sensibles ? Qui peut y accéder ? Cet accès est-il justifié ? Quel est notre niveau d'exposition actuel ?

Le DLP correspond principalement aux fonctions « Protection » et « Détection ». La fonction « Protection » met en œuvre des mesures de sécurité qui empêchent les données sensibles de sortir des canaux autorisés. La fonction « Détection » identifie les incidents de cybersécurité — comme le fait pour un employé de transférer une feuille de calcul contenant des numéros de sécurité sociale vers un compte Gmail personnel — au moment où ils se produisent ou peu après. Le DLP intervient au moment même de l'action, en appliquant des politiques qui empêchent les données d'être transférées là où elles ne devraient pas l'être.

Cette comparaison met en évidence l'asymétrie fondamentale : le DSPM vous indique ce dont vous disposez et où se situent vos vulnérabilités. Le DLP empêche les informations dont vous avez connaissance de sortir de votre entreprise. Aucune de ces deux fonctions n'est facultative, mais l'ordre dans lequel vous devez investir dépend de la lacune qui présente le plus de risques à l'heure actuelle.

Ce que fait réellement la DSPM

La gestion de la posture de sécurité des données (DSPM) est une approche centrée sur les données qui permet de comprendre et de gérer les risques dans les environnements cloud, SaaS, hybrides et sur site. Plutôt que de sécuriser le périmètre ou de surveiller les terminaux, la DSPM met l'accent sur les données elles-mêmes.

Une plateforme DSPM identifie en permanence les données sensibles, quel que soit leur emplacement : compartiments de stockage dans le cloud, applications SaaS, entrepôts de données, partages de fichiers, plateformes de collaboration et, de plus en plus, pipelines d’entraînement de l’IA. Elle classeensuite ces données en fonction de leur sensibilité et de leur pertinence réglementaire (informations personnelles identifiables, informations de santé protégées, normes PCI, propriété intellectuelle), identifie les personnes y ayant accès et vérifie si cet accès est justifié, et met en évidence les risques liés à la posture de sécurité, tels que les référentiels mal configurés, les liens de partage trop permissifs, le stockage non chiffré ou les données se trouvant à des emplacements auxquels elles n’étaient pas destinées.

Les principales fonctionnalités de DSPM comprennent la découverte automatisée des données dans tous les environnements, une classification basée sur l'IA qui tient compte du contexte plutôt que de se limiter à la simple correspondance de mots-clés, une gouvernance des accès qui cartographie les autorisations et identifie les accès excessifs ou orphelins, une évaluation des risques qui hiérarchise les expositions en fonction de leur impact sur l'activité, une mise en correspondance avec les cadres réglementaires tels que HIPAA, le RGPD, la norme PCI DSS et le CCPA, ainsi que la détection des données « fantômes » qui identifie les informations créées ou stockées en dehors des systèmes régis par la gouvernance.

Le DSPM constitue la couche de reconnaissance. Il établit la cartographie de votre environnement de données, dont dépendent tous les autres contrôles de sécurité. Sans lui, vous appliquez des politiques à un environnement que vous ne pouvez pas appréhender dans son intégralité.

Ce que fait réellement la technologie DLP

Data Loss Prevention (DLP) Data Loss Prevention une technologie de contrôle fondée sur des règles, conçue pour empêcher la transmission, le partage ou l'accès à des données sensibles par des personnes non autorisées. La DLP est un pilier de la sécurité d'entreprise depuis plus d'une décennie, et ce à juste titre : elle intervient au moment même où les données quittent effectivement l'entreprise.

Une plateforme DLP surveille les données en transit (e-mails, téléchargements sur le Web, synchronisation dans le cloud, messagerie), les données au repos (serveurs de fichiers, bases de données, terminaux) et les données en cours d'utilisation (opérations sur le presse-papiers, captures d'écran, impressions). Lorsqu’elle détecte un contenu correspondant à des politiques prédéfinies — un numéro de carte bancaire dans un e-mail sortant, un code source téléchargé vers un service cloud non autorisé, un dossier médical copié sur une clé USB —, elle peut bloquer l’action, mettre le fichier en quarantaine, alerter l’équipe de sécurité ou rappeler les règles à l’utilisateur.

Les principales fonctionnalités du DLP comprennent l'inspection en temps réel du contenu sur les canaux de messagerie électronique, Web, terminaux et cloud ; l'application de politiques qui bloquent, mettent en quarantaine ou chiffrent les données en fonction de règles ; la surveillance du comportement des utilisateurs qui identifie les schémas à risque avant qu'ils ne se transforment en incidents ; des workflows de gestion des incidents permettant d'enquêter sur les violations et d'y remédier ; la mise en œuvre de la conformité réglementaire aux exigences en matière de traitement des données ; ainsi que l'intégration avec secure web gateway CASB et secure web gateway afin de garantir une application cohérente des politiques sur l'ensemble du trafic cloud et Web.

Le DLP constitue la couche d'application. Il agit en fonction des informations dont il dispose, en appliquant des règles en temps réel afin d'empêcher toute exfiltration. Sa limite réside dans le fait que son efficacité dépend entièrement de la qualité de la classification et des définitions de politiques sur lesquelles il s'appuie — et c'est précisément là que le DSPM comble cette lacune.

DSPM et DLP : comparaison des fonctionnalités

Le tableau illustre clairement cette relation : le DSPM fournit les informations, tandis que le DLP assure la mise en œuvre. Utiliser le DLP sans le DSPM revient à appliquer des politiques à un environnement de données que vous ne maîtrisez pas pleinement. Utiliser le DSPM sans le DLP revient à identifier des risques que vous ne pouvez pas prévenir activement.

Scénario : un établissement de santé découvre ce que les solutions DLP ne peuvent pas détecter

Le Regional Memorial Health System dispose d'un système DLP bien rodé. Le DLP pour la messagerie électronique détecte les informations médicales protégées (PHI) dans les messages sortants. Le DLP pour les terminaux empêche les transferts de données des patients via des clés USB. Leur équipe chargée de la conformité considère que data loss prevention problème résolu.

Ensuite, un déploiement DSPM analyse pour la première fois leur environnement Microsoft 365.

La plateforme détecte un dossier OneDrive partagé — créé il y a 18 mois par un coordinateur de facturation dans le cadre d’un projet à court terme avec un auditeur d’assurance externe — contenant 2 300 formulaires d’admission de patients comprenant des noms, des dates de naissance, des diagnostics et des numéros de police d’assurance. Les autorisations d’accès au dossier avaient été définies sur « Toute personne disposant du lien » lors de la collaboration initiale. Le projet de l’auditeur externe s’est achevé il y a un an. Le lien n’a jamais été révoqué.

DLP n'a jamais signalé cette faille de sécurité. Les données n'étaient pas transmises via un canal surveillé. Personne n'envoyait ces fichiers par e-mail ni ne les téléchargeait sur une clé USB. Les données se trouvaient simplement dans un dossier cloud trop largement partagé, accessible à toute personne disposant de l'URL, et totalement invisible pour la couche de contrôle.

Le DSPM a classé ces contenus comme PHI, a signalé l'autorisation « Toute personne disposant du lien » comme une exposition critique, a constaté que l'accès externe était inactif depuis plus d'un an et a formulé une recommandation de correction : révoquer le lien public, restreindre l'accès à l'équipe de facturation et appliquer une étiquette de sensibilité HIPAA.

Pour un établissement de santé soumis à la loi HIPAA, ce type d’exposition passive est tout aussi dangereux qu’une exfiltration active — et sans doute plus difficile à détecter. Les données n’ont jamais été « perdues » au sens où l’entend la prévention des fuites de données (DLP). Elles ont simplement été exposées à un emplacement que le système DLP ne surveillait pas. Sans les fonctionnalités de détection et de gouvernance des accès de DSPM, ce dossier aurait pu rester accessible indéfiniment, constituant ainsi une violation de conformité en attente d’un audit de l’OCR ou d’un acteur malveillant disposant de l’URL appropriée.

Scénario : une entreprise du secteur des services financiers a besoin de ce que le DSPM ne peut pas faire

Meridian Capital Partners gère un service de négociation pour compte propre. Sa propriété intellectuelle ne se limite pas aux données clients : ce sont les algorithmes de négociation, les données relatives aux positions et les analyses de marché qui lui confèrent son avantage concurrentiel. La fuite d’un seul document stratégique pourrait entraîner une perte d’avantage concurrentiel se chiffrant en millions avant même que quiconque ne s’en rende compte.

Leur équipe de sécurité déploie DSPM et obtient des résultats précieux : elle découvre des modèles de trading stockés dans un compartiment S3 doté d’autorisations IAM trop larges, trouve des copies de données de portefeuille dans un entrepôt Snowflake que l’équipe d’ingénierie des données avait créé pour un projet d’analyse désormais abandonné, et identifie trois pages Confluence contenant des résumés de positions accessibles à l’ensemble de l’organisation d’ingénierie plutôt qu’à la seule salle des marchés.

Le DSPM met tout cela en évidence. L'équipe corrige les autorisations, nettoie les données obsolètes et renforce les contrôles d'accès. Leur niveau de sécurité s'améliore considérablement.

Mais le DSPM ne peut rien faire face à ce qui va se passer ensuite. Un analyste junior, frustré par un différend salarial, décide de transférer une feuille de calcul contenant les positions de trading actuelles et les ordres en attente vers une adresse e-mail personnelle. Les données sont correctement classifiées, stockées au bon endroit et protégées par des autorisations appropriées — l’analyste dispose d’un accès légitime. La situation est en règle. Le DSPM n’a rien à signaler.

C'est là que le DLP s'avère irremplaçable. La politique DLP relative aux e-mails intercepte le message sortant, identifie son contenu comme étant des données de trading confidentielles en se basant sur des balises de classification et des modèles de contenu, bloque la transmission et signale l'incident à l'équipe des opérations de sécurité. Le responsable de l'analyste en est informé. Les données ne quittent jamais l'entreprise.

Aucune mesure de surveillance des comportements ne peut empêcher un employé motivé disposant d’un accès légitime de tenter d’exfiltrer des données. Cela nécessite une intervention en temps réel au moment même où l’action se produit — ce à quoi le DLP est précisément destiné.

Cadre décisionnel : par où commencer ?

La réponse « il vous faut les deux » est certes vraie, mais elle ne vous aide pas lorsque votre budget ne vous permet de financer qu’une seule initiative ce trimestre. Voici comment établir vos priorités en fonction de votre situation actuelle.

Commencez par le DSPM si votre organisation a procédé à une migration rapide vers le cloud et que vous ne disposez pas d’un inventaire à jour et exhaustif des emplacements où se trouvent vos données sensibles. Si, lors d’un audit, votre équipe chargée de la conformité n’est pas en mesure de répondre avec certitude aux questions « Où se trouvent toutes nos données réglementées et qui y a accès ? », le DSPM comble ce manque de visibilité fondamental dont dépendent tous les autres aspects. C’est également le bon point de départ si vous vous préparez à adopter l’IA : déployer Microsoft Copilot ou des outils similaires sans avoir préalablement compris à quelles données ces outils peuvent accéder crée un problème d’amplification des risques que seul le DSPM est en mesure de mettre en évidence.

Commencez par mettre en place une solution DLP si vous disposez déjà d’une visibilité raisonnable sur votre environnement de données, mais que vous ne disposez pas de contrôles d’application sur les canaux de sortie. Si votre principale préoccupation concerne les menaces internes, le partage accidentel de données par e-mail ou messagerie, ou encore les exigences réglementaires imposant des contrôles actifs sur la transmission des données (telles que les exigences PCI DSS relatives aux données des titulaires de cartes ou les règles de la SEC concernant les informations boursières), le DLP comble immédiatement cette lacune en matière d’application des contrôles. C’est également le bon point de départ si vous avez récemment été victime d’un incident d’exfiltration de données et que vous devez boucher la brèche avant de procéder à un audit complet de votre infrastructure.

Si vous êtes une entreprise soumise à une réglementation (services financiers, santé, administration publique) où les lacunes en matière de posture de sécurité et d’application des règles génèrent un risque de non-conformité, investissez dans ces deux domaines simultanément. Dans ces environnements, un auditeur vous posera à la fois les questions suivantes : « Savez-vous où se trouvent vos données réglementées ? » et « Quels contrôles empêchent leur sortie ? » — et vous devez être en mesure d’apporter des réponses convaincantes à ces deux questions.

L’intégration est essentielle. Lorsque le DSPM et le DLP fonctionnent comme des outils déconnectés, vous obtenez une couche de visibilité incapable d’appliquer les règles et une couche d’application incapable de voir. L’architecture la plus performante alimente le moteur de politiques du DLP avec les données de classification et de risque du DSPM, mises à jour en continu, créant ainsi une boucle fermée où la détection alimente l’application des règles et où les données d’application sont réinjectées dans l’évaluation de la posture de sécurité. Recherchez des plateformes qui offrent cette intégration de manière native ou via des API bien documentées, plutôt que d’acheter deux outils en espérant qu’ils communiqueront entre eux.