Comment le DSPM détecte et réduit l'exposition des données aux menaces internes dans les environnements cloud

La fuite de données due à des menaces internes dans les environnements cloud marque un changement fondamental par rapport aux préoccupations traditionnelles en matière de sécurité axées sur le périmètre. Contrairement aux violations causées par des logiciels malveillants, la fuite de données par des acteurs internes commence souvent par des schémas d’accès légitimes qui dégénèrent progressivement en perte de données, par le biais du partage, du téléchargement et de la dérive des autorisations au sein des applications SaaS, des solutions de stockage dans le cloud et des plateformes de collaboration.

À quoi ressemble la fuite de données due à une menace interne dans le cloud ?

Les menaces internes modernes regroupent trois catégories d'acteurs à risque : les employés malveillants cherchant à voler des données, les utilisateurs négligents qui divulguent accidentellement des informations, et les comptes piratés utilisés par des attaquants externes.

Selon le guide de la CISA sur la prévention des menaces internes, les dommages causés par ces menaces résultent souvent d'une utilisation abusive d'un accès légitime plutôt que d'une intrusion non autorisée dans le système.

Les employés synchronisent régulièrement des fichiers sensibles sur leurs appareils personnels, partagent des documents avec des collaborateurs externes via des liens générés par un navigateur, téléchargent des rapports pour les analyser hors ligne et répliquent des ensembles de données sur différentes plateformes d'analyse. Chacune de ces actions relève d'une productivité professionnelle normale, mais, prises dans leur ensemble, elles créent une surface d'attaque en constante expansion que les contrôles de sécurité traditionnels peinent à surveiller.

L'analyse réalisée par la Cloud Security Alliance sur la manière dont les données sensibles stockées dans le cloud sont exposées identifie plusieurs vecteurs d'exposition clés : la réplication des données entre différents services cloud, des configurations de partage inappropriées, les transferts entre des applications non autorisées et des erreurs de configuration de la gestion des identités et des accès (IAM) qui accordent des droits d'accès excessifs.

Contrairement aux environnements sur site, où les données se trouvaient généralement dans des segments de réseau contrôlés, les données dans le cloud sont désormais réparties entre des applications SaaS, des plateformes de collaboration et des mécanismes de partage externes qui contournent les frontières de sécurité traditionnelles.

Prenons l’exemple d’un collaborateur du service financier qui télécharge des données relatives aux comptes clients depuis une plateforme d’analyse dans le cloud afin de préparer un rapport trimestriel. Ce collaborateur transfère le fichier vers son espace de stockage personnel dans le cloud pour y travailler pendant le week-end, partage les données avec un partenaire de conseil externe via un lien accessible depuis un navigateur, puis laisse le référentiel d’origine accessible à l’ensemble du groupe de projet une fois la mission terminée. Aucun logiciel malveillant n’est en cause. Aucune règle de pare-feu n’est déclenchée. Pourtant, des données sensibles ont échappé aux contrôles prévus.

Selon le rapport « Data Breach Investigations Report (DBIR) 2026 » de Verizon, la majorité des violations de données impliquaient un facteur humain. S'appuyant sur l'analyse de plus de 22 000 incidents de sécurité et de 12 195 violations confirmées, ce rapport a identifié le comportement humain, la faiblesse des systèmes de gestion des identités et des accès, ainsi que l'exposition liée à l'écosystème des tiers comme principaux facteurs à l'origine de ces violations. Cela confirme le fait que les accès légitimes et autorisés constituent souvent la principale voie de fuite des données sensibles.

Pourquoi les contrôles traditionnels ne permettent pas de détecter les risques liés aux acteurs internes à l'ère du cloud

Les outils d'analyse du comportement des utilisateurs et de surveillance des terminaux ont été conçus pour des environnements centrés sur le réseau, dans lesquels les transferts de données s'effectuaient par des canaux prévisibles. Ces systèmes excellent dans la détection des anomalies comportementales, mais ne disposent pas du contexte nécessaire pourévaluerla gravité des risques dans les environnements cloud.

Les systèmes UEBA peuvent détecter lorsqu’un utilisateur télécharge des volumes de fichiers inhabituellement importants ou accède à des applications en dehors des schémas habituels, mais ils ne peuvent pas déterminer si ces fichiers contiennent du code source, des documents financiers, des informations personnelles identifiables (PII) relatives aux clients ou des données opérationnelles courantes. Sans comprendre le niveau de sensibilité des données, les équipes de sécurité sont confrontées à un choix impossible : enquêter sur chaque anomalie et se noyer sous les faux positifs, ou relever les seuils d’alerte et risquer de passer à côté de véritables failles de sécurité.

Les applications SaaS accessibles via un navigateur, la synchronisation directe dans le cloud et le partage par le biais de liens Web contournent les contrôles traditionnels au niveau des terminaux. Un collaborateur peut partager des données sensibles avec des collaborateurs externes exclusivement via des sessions de navigateur sans déclencher les systèmes de détection basés sur les terminaux. Ces nouveaux modes de collaboration dans le cloud s’effectuent par des canaux que les agents installés sur les terminaux ne peuvent pas surveiller intégralement.

Les solutions DLP traditionnelles excellent dans l'analyse des pièces jointes aux e-mails, des transferts via clé USB et du trafic réseau, mais peinent à évaluer le niveau d'exposition des référentiels de stockage dans le cloud, des autorisations sur les plateformes de collaboration ou des configurations de partage externe. Ces systèmes détectent souvent les mouvements de données une fois que les conditions d'exposition sont déjà réunies, plutôt que d'identifier les référentiels surexposés avant même que des tentatives d'exfiltration ne se produisent.

Les systèmes IAM permettent de savoir qui a accédé à quelles applications cloud et à quel moment, mais ces données télémétriques ne deviennent utiles pour la détection des menaces internes que lorsqu'elles sont associées à la classification des données et au contexte d'exposition.

Les signaux de données qui permettent de détecter les risques liés aux initiés avant que l'exfiltration ne se produise

Pour détecter efficacement les menaces internes dans les environnements cloud, il est nécessaire d'identifier les conditions d'exposition avant que les données ne sortent du périmètre de contrôle de l'organisation. Le DSPM met en évidence plusieurs catégories de signaux de risque antérieurs à la perte que les outils de surveillance traditionnels ne détectent généralement pas.

Le DSPM analyse en permanence ces référentiels afin d'identifier les données sensibles qui auraient pu être mises en ligne, synchronisées ou répliquées à l'insu de l'équipe de sécurité. Les plateformes cloud et les processus de collaboration peuvent générer des autorisations de partage étendues ou héritées qui élargissent l'accès au-delà de ce que les équipes avaient prévu.

Le DSPM identifie les référentiels contenant des données sensibles accessibles à de larges groupes d'utilisateurs, à des collaborateurs externes ou via des liens publics qui persistent au-delà de la durée de vie des projets. Lorsqu'il est intégré à des solutions DLP, CASB, SSE ou d'analyse comportementale, le DSPM permet d'identifier des scénarios à haut risque, tels que le téléchargement de fichiers sensibles, leur transfert vers une messagerie personnelle ou leur synchronisation avec des appareils non gérés, en ajoutant des informations sur la sensibilité des données et le contexte d'exposition.

Le DSPM identifie ces référentiels fantômes et les dérives de configuration avant qu'ils ne deviennent des vecteurs actifs de perte de données.

Le référentiel MITRE ATT&CK décrit la manière dont les attaquants et les collaborateurs compromis exfiltrent des données via des services de stockage dans le cloud et des applications web légitimes. La compréhension de ces schémas d'attaque aide les équipes de sécurité à identifier les cas où des comportements d'utilisation normaux du cloud peuvent en réalité indiquer la préparation d'une exfiltration.

Pourquoi le DSPM est essentiel à la détection des menaces internes dans les environnements cloud

Le DSPM permet de détecter les menaces internes en fournissant le contexte de données dont les autres contrôles de sécurité ont besoin pour fonctionner efficacement dans les environnements cloud. Plutôt que de se substituer à l'analyse comportementale ou à la surveillance des accès, le DSPM constitue la couche fondamentale.

Le « Gartner Market Guide for Data Security Posture Management, 2025 » souligne que la valeur fondamentale du DSPM réside dans l'identification et la classification des données structurées et non structurées, ce qui permet d'assurer la visibilité sur les actifs de données et contribue à atténuer les risques liés à la confidentialité, à la sécurité et à l'IA.

Le DSPM permet de signaler les combinaisons à risque, telles que des données hautement sensibles associées à des autorisations d'accès étendues et à un partage externe, en particulier lorsqu'il est intégré aux données de télémétrie relatives aux appareils et aux accès provenant de solutions SSE, CASB ou de contrôles d'identité.

Les systèmes IAM traditionnels assurent le suivi des droits d'accès, mais le DSPM établit une corrélation entre ces autorisations et le niveau réel de sensibilité des données afin d'identifier les risques d'escalade des privilèges, les comptes inactifs ayant accès à des données sensibles, ainsi que les collaborateurs externes qui conservent un accès au-delà de la durée prévue du projet. Le DSPM surveille en permanence ces changements afin de détecter les cas où des activités opérationnelles courantes créent involontairement de nouveaux vecteurs d'exposition.

Le DSPM peut transmettre les informations relatives aux référentiels à haut risque à data loss prevention , fournir un contexte de données aux plateformes UEBA et transmettre des indicateurs d’exposition aux systèmes SIEM. C’est cette corrélation qui transforme les données brutes d’activité en renseignements exploitables sur les menaces internes.

Comment hiérarchiser les enquêtes sur les menaces internes en fonction des risques pour l'entreprise

Toutes les expositions dans le cloud ne méritent pas la même réaction. Les équipes de sécurité peuvent réduire le bruit et améliorer la qualité de leur réponse en classant les incidents en fonction de leur impact sur l'activité, plutôt que de traiter chaque événement comme une violation potentielle.

Commencez par examiner le degré de sensibilité des données concernées. Les dossiers clients, les données relatives à la paie, le code source, la propriété intellectuelle et les contenus réglementés doivent être traités en priorité. La classification des données est essentielle, car un schéma d’accès qui semble anodin prend une tout autre gravité lorsqu’il concerne des informations hautement sensibles.

Évaluez ensuite l'accessibilité. Les référentiels ouverts à de larges groupes internes, à des partenaires externes ou accessibles via des liens publics présentent un risque bien plus élevé que les dossiers à périmètre restreint dotés de droits d'accès limités. La gravité de l'exposition augmente lorsque l'accès persiste après la fin d'un projet, lorsque des fichiers sont copiés vers des emplacements non gérés ou lorsque les autorisations s'écartent de l'objectif métier initial.

Il convient ensuite de prendre en compte le contexte de l'utilisateur et de l'appareil. Les accès provenant d'appareils non gérés, d'emplacements inhabituels ou de sessions de navigation non standard ne constituent pas nécessairement une intention malveillante, mais ils peuvent accroître le risque que des données sensibles soient copiées, partagées ou stockées en dehors des contrôles approuvés.

Le moment où ces actions ont lieu et les comportements habituels sont également importants. Un téléchargement volumineux à partir d'un espace de travail dédié à la finance pendant le traitement de fin de trimestre peut être normal. En revanche, la même action effectuée par un salarié quittant l'entreprise, accédant à un référentiel pour la première fois ou utilisant un appareil qu'il ne connaît pas mérite d'être examinée de plus près.

Il en résulte un modèle de triage qui met l'accent sur la combinaison de la sensibilité des données, de l'état d'exposition et du comportement, plutôt que sur un seul signal pris isolément.

Une architecture moderne pour la détection de l'exposition des données liées aux menaces internes dans le cloud

Pour détecter efficacement les menaces internes dans les environnements cloud, il est nécessaire de disposer d'une visibilité unifiée sur l'ensemble des référentiels de données, des systèmes de contrôle d'accès et des canaux d'activité des utilisateurs, plutôt que de se fier à des outils de sécurité isolés. Le plan de données en constitue le fondement.

Le DSPM détecte et classe les données sensibles dans les environnements cloud et SaaS. Il identifie l'emplacement des données, la manière dont elles sont étiquetées et les référentiels qui sont surexposés. Cette visibilité constitue la couche contextuelle sur laquelle repose tout le reste.

Le plan d'accès fournit un contexte essentiel. Les systèmes de gestion des identités et des accès (IAM), les autorisations de collaboration et les paramètres de partage externe permettent de déterminer qui peut accéder aux données sensibles et dans quelles conditions. Associées à la classification des données, ces informations permettent d'identifier les droits d'accès qui présentent un risque réel et ceux qui ne sont que théoriques.

Les contrôles liés au SSE peuvent contribuer à garantir l'application de politiques d'accès et de partage plus cohérentes sur l'ensemble des canaux Web et cloud lorsqu'ils sont associés aux informations contextuelles sur les données fournies par le DSPM. Cloud Access Security Broker offrent une visibilité détaillée sur l’utilisation des applications cloud tout en permettant une application granulaire des politiques en fonction de la sensibilité des données et du contexte d’accès. Secure Web Gateway peuvent empêcher le téléchargement de données sensibles vers des services cloud non autorisés, tandis que les fonctionnalités DLP intégrées permettent d’inspecter le contenu des e-mails, des plateformes de collaboration et des transferts vers le stockage cloud.

Une surveillance continue permet de s'assurer que les conditions d'exposition sont détectées à mesure que les configurations du cloud évoluent, que de nouveaux liens de collaboration sont créés ou que les rôles des utilisateurs changent au fil du temps.

Erreurs courantes commises par les entreprises lorsqu'elles réagissent à une fuite de données interne

L'une des erreurs les plus courantes consiste à considérer chaque événement d'accès inhabituel comme une menace avérée. Cette approche entraîne une « fatigue des alertes » et masque les quelques incidents qui revêtent une réelle importance. La meilleure stratégie consiste à associer l'analyse comportementale à la sensibilité des données et à leur état d'exposition.

Une autre erreur consiste à se fier uniquement aux journaux d'identification. Il est certes utile de savoir qui a accédé à un système, mais cela ne permet pas de déterminer si les données concernées étaient sensibles, partagées en externe ou stockées dans un référentiel trop exposé.

Les équipes sous-estiment également le nombre d'accès via un navigateur et d'appareils non gérés. La collaboration dans le cloud s'effectue souvent hors de portée des contrôles traditionnels des terminaux ; par conséquent, les programmes de sécurité qui se concentrent uniquement sur les ordinateurs portables gérés ne prennent pas en compte une grande partie des vecteurs d'exposition.

Un problème connexe est la prolifération des outils. Les organisations déploient souvent des outils distincts pour la prévention des fuites de données (DLP), l’analyse comportementale des utilisateurs (UEBA), la gestion des identités et des accès (IAM), les passerelles de sécurité d’accès au contenu (CASB) et la sécurité des systèmes d’entreprise (SSE), sans les relier entre eux autour d’un modèle de données commun. Il en résulte une visibilité fragmentée et une duplication des tâches.

L'étude menée par le Ponemon Institute sur les risques liés aux acteurs internes souligne que les employés imprudents et négligents représentent des risques de sécurité importants et coûteux, au même titre que les acteurs agissant de manière délibérément malveillante. Les programmes complets de lutte contre les menaces internes doivent prendre en compte toutes les catégories de risques liés aux acteurs internes, plutôt que de se concentrer uniquement sur le vol délibéré de données.

La mise en œuvre de politiques trop restrictives qui entravent une collaboration légitime peut favoriser le recours à l'informatique parallèle et créer de nouveaux vecteurs d'exposition.

Les critères à prendre en compte pour choisir une solution de détection des fuites de données dues à des menaces internes

Une approche efficace commence par l'analyse. La plateforme doit permettre d'identifier les données sensibles dans les référentiels cloud, les applications SaaS et les environnements de collaboration, sans nécessiter de marquage manuel à chaque étape.

Il devrait également prendre en charge la classification, la cartographie des expositions et l'application des politiques au sein d'un même flux de travail. Cela permet aux équipes de savoir non seulement où se trouvent les données sensibles, mais aussi qui peut y accéder et si cet accès correspond aux besoins de l'entreprise.

L'intégration est essentielle. Les systèmes les plus performants s'interfacent avec les contrôles IAM, SIEM, DLP, CASB et SSE afin que le niveau de sensibilité des données puisse éclairer les décisions de sécurité à plus grande échelle. Les workflows d'investigation doivent regrouper les informations relatives à l'état d'exposition, au comportement des utilisateurs et au contexte d'accès, au lieu d'obliger les analystes à recouper les données de plusieurs consoles.

Le soutien en matière de conformité est également important. Les équipes chargées de la sécurité ont besoin de preuves indiquant où se trouvent les données soumises à réglementation, qui y a accès, comment elles ont été partagées et quelles mesures correctives ont été prises après la découverte d'une fuite.

Les fonctionnalités d'investigation assistées par l'IA peuvent aider à établir des corrélations entre la sensibilité des données, les habitudes d'accès et le comportement des utilisateurs afin de hiérarchiser les incidents présentant un risque plus élevé.

Pour les organisations à la recherche d'une protection complète contre les menaces internes, la reconnaissance par Gartner des leaders de la sécurité dans le domaine de la SSE confirme l'importance des plateformes intégrées qui associent visibilité des données, contrôle d'accès et surveillance comportementale au sein d'architectures unifiées.