Data Loss Prevention avec Microsoft Purview

La DLP répond à l'objectif de protection de la confidentialité : elle détecte et empêche que des informations dignes de protection quittent l'entreprise de manière incontrôlée par e-mail, services cloud ou supports amovibles. Avant tout outil viennent les prérequis : un modèle de classification — quatre classes de protection, de « public » à « strictement confidentiel », ont fait leurs preuves —, l'identification des « joyaux de la couronne » ainsi qu'un concept de droits et de rôles opérationnel, car la DLP présuppose un IAM/PAM réellement appliqué. La responsabilité de la classification des données incombe aux directions métier, et non à l'informatique.

Les politiques DLP de Purview s'appliquent là où les données résident et circulent : Exchange Online, SharePoint, OneDrive, conversations et canaux Teams, terminaux (Windows 10/11 et macOS), Microsoft Defender for Cloud Apps, référentiels on-premises via l'Information Protection Scanner, ainsi que les espaces de travail Fabric/Power BI et Microsoft 365 Copilot (préversion). Endpoint DLP surveille et contrôle des actions telles que la copie vers des supports USB ou des partages réseau, l'impression, le Clipboard, les téléversements via navigateur et les transferts RDP — selon la règle, en mode audit, avertissement ou blocage. Côté licences, la DLP pour Exchange, SharePoint et OneDrive est déjà incluse à partir de Microsoft 365 E3 ; la DLP pour Teams et Endpoint DLP requièrent des plans de classe E5.

Une logique d'escalade par classe de protection a fait ses preuves — marquer, avertir, chiffrer/bloquer — plutôt qu'un blocage strict immédiat. Purview soutient cette approche avec le Simulation Mode (les politiques s'exécutent jusqu'à 15 jours sur des données réelles sans application effective), les Policy Tips et le blocage avec dérogation, assorti d'une justification documentée. Pour la détection : Sensitive Information Types (SITs) pour les correspondances basées sur des motifs, Exact Data Match (EDM) pour la comparaison avec vos propres jeux de données (seuls des hachages salés quittent l'organisation, avec nettement moins de faux positifs) et Trainable Classifiers pour la reconnaissance de contenu basée sur le ML.

Les événements DLP n'ont pas leur place dans un silo, mais dans le paysage ITSM et de gestion des incidents existant : les incidents détectés alimentent le processus régulier de traitement des incidents de sécurité de l'information, et le SOC est responsable de la gestion des incidents DLP. Les modifications de règles passent par un processus de changement défini, avec évaluation des risques, principe du double contrôle et revue post-implémentation — plus le périmètre d'impact d'une exception est large, plus l'instance d'approbation est élevée, jusqu'au Change Advisory Board incluant le CISO. Une gestion documentée des exceptions via le système de tickets rend les listes blanches traçables et auditables.

Avec Microsoft Purview DSPM for AI, les applications IA peuvent être sécurisées de manière centralisée : visibilité sur l'usage de l'IA, politiques en un clic contre la fuite de données dans les prompts et Data Risk Assessments hebdomadaires. Microsoft 365 Copilot est adressable comme emplacement DLP dédié (préversion) — un Sensitivity Label permet d'empêcher que Copilot traite des contenus étiquetés ; pour les applications IA non gérées comme ChatGPT, la DLP (préversion) intervient en ligne via Edge for Business ou au niveau du réseau. En complément, VamiSec propose avec VamiGuard sa propre solution de DLP pour l'usage de la GenAI — la DLP classique et la DLP GenAI se complètent.

Dans la pratique, une phase de conception d'environ trois mois (classification, stratégie, ossature des politiques), suivie de la phase de mise en œuvre, a fait ses preuves. Le modèle documentaire comporte deux niveaux : une politique DLP adoptée par le comité de direction, plus une stratégie de mise en œuvre « vivante » que le responsable de la sécurité de l'information adapte en continu à la technologie et à l'infrastructure ; un OnePager assure la communication auprès des collaborateurs. Lors du déploiement, l'organisationnel prime sur la technique : la politique entre d'abord en vigueur, les blocages techniques suivent avec un décalage — accompagnés de formation et de sensibilisation.