Savoir ce qu'il faut faire est insuffisant. La priorité est de savoir dans quel ordre le faire, avec quelles ressources, et comment mesurer les progrès.
1. Inventaire et classification en priorité absolue
Impossible de protéger ce qu'on ne connaît pas. L'inventaire des données (où sont-elles, qui y accède, depuis quand) précède tout déploiement d'outil. Utilisez un outil DSPM ou, à défaut, un audit manuel par type de données et par système.
2. Appliquer le principe de moindre privilège sans exception
Chaque compte, humain ou technique, n'accède qu'à ce dont il a besoin. Revoir les droits existants tous les six mois minimum. Les droits résiduels - ceux qu'on a oublié de retirer - sont parmi les risques les plus faciles à éliminer et les plus systématiquement présents.
3. Chiffrer systématiquement les données sensibles
Au repos, en transit, et dans les sauvegardes. Gérer les clés indépendamment des données qu'elles protègent. Documenter la politique de rotation des clés.
4. Déployer le MFA sur l'ensemble des accès
Sans exception de périmètre. Les comptes administrateurs en priorité, puis l'ensemble des utilisateurs. Préférer les authenticators basés sur FIDO2 aux SMS, vulnérables au SIM swapping.
5. Activer la journalisation complète des accès
Chaque accès à une donnée sensible doit laisser une trace. Ces logs doivent être centralisés, horodatés et protégés contre la modification. Durée de rétention minimale : 12 mois pour la plupart des frameworks réglementaires.
6. Mettre en place une politique DLP cohérente
La DLP n'est pas un interrupteur à activer - c'est un ensemble de règles à construire sur la base de la classification. Commencer par les scénarios à fort impact : envoi de données financières vers des domaines externes non autorisés, upload de fichiers clients sur des services non approuvés.
7. Sécuriser spécifiquement le télétravail et le BYOD
Les équipements personnels accédant aux données d'entreprise sont un vecteur d'exposition majeur. Politique minimale : MDM (Mobile Device Management) pour les appareils accédant aux données sensibles, VPN ou ZTNA pour les accès distants, interdiction de stockage local des données confidentielles sur les appareils non managés.
8. Gérer la sécurité des tiers et des prestataires
Vos prestataires accèdent souvent à vos données avec des droits larges et peu de surveillance. Exiger un questionnaire de sécurité annuel, limiter les accès tiers dans le temps, activer les accès juste-à-temps (JIT) pour les interventions ponctuelles.
9. Tester régulièrement les sauvegardes
Une sauvegarde non testée n'est pas une sauvegarde. Planifier des tests de restauration trimestriels, documenter les RTO et RPO par système critique, maintenir au moins une copie hors ligne ou air-gapped pour les données critiques.
10. Former les équipes, pas seulement les sensibiliser
Les campagnes de phishing simulées et les modules e-learning annuels ne suffisent pas. La formation doit être contextuelle (adaptée aux risques spécifiques du métier), fréquente (micro-formations mensuelles plutôt que formation annuelle) et mesurable (évolution des taux de clics sur les simulations). Responsabiliser les propriétaires de données, notamment pour les groupes ou sites les plus stratégiques pour l’organisation.
11. Intégrer la sécurité des données dans les projets dès la conception
Le Security by Design n'est pas réservé aux éditeurs logiciels. Avant tout nouveau projet IT - migration cloud, déploiement IA, refonte applicative - une analyse des données impliquées et des mesures de protection à mettre en place doit être produite. Le coût de la sécurité intégrée dès la conception est systématiquement inférieur à celui de la remédiation post-incident.
Dans les 30 premiers jours (quick wins)
Dans les 3 à 6 mois (fondations)
Dans les 6 à 18 mois (programme structurant)
Une ETI dans le secteur de l'assurance, 900 collaborateurs, avait tenté de déployer simultanément SIEM, DLP et CASB en 2023. Dix-huit mois plus tard, seul le SIEM était opérationnel - les deux autres projets avaient été suspendus faute de ressources et de données de classification fiables pour alimenter les règles. Le coût : 340 000 € investis, une maturité sécurité à peine supérieure au point de départ. En reprenant par la classification et le RBAC, les règles DLP ont pu être construites en 8 semaines.
À retenir