Dans une PME suisse, la gestion sécurité des données commence rarement par un appel d’offres. Elle naît plutôt d’un constat inconfortable: après un incident évité de justesse, personne ne sait précisément où se trouvent les données personnelles sensibles, les contrats et les secrets d’affaires dans les espaces Cloud, les applications SaaS et les partages de fichiers locaux. La direction exige rapidement une vue d’ensemble. Le service chargé de la protection des données demande le registre des activités de traitement et des précisions sur les finalités. De son côté, l’IT fait face à un environnement constitué au fil du temps, avec de nombreuses exceptions. Cet article présente le DSPM comme une discipline de gouvernance et de classification. Il expose aussi les limites d’une Data Discovery manuelle et les travaux qu’une PME devrait mener avant de choisir un outil.
Ce que la gestion sécurité des données et le Data-Security-Posture-Management doivent apporter
Le Data-Security-Posture-Management, ou DSPM, déplace l’attention des systèmes vers les données. La première question n’est donc pas de savoir si une ressource Cloud est correctement configurée sur le plan technique. Il faut plutôt déterminer quelles données s’y trouvent, quel est leur degré de sensibilité et qui peut y accéder. Il convient aussi d’établir si cette exposition respecte la finalité métier et les exigences légales. Dans une PME, cette perspective se révèle particulièrement utile. En effet, les environnements Cloud et SaaS résultent rarement de décisions d’architecture entièrement centralisées.
Selon la définition de marché de Gartner, le DSPM permet de découvrir, de catégoriser et de classifier des données jusque-là inconnues dans des environnements On-Premises et Cloud. Il sert aussi à évaluer les droits d’accès au regard des risques liés à la sécurité, à la protection des données et à l’IA. Cette approche est pertinente, car elle ne réduit pas le Data-Security-Posture-Management à un tableau de bord supplémentaire. Elle le présente comme une couche de contrôle centrée sur les données, donc comme un levier de gestion sécurité des données. Cette définition figure dans l’aperçu du marché consacré au Data Security Posture Management.
La distinction avec les catégories voisines est essentielle pour les décisions d’achat. Le CSPM examine surtout les configurations Cloud, les autorisations et les lacunes des politiques au niveau de l’infrastructure. Le DLP traite généralement l’exfiltration de données et les violations de politiques. Il intervient notamment sur les terminaux, les e-mails ou les canaux web. La Data-Access-Governance s’intéresse davantage aux autorisations et aux responsabilités liées aux ensembles de données. Le DSPM est transversal: il commence par la Data Discovery, établit la sensibilité et le contexte, puis hiérarchise les risques. Une comparaison en allemand entre CSPM et DSPM est proposée par ComputerWeekly.
La thèse centrale apparaît ainsi clairement: le DSPM relève d’abord de la gouvernance et de la classification, puis du choix des outils. Sans classes de données, responsabilités, critères de risque et cadre de protection des données clairement définis, même une Discovery techniquement solide reste peu exploitable. Elle ne produit qu’une liste de constats dépourvue de base décisionnelle fiable.
Gestion sécurité des données: le travail préparatoire sans logiciel, entre périmètre, classification et cadre juridique
Avant d’introduire un DSPM, une PME doit déterminer quel environnement de données elle souhaite examiner. Un périmètre pertinent comprend généralement les principaux espaces de stockage Cloud, les plateformes de collaboration et les applications métier. Il inclut aussi les partages de fichiers, les bases de données et certains services SaaS. Tous les emplacements ne doivent pas être analysés avec la même profondeur dès le départ. Toutefois, l’entreprise doit délimiter consciemment le périmètre, le prioriser selon les risques et justifier ses choix. Celui-ci ne devrait pas dépendre de simples contingences techniques.
Le DSPM exige d’abord un schéma de classification, des propriétaires de données et des critères de décision clairs. La Data Discovery technique vient ensuite
Classification des données dans les PME: un modèle volontairement simple plutôt qu’académique
Une PME n’a pas besoin d’un modèle de classification surdimensionné. Elle a besoin d’un modèle qui permette de prendre des décisions cohérentes. Quelques niveaux suffisent souvent: public, interne, confidentiel et strictement confidentiel. Des exemples concrets peuvent les compléter, tels que les dossiers du personnel, les données clients et les données de santé. S’y ajoutent les informations financières, les offres, les documents de développement ou les identifiants d’accès. Il faut en outre distinguer les niveaux de confidentialité opérationnels des catégories légales, notamment les données personnelles sensibles. Enfin, chaque classe doit s’accompagner de règles de traitement. Celles-ci portent sur les emplacements autorisés, les partages, la conservation, le chiffrement, la journalisation et le signalement des données découvertes hors des zones admises.
Parallèlement, l’entreprise doit désigner des propriétaires de données. Dans une PME, cette responsabilité ne relève souvent pas d’une fonction autonome de Data Governance. Elle se répartit plutôt entre les métiers, la protection des données et la sécurité informatique. Cette approche reste viable si les tâches et les pouvoirs de décision sont explicitement définis. Sans propriétaire de données, il est difficile d’évaluer un constat DSPM de manière fiable. L’IT identifie l’emplacement, mais connaît rarement la portée métier, la finalité du traitement ou le délai de conservation applicable.
nLPD: le registre des activités de traitement et l’AIPD comme repères
Pour les PME suisses, le cadre de protection des données n’est pas secondaire. La loi révisée sur la protection des données exige une sécurité des données adaptée au risque. Le registre des activités de traitement selon l’art. 12 LPD et l’analyse d’impact selon l’art. 22 LPD créent un lien méthodologique avec le DSPM. Ils imposent une analyse structurée des finalités, des catégories de données, des destinataires, de la conservation et des risques. À propos de l’exception accordée à certaines PME pour la tenue du registre, Steiger Legal précise que la taille de l’entreprise n’est pas le seul critère. Il faut également déterminer si le traitement présente uniquement un faible risque d’atteinte à la personnalité des personnes concernées.
Les analyses de Discovery exigent une finalité claire
La Data Discovery technique analyse les contenus, les métadonnées et les autorisations. Par conséquent, elle constitue elle-même un traitement lorsque des données personnelles sont concernées. Avant l’analyse, il faut clarifier sa finalité et définir les sources incluses. Il convient aussi de préciser qui peut consulter les résultats et combien de temps les constats seront conservés. L’ordonnance sur la protection des données définit l’exception fondée sur le risque applicable à certaines entreprises pour la tenue du registre. Or cette exception ne s’applique pas lorsque le traitement présente un risque élevé d’atteinte à la personnalité. Le commentaire relatif à l’art. 24 OPDo montre pourquoi il convient de documenter cette évaluation du risque.
Les limites du travail manuel dans des environnements Cloud et SaaS distribués
Une objection légitime se pose: si une PME ignore où se trouvent toutes ses données, comment peut-elle se préparer sérieusement avant de choisir un outil? La réponse est inconfortable, mais exige une distinction claire. Le travail conceptuel reste possible et nécessaire indépendamment des outils. Des personnes doivent définir le périmètre, le schéma de classification, les responsabilités, le cadre juridique et les critères de risque. En revanche, il est presque impossible de réaliser manuellement une Data Discovery techniquement exhaustive dans des environnements modernes et distribués.
Pourquoi la Data Discovery manuelle atteint ses limites
Premièrement: Shadow Data. Les données n’apparaissent pas uniquement dans les systèmes centraux. Elles se trouvent aussi dans des tableaux exportés, des dossiers de projet temporaires et des espaces de discussion. S’y ajoutent les archives d’e-mails, les fichiers journaux, les rapports téléchargés et les copies stockées dans des applications SaaS. Ces ensembles résultent souvent d’un besoin métier légitime. Toutefois, l’organisation n’en conserve pas toujours la visibilité. Les entretiens et les inventaires manuels ne les recensent donc que de manière lacunaire.
Deuxièmement: espaces de stockage non structurés. Une PME peut probablement nommer ses principales bases de données. En revanche, les arborescences complexes, les pièces jointes, les liens partagés, les synchronisations locales et les archives sont plus difficiles à maîtriser. Or ces emplacements contiennent souvent des données personnelles et des secrets d’affaires sans classification fiable. Les recherches par mots-clés génèrent de nombreux résultats, mais fournissent peu de contexte. De plus, elles omettent les contenus qui ne peuvent pas être reconnus à l’aide de termes univoques.
Troisièmement: accès dynamiques. Les autorisations évoluent plus vite que la documentation correspondante. Les groupes de projet s’élargissent, des partenaires externes obtiennent temporairement un accès et des collaborateurs changent de fonction. Sans analyse technique des droits d’accès effectifs, la posture de sécurité des données reste un instantané largement fondé sur des hypothèses.
Cette tension ne se résout donc pas par un choix binaire. Une PME ne devrait pas acheter aveuglément un outil DSPM en espérant qu’il crée une gouvernance. Elle ne devrait pas davantage croire qu’un inventaire couvrant le Cloud, le SaaS et l’On-Premises peut rester complet grâce à des tableaux, des ateliers et des sondages. Une approche solide se déroule en deux étapes. D’abord, l’entreprise définit les critères de décision. Ensuite, la Data Discovery technique applique ces critères aux données réelles, vérifie les hypothèses et révèle les lacunes.
Gestion sécurité des données avant le choix des outils: une feuille de route séquencée pour les PME
L’introduction du Data-Security-Posture-Management ne devrait pas commencer par des présentations de produits. Une PME a davantage à gagner en ordonnant méthodiquement les premiers chantiers. Elle crée ainsi une base solide pour la sélection, le projet pilote et les contrôles ultérieurs.
1) Recenser les sources de données: établissez une liste priorisée des emplacements pertinents: espaces Cloud, plateformes de collaboration, partages de fichiers, applications métier et bases de données. Ajoutez les exportations dans des espaces proches des sauvegardes ainsi que certains services SaaS. L’exhaustivité reste l’objectif. Dans un premier temps, toutefois, la transparence sur les principales zones de risque importe davantage.
2) Définir la priorité des risques: précisez quelles données doivent être traitées en premier. Il peut s’agir de données personnelles sensibles, de volumes importants d’autres données personnelles ou de secrets d’affaires. Les identifiants d’accès, les données financières et les informations soumises à des obligations contractuelles de protection sont également concernés. Cette hiérarchisation empêche le DSPM de s’enliser dans un inventaire général sans effet tangible.
3) Documenter la logique de classification: déterminez les caractéristiques qui entraînent l’attribution d’une classe de données. Il peut s’agir du contenu, de l’origine, du contexte métier, du type de fichier, des métadonnées, de l’emplacement ou du modèle d’autorisation. Au départ, les règles ne doivent pas être parfaites. Elles doivent néanmoins être explicables, vérifiables et gérées par versions.
4) Définir les rôles de gouvernance: désignez les propriétaires de données, les responsables des validations, le contact chargé de la protection des données et les exploitants techniques. Précisez également qui examine et hiérarchise les constats DSPM. Enfin, déterminez qui peut accepter un risque et à partir de quel seuil la direction doit intervenir.
Il faut ensuite définir les critères de réussite du projet pilote. Ceux-ci ne se limitent pas au nombre de documents sensibles détectés. Ils portent surtout sur la qualité de la classification, la réduction des droits excessifs et la traçabilité des décisions. L’intégration aux contrôles existants et l’exploitation avec des ressources limitées sont tout aussi importantes. Pour les PME qui structurent leur sécurité de l’information, l’articulation avec un ISMS paraît logique. Notre article ISO 27001 pour les PME en Suisse propose une mise en perspective.
La position de TECHWAY
En tant que conseiller en cybersécurité indépendant des fabricants, nous ne considérons pas le DSPM comme un simple achat IT. Le Data-Security-Posture-Management est une méthode qui met en relation les données, leur sensibilité, les accès et les risques afin d’en assurer le pilotage. Un outil peut s’avérer nécessaire pour la Discovery technique. Cependant, il ne remplace pas les décisions fondamentales. L’entreprise doit déterminer quelles données sont critiques, quels accès restent admissibles et quels risques elle peut assumer.
Pour les CISO et les responsables de la sécurité de l’information, l’intérêt réside dans une hiérarchisation fondée sur les risques. Les fonctions DSPM peuvent enrichir le DLP, le CASB, le SIEM et les contrôles d’identité grâce au contexte des données. Toutes les mauvaises configurations ne présentent pas la même gravité. Leur portée augmente lorsqu’elles concernent des données particulièrement sensibles ou des droits trop étendus. Il en va de même lorsque des partages externes ne respectent pas la finalité du traitement. Pour les responsables de la protection des données, le DSPM relie le registre des activités de traitement, l’AIPD et l’environnement réel. Des aides telles que la liste de contrôle nLPD pour les PME montrent que la documentation et l’évaluation des risques restent lacunaires sans visibilité sur les données.
Quatre critères pour déterminer le bon moment et choisir un outil DSPM:
1) Couverture des sources de données: l’outil doit pouvoir recenser les sources Cloud, SaaS et On-Premises pertinentes pour la PME. Une longue liste de fonctions sert peu si des applications métier ou des espaces critiques ne sont pas pris en charge.
2) Qualité de la classification: la simple détection de données sensibles ne suffit pas. Les résultats doivent être explicables et vérifiables du point de vue métier. En outre, les faux positifs doivent pouvoir être traités efficacement. Des sondages représentatifs, des tests et des revues métier devraient permettre de repérer les données omises.
3) Intégration dans les contrôles existants: le DSPM devrait relier les constats aux processus déjà en place. Ceux-ci comprennent le ticketing, les Access Reviews, les politiques DLP et les analyses SIEM. Il faut aussi considérer les workflows de protection des données et les rapports de gestion. Des listes de constats isolées génèrent du travail, mais débouchent rarement sur un pilotage efficace.
4) Exploitabilité dans une PME: une entreprise aux ressources limitées a besoin de rôles clairs, de priorités compréhensibles et de processus maîtrisables. Si une solution produit durablement plus de constats que l’organisation ne peut en examiner, elle perd son utilité. Elle devient alors un inventaire de risques non traités plutôt qu’un instrument de décision.
Conclusion
Le Data-Security-Posture-Management apporte une réelle valeur aux PME suisses lorsqu’elles le conçoivent comme un cycle récurrent de gouvernance. Il faut recenser les sources, classifier les données, évaluer les accès, hiérarchiser les risques, déclencher des mesures et contrôler régulièrement les résultats. La gestion sécurité des données ne peut pas déléguer ce travail conceptuel à un outil. Le périmètre, le schéma de classification, les propriétaires de données, le cadre juridique et la tolérance au risque doivent être suffisamment clarifiés avant le choix d’une solution.
Parallèlement, il serait irréaliste de vouloir effectuer entièrement à la main la Data Discovery technique dans des environnements Cloud et SaaS distribués. Une approche viable combine donc les deux dimensions. La gouvernance définit les questions, tandis que les fonctions DSPM aident à trouver des réponses fiables dans les données réelles. Pour une PME, l’enjeu n’est pas un déploiement massif et immédiat. Il s’agit plutôt de commencer par les sources les plus critiques, puis d’étendre progressivement la gestion sécurité des données selon des critères vérifiables.
Premier entretien pour préparer le DSPM
Vous souhaitez introduire le Data-Security-Posture-Management, mais d’abord clarifier le périmètre, la classification, les rôles et le lien avec la nLPD? TECHWAY accompagne les PME suisses en toute indépendance vis-à-vis des fabricants. Nous les aidons à préparer leur démarche, à hiérarchiser leurs sources de données et à définir des critères solides pour le choix ultérieur d’un outil. Ainsi, la gestion sécurité des données gagne en cohérence avant même l’acquisition d’une solution.
🎯 Principaux enseignements pour les décideurs
Synthèse à l’intention de la direction, du CISO et des responsables de la protection des données:
✓ Le DSPM relève d’abord de la gouvernance: le périmètre, la classification, les propriétaires de données, les finalités et les critères de risque doivent être clarifiés avant le choix d’un outil.
✓ Le travail manuel a ses limites: dans des environnements Cloud, SaaS et On-Premises distribués, une Data Discovery exhaustive n’est pratiquement plus réalisable à la main.
✓ Le lien avec la nLPD est central: le registre des activités de traitement, l’AIPD, la sécurité des données et les finalités encadrent juridiquement les analyses de Discovery et l’évaluation des risques.
✓ Le choix de l’outil suit le profil d’exigences: la couverture des sources, la qualité de la classification, les intégrations et l’exploitabilité en PME comptent davantage que l’abondance des fonctions.
✓ Commencer de manière itérative: une approche DSPM minimale viable débute par les sources de données les plus critiques, puis développe progressivement les contrôles.
✓ La gestion sécurité des données exige de la continuité: elle doit relier la gouvernance, la Data Discovery et les décisions relatives aux risques dans un cycle opérationnel.
Questions fréquentes sur le Data-Security-Posture-Management
Quelle est la différence entre DSPM, DLP et CSPM?
Le DSPM part des données: il découvre les ensembles de données, classifie leur sensibilité, évalue les accès et hiérarchise les risques. Le DLP se concentre davantage sur la prévention ou le contrôle de l’exfiltration de données par des canaux définis. Le CSPM examine surtout l’infrastructure Cloud, les configurations et les lacunes dans les politiques. Dans la pratique, ces catégories sont complémentaires.
Une PME suisse a-t-elle nécessairement besoin d’un outil DSPM?
Pas pour le travail préparatoire de gouvernance. Le périmètre, le schéma de classification, les responsabilités, le cadre juridique et les critères de risque doivent être définis indépendamment des outils. Pour la Data Discovery technique couvrant le Cloud, le SaaS et l’On-Premises, un outil est toutefois généralement nécessaire. En effet, les relevés manuels recensent difficilement l’ensemble des Shadow Data et des accès dynamiques.
Quel est le lien entre le DSPM, le registre des activités de traitement selon la nLPD et l’AIPD?
Le DSPM ne remplace ni le registre des activités de traitement ni l’analyse d’impact relative à la protection des données. Il peut toutefois améliorer la base factuelle en révélant les emplacements de stockage, les classes de données et les accès. Ces informations facilitent la documentation des traitements, l’évaluation des risques et la définition de mesures techniques et organisationnelles.
Comment une PME aux ressources limitées peut-elle démarrer avec le DSPM de manière pragmatique?
Une démarche pragmatique commence de manière itérative par quelques sources de données critiques. Il peut s’agir d’espaces Cloud centraux et de systèmes métier contenant des données personnelles sensibles ou des secrets d’affaires. Viennent ensuite un schéma de classification simple, des propriétaires de données clairement désignés, des critères de réussite et un projet pilote de Discovery. L’extension suit les risques plutôt qu’une logique de déploiement massif.
