La prévention des pertes de données (DLP, Data Loss Prevention) désigne l’ensemble des dispositifs qui détectent et bloquent les mouvements non autorisés de données sensibles : envoi par messagerie, dépôt sur un stockage cloud, copie vers un support amovible ou impression. Dans la banque, elle couvre le secret des affaires comme les données réglementées.
Classifier avant de surveiller
Sans classification préalable des données, le moteur d’inspection ne distingue pas un export de comptes clients d’une plaquette commerciale et multiplie les alertes sans valeur. Les établissements définissent donc une échelle de sensibilité — interne, confidentiel, secret — appliquée aux documents par marquage automatique ou par leur auteur.
La cartographie des lieux de résidence complète ce travail : bases métiers, partages de fichiers, boîtes aux lettres, espaces collaboratifs, sauvegardes et copies dans les environnements de test. Pour les données personnelles, la démarche rejoint les obligations de protection des données personnelles issues du RGPD, dont la tenue du registre des traitements. Les moteurs DLP s’appuient ensuite sur des dictionnaires de détection (formats d’IBAN, numéros de carte), des empreintes de documents et des modèles d’apprentissage pour reconnaître les contenus à risque.
Les canaux placés sous contrôle
La messagerie sortante reste le premier point d’inspection : pièces jointes analysées avant émission, quarantaine ou chiffrement forcé quand un contenu classifié part vers l’externe. Le navigateur vient ensuite, avec les téléversements vers des services de partage ou des webmails personnels. Sur le poste de travail, un agent surveille la copie vers des supports USB, le presse-papiers et les captures d’écran ; l’impression de documents marqués peut être journalisée ou bloquée. Côté cloud, des connecteurs API repèrent les partages externes des espaces collaboratifs. Certaines suites collaboratives embarquent nativement ces fonctions ; l’article consacré à la galaxie Microsoft 365 décrit l’étiquetage de sensibilité et les règles configurables au niveau du tenant.
Ce que les établissements financiers cherchent à retenir
Un chargé de clientèle exporte son portefeuille avant de rejoindre un concurrent ; un prestataire copie une base de test insuffisamment anonymisée vers sa messagerie personnelle. Dans les deux cas, la donnée sort par un geste ordinaire, sans intrusion préalable. Les catégories protégées en priorité recoupent les obligations du secteur :
- les données clients couvertes par le secret bancaire ;
- les données de cartes de paiement, dont le référentiel PCI DSS restreint le stockage et la circulation ;
- la propriété intellectuelle : modèles de notation, code source, stratégies d’investissement ;
- les documents préparatoires à des opérations non encore publiques.
Une fois sorties, ces données alimentent des filières de revente ; notre étude de l’impact du dark web sur la banque et l’assurance décrit le devenir des fichiers dérobés.
Assistants IA : la surface de fuite qui s’est ajoutée
Avec l’essor des outils génératifs, les éditeurs DLP ont dû couvrir un canal absent des référentiels historiques. Le risque prend deux formes. D’abord la saisie directe : un collaborateur colle un extrait de contrat ou un fichier clients dans un assistant public, et le contenu quitte le système d’information sans emprunter la messagerie ni un support amovible. Ensuite l’exposition indirecte : un assistant interne branché sur les documents de l’entreprise peut restituer des informations que les droits de l’utilisateur ne couvrent pas. Ces mécanismes sont détaillés dans notre analyse de la sécurité des assistants IA internes. L’ANSSI a publié des recommandations de sécurité pour les systèmes d’IA générative, qui abordent le cloisonnement des données qui les alimentent.
Limites techniques et cadre applicable aux salariés
Ces dispositifs présentent des limites bien identifiées. Les faux positifs forment la première difficulté : un IBAN dans une signature de courriel ou un jeu de données factices déclenchent des alertes qui saturent les équipes tant que les règles ne sont pas affinées. Les contournements existent aussi : archive chiffrée dont le moteur ne lit pas le contenu, ou photographie de l’écran avec un téléphone personnel. Beaucoup d’équipes réservent d’ailleurs le blocage automatique aux règles les plus fiables.
Le déploiement soulève aussi des questions juridiques. La CNIL encadre le contrôle de l’utilisation des outils informatiques au travail : la surveillance doit rester proportionnée au but poursuivi et les salariés informés des dispositifs mis en place. Un moteur qui inspecte le contenu des courriels touche directement à ce cadre ; les paramétrages s’arbitrent entre RSSI, délégué à la protection des données et direction juridique.
La DLP ne remplace pas la gouvernance des accès
La DLP n’intervient qu’au moment où la donnée franchit le périmètre. Une gestion des habilitations rigoureuse, adossée à un socle IAM, limite en amont le volume de données auquel chaque collaborateur accède, donc le périmètre que le dispositif doit couvrir. Les comptes à privilèges appellent un traitement séparé : un administrateur peut désactiver un agent ou passer par des canaux techniques ; le sujet renvoie aux mécanismes de PAM et de gestion des comptes à privilèges, enregistrement de session compris. Restent les identités machine et les secrets applicatifs, angle mort fréquent : un compte de service compromis exfiltre par API sans jamais toucher une boîte aux lettres.
Un capteur parmi d’autres pour le SOC
Les équipes de détection exploitent aussi ces alertes. L’exfiltration de données constitue souvent la dernière phase d’une intrusion ; l’ENISA la décrit dans ses panoramas annuels de la menace comme un ressort des attaques par rançongiciel à double extorsion. Un transfert volumineux vers un domaine inconnu, corrélé dans le SIEM avec une connexion inhabituelle, oriente l’investigation bien mieux qu’un événement isolé. Cette corrélation relève du SOC, qui qualifie l’alerte avant d’engager la réponse à incident.
Questions fréquentes sur la prévention des fuites de données
Quelle différence entre DLP et chiffrement des données ?
Le chiffrement protège la confidentialité d’un fichier intercepté ou volé, mais n’empêche pas un utilisateur légitime de l’envoyer à l’extérieur. La DLP agit sur le mouvement lui-même : elle identifie le contenu sensible et applique une règle de blocage ou d’alerte au moment du transfert. Les deux approches se combinent d’ailleurs, certains outils chiffrant automatiquement les documents classifiés à l’envoi.
La DLP peut-elle détecter une fuite vers un assistant IA public ?
Les éditeurs ont ajouté des politiques ciblant les services d’IA générative : inspection des formulaires web où l’utilisateur colle du texte et blocage des téléversements de fichiers classifiés vers ces domaines. La couverture dépend toutefois du canal utilisé — un usage depuis un terminal personnel non géré échappe au dispositif.
Un dispositif DLP est-il conciliable avec les droits des salariés ?
Oui, à condition d’être encadré dès la conception. En droit français, un projet DLP associe le délégué à la protection des données et les instances représentatives du personnel, et documente les finalités poursuivies ; l’inspection de contenu se restreint aux catégories réellement sensibles. Les recommandations de la CNIL sur les outils informatiques au travail servent de référence pour ces arbitrages.
Par où débuter un déploiement DLP ?
Les retours d’expérience convergent vers un périmètre initial étroit : une ou deux catégories de données bien définies et un canal prioritaire comme la messagerie sortante, en mode alerte sans blocage pendant plusieurs semaines. Cette phase d’observation sert à mesurer les faux positifs et à ajuster les règles avant d’activer des actions bloquantes.
