Prévenir les violations de données : liste de contrôle sécurité

Prévenir les violations de données lors des transferts de fichiers exige des contrôles à cinq niveaux : chiffrement en transit (TLS 1.3) et au repos (AES-256-GCM côté client), accès authentifié par destinataire, journalisation d'audit vers un stockage inaltérable, rétention courte avec expiration automatique, et procédures de réponse aux incidents activées en quelques minutes après la détection d'une anomalie. La violation de MOVEit Transfer en 2023 a exposé les données de plus de 2 600 organisations parce qu'un unique zero-day dans un produit de transfert géré a contourné les couches 1 à 3 pour les clients qui ne surveillaient pas la couche 5. Une approche par liste de contrôle comble les lacunes. Voici la liste complète avec des notes d'implémentation concrètes.

Pourquoi le transfert de fichiers est un point chaud des violations

Le transfert de fichiers se situe à l'intersection des réseaux externes, de multiples frontières de confiance et de contenus souvent non structurés que les outils DLP (prévention des pertes de données) ne peuvent pas analyser facilement. Le Verizon DBIR 2023 attribuait 74 % des violations à un facteur humain, et le partage de fichiers mal orienté est l'un des déclencheurs les plus fréquents, juste après le phishing. Accellion FTA (2021), Progress MOVEit (2023) et Cleo Harmony (2024) proposaient tous des produits de transfert de fichiers en entreprise qui ont été compromis à grande échelle, exposant des millions d'enregistrements par incident.

La leçon : les outils de transfert de fichiers sont des cibles de valeur parce qu'ils transportent les données critiques circulant entre organisations. Les durcir n'est pas optionnel.

Liste de contrôle du chiffrement

[ ] TLS 1.3 sur tous les points d'extrémité HTTPS, HSTS activé avec max-age=31536000
[ ] AES-256-GCM pour le contenu des fichiers, pas AES-CBC (vulnérable aux attaques par oracle de rembourrage)
[ ] Clés dérivées via PBKDF2-SHA-256 à 600 000+ itérations ou Argon2id (OWASP 2023)
[ ] Chiffrement côté client pour tout ce qui est classifié confidentiel ou supérieur
[ ] Chiffrement côté serveur comme seconde couche (chiffrement d'enveloppe avec AWS KMS, GCP KMS ou Azure Key Vault)
[ ] Perfect forward secrecy (suites de chiffrement ECDHE) sur toutes les connexions TLS
[ ] Épinglage de certificat pour les clients en entreprise lorsque c'est faisable

Si un service de transfert prétend utiliser un « chiffrement militaire » sans nommer les primitives, exigez des précisions. Les affirmations vagues signifient généralement AES-128 côté serveur uniquement.

Liste de contrôle du contrôle d'accès

[ ] Chaque lien de partage exige une authentification au-delà du lien lui-même (mot de passe, vérification par e-mail, SSO)
[ ] Liens à usage unique préférés pour les destinataires externes
[ ] Expiration sur chaque lien, 72 heures par défaut, 30 jours maximum
[ ] Limites de téléchargement selon le contexte (par ex. 1 ou 5 téléchargements maximum)
[ ] Mise en liste blanche d'IP pour les échanges B2B avec des plages partenaires fixes
[ ] Filigranage pour les documents très sensibles (PDF avec horodatages par destinataire)
[ ] mTLS pour les transferts automatisés de serveur à serveur

Un lien de partage nu est un jeton porteur : quiconque dispose de l'URL a accès complet. Ces jetons fuient dans les transferts d'e-mails, les canaux de discussion, les historiques de navigation et les journaux d'accès des CDN.

Classification des données avant le partage

Tous les fichiers ne méritent pas le même traitement. Un schéma à trois niveaux convient à la plupart des organisations :

Public : communiqués de presse, supports marketing ; le chiffrement en transit suffit
Confidentiel : données clients, rapports financiers, dossiers RH ; AES-256-GCM côté client plus contrôles d'accès
Restreint : secrets commerciaux, détails de vulnérabilités non corrigées, documents de fusions-acquisitions ; chiffrement côté client plus accès authentifié plus filigranage plus expiration de 24-48 heures

La classification automatisée aide. Microsoft Purview, Google Drive DLP et Forcepoint DLP analysent les fichiers téléversés à la recherche de données personnelles, de données de porteurs de cartes PCI-DSS ou de données de santé, et bloquent ou redirigent selon la politique. Pour les petites équipes, une convention de nommage ([CONF], [RESTREINT]) associée à une équipe formée est suffisante.

Contrôles du facteur humain

Les données sur les violations montrent systématiquement que les humains sont le point d'entrée. Contrôles ciblant ce risque :

Authentification résistante au phishing (clés matérielles FIDO2 ou passkeys, pas SMS)
Invites de vérification du destinataire : « Confirmez l'adresse e-mail du destinataire avant d'envoyer »
Indicateurs de destinataire externe dans l'interface, pour que les expéditeurs sachent quand un fichier quitte l'organisation
Fenêtres de rappel : 5 à 10 minutes après l'envoi où l'expéditeur peut annuler la livraison
Formation obligatoire tous les 6 mois avec simulations de phishing

Les alertes « Externe » de Google Workspace sur les partages Drive ont réduit les partages externes accidentels de 23 % selon des recherches internes de Google. Les petits signaux visuels comptent.

Journalisation d'audit et surveillance

[ ] Tous les événements de téléversement, téléchargement, création de liens et accès journalisés
[ ] Journaux envoyés vers un SIEM (Splunk, Elastic, Sentinel, Datadog) dans les 5 minutes
[ ] Rétention des journaux de 1 à 7 ans selon les exigences réglementaires (PCI-DSS : 1 an minimum, HIPAA : 6 ans, RGPD : selon le cas)
[ ] Détection d'anomalies : volumes de téléchargement inhabituels, accès en dehors des heures ouvrées, anomalies géographiques
[ ] Alertes acheminées vers une rotation d'astreinte avec un SLA défini (accusé de réception en 15 minutes)

Les attaquants de MOVEit ont exfiltré des données pendant des semaines avant leur détection chez la plupart des organisations victimes. La détection d'anomalies en temps réel (pics de volume de téléchargement, nouvelles plages IP, agents utilisateurs inhabituels) aurait considérablement réduit la durée de présence.

Contrôles de rétention et de suppression

Chaque jour qu'un fichier reste sur un serveur est un jour où il peut être volé. La rétention courte est le contrôle au plus fort levier :

Rétention par défaut : 7 jours pour la plupart des transferts de fichiers
Rétention maximale : 30 jours, avec extensions nécessitant une justification
Suppression cryptographique à expiration (écraser les clés, pas seulement les données)
Notifications aux destinataires avant expiration pour qu'ils puissent télécharger à temps
Purge automatique des entrées expirées dans les journaux et sauvegardes dans les délais réglementés

HexaTransfer limite la rétention à 7 jours et supprime les données chiffrées ainsi que le matériel de clé à expiration. Dropbox Transfer et WeTransfer offrent des paramètres de rétention ; utilisez la fenêtre la plus courte pratiquement acceptable.

Procédures de réponse aux incidents

Lorsqu'une violation est suspectée :

[ ] Révoquer les liens de partage affectés dans les 15 minutes suivant la détection
[ ] Faire tourner les identifiants pour tout utilisateur associé à une activité suspecte
[ ] Préserver les journaux (copies en écriture seule, ne laissez pas le nettoyage de l'attaquant les effacer)
[ ] Notifier les équipes juridiques et de protection des données dans l'heure
[ ] Déposer les notifications réglementaires selon le calendrier : RGPD Article 33 (72 heures à l'autorité de contrôle), et les délais applicables selon la juridiction concernée
[ ] Engager une réponse forensique si l'exposition est large ou floue (Mandiant, CrowdStrike, Kroll)

Testez le plan d'action lors d'exercices sur table au moins une fois par an. Les équipes qui ont pratiqué répondent 2 à 3 fois plus vite selon le rapport IBM Cost of a Data Breach.

Diligence raisonnable envers les fournisseurs

[ ] Rapport SOC 2 Type II examiné, pas seulement demandé
[ ] Certification ISO 27001 à jour
[ ] Rapports de test de pénétration des 12 derniers mois
[ ] Liste des sous-traitants examinée (votre fournisseur envoie-t-il des données à des tiers inconnus ?)
[ ] Contrôles de résidence des données disponibles si le RGPD ou d'autres règles de juridiction s'appliquent
[ ] Primitives publiées : algorithmes spécifiques, tailles de clé, nombre d'itérations
[ ] SLA de notification de violation dans le contrat (généralement 24 à 72 heures)

Demandez aux fournisseurs leur propre historique d'incidents. Un fournisseur qui a été compromis et a bien réagi est souvent un meilleur choix que celui sans incidents publics et aux réponses vagues.

Mettre la liste de contrôle en pratique

N'essayez pas de déployer les 40+ éléments d'un coup. Priorisez : chiffrement et contrôle d'accès en premier, journalisation et surveillance en second, rétention et classification en troisième, réponse aux incidents en dernier (et testez-la). Revoyez trimestriellement et mettez à jour selon les nouvelles informations sur les menaces. Les violations de MOVEit et Accellion ont toutes deux exploité des bugs techniques précis, mais les organisations avec les délais de présence les plus courts et la plus faible exposition étaient celles dotées de fenêtres de rétention strictes et d'une surveillance active. La liste de contrôle porte moins sur un contrôle individuel que sur la superposition des couches.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.