Gestion des risques internes dans Purview : cas d'usage, pseudonymisation et cadre français
Les fuites de données ne viennent pas toutes de l'extérieur. Un collaborateur qui part chez un concurrent avec un fichier clients, ou qui envoie par négligence des documents sensibles vers sa messagerie personnelle, reste un scénario fréquent. Insider Risk Management aide à détecter ces situations, à condition de l'inscrire dans un cadre social et juridique solide.
Ce que fait Insider Risk Management
Insider Risk Management corrèle des signaux issus de Microsoft 365 et, selon la configuration, des postes de travail : téléchargements massifs depuis SharePoint, copie vers un support amovible, impression, envoi vers des adresses externes, suppression d'étiquettes de confidentialité, envoi vers des services de stockage personnels. Il ne s'agit pas de lire les contenus, mais d'identifier des séquences d'activités inhabituelles et de leur attribuer un score de risque.
Les fonctions et les licences nécessaires (Microsoft 365 E5, module Compliance ou équivalent) évoluent régulièrement ; vérifiez l'état actuel dans votre locataire. La détection côté poste suppose l'intégration des appareils à Purview.
Les cas d'usage qui justifient l'outil
L'outil propose des modèles de stratégies. Ceux que nous voyons le plus souvent apporter de la valeur :
- Vol de données par des collaborateurs sur le départ : la stratégie se déclenche à partir d'une date de fin de contrat, transmise par un connecteur RH, ou de la suppression du compte, et examine l'activité des semaines précédentes ;
- Fuites de données : la stratégie s'appuie sur les alertes de prévention des pertes de données pour repérer des comportements répétés plutôt que des incidents isolés ;
- Fuites par des utilisateurs prioritaires : un groupe restreint, par exemple les personnes ayant accès à la stratégie ou à la recherche, fait l'objet de seuils plus bas.
Mieux vaut démarrer avec un ou deux cas d'usage clairement justifiés que d'activer tous les modèles. Chaque stratégie produit des alertes qu'il faudra traiter.
La pseudonymisation, un réglage essentiel
Par défaut, les noms des utilisateurs sont pseudonymisés dans les alertes et les dossiers : les analystes voient un identifiant, pas une personne. Ce réglage limite les biais et protège la vie privée pendant la phase de tri. La levée de la pseudonymisation doit intervenir seulement lorsqu'une alerte est jugée suffisamment sérieuse, selon une procédure définie.
Les rôles dédiés permettent de séparer les fonctions : administrateurs qui configurent les stratégies, analystes qui trient les alertes, enquêteurs qui accèdent au détail des activités, auditeurs qui contrôlent l'usage de l'outil. Évitez qu'une même personne cumule tous ces rôles.
Commencer sans surveiller personne. La fonction d'analyse du locataire évalue, de manière agrégée et anonymisée, les activités à risque potentielles avant toute stratégie. Elle aide à dimensionner le projet et à argumenter auprès des parties prenantes, sans viser d'individu.
Le cadre français : CSE, RGPD et proportionnalité
En France, un dispositif qui analyse l'activité des salariés n'est pas un simple paramétrage technique. Plusieurs points sont à traiter en amont :
- l'information et la consultation du CSE sur la mise en œuvre de moyens permettant un contrôle de l'activité des salariés ;
- l'information individuelle des salariés, par exemple via la charte informatique ;
- une analyse d'impact relative à la protection des données, très probablement requise pour un traitement de ce type ;
- l'inscription au registre des traitements, avec une finalité, une base légale et des durées de conservation définies ;
- la proportionnalité : périmètre limité aux données et populations justifiées, seuils raisonnables, accès restreint aux résultats.
Ces éléments relèvent de votre service juridique, de votre DPO et des ressources humaines. Notre rôle, lors d'un audit, est de vérifier que la configuration technique correspond à ce qui a été déclaré et validé.
Démarrer de façon pragmatique
Une feuille de route raisonnable : activer l'analyse, définir un cas d'usage prioritaire, mener la démarche sociale et juridique, configurer une stratégie avec la pseudonymisation active, désigner un petit groupe d'analystes, puis ajuster les seuils après quelques semaines d'observation. L'intégration avec la protection adaptative, qui renforce automatiquement les règles DLP pour les utilisateurs à risque élevé, peut venir dans un second temps.
Ce qu'un audit vérifie
- Les stratégies actives, leurs modèles et leur périmètre.
- L'état de la pseudonymisation et la procédure de levée.
- Les membres des rôles Insider Risk Management et la séparation des fonctions.
- Le traitement effectif des alertes et des dossiers ouverts.
- Les connecteurs RH et les déclencheurs utilisés.
- La cohérence avec l'AIPD, l'information du CSE et la charte informatique.