La plateforme de données clients d’un prestataire de traitement des demandes de remboursement de soins de santé a fait l’objet d’accès par un ingénieur de données senior, un employé comptant douze ans d’ancienneté dans l’entreprise, disposant d’un accès administrateur légitime à la plateforme et sans aucun incident de sécurité à son dossier. L’ingénieur n’avait pas obtenu une promotion au Q1 et, selon les entretiens menés après l’incident, avait décidé de monnayer son accès avant de démissionner. Pendant trois mois, il a utilisé son accès standard à la plateforme pour exécuter une série de requêtes qui extrayaient des dossiers clients par lots de cinq cents à deux mille enregistrements par session. Chaque session transférait des données vers un compte Dropbox personnel à l’aide de l’outil interne d’exportation de données du fournisseur, une fonction légitime utilisée pour livrer des données aux clients. Extraction totale : dix-sept mille dossiers clients comprenant noms, dates de naissance, identifiants d’adhérent et historique des demandes de remboursement. Le DLP du fournisseur ne s’est pas déclenché, car chaque exportation restait sous le seuil d’exportation massive de cinq mille fichiers et la destination Dropbox ne figurait pas sur la liste des services bloqués du fournisseur. La surveillance du fournisseur ne comportait aucun déploiement d’UEBA : il n’existait aucune référence comportementale permettant de détecter que les schémas de requêtes de l’ingénieur étaient passés d’opérations de maintenance à des exportations régulières de dossiers clients par petits lots. La détection est venue de l’arrestation de l’ingénieur pour une autre affaire, qui a conduit les enquêteurs à examiner ses comptes cloud.
Que sont vraiment les menaces internes chez les fournisseurs ?
Les menaces internes chez les fournisseurs désignent le risque que des employés, des prestataires ou des utilisateurs de confiance du fournisseur disposant d’un accès légitime à des systèmes contenant des données de clients détournent cet accès (intentionnellement, par négligence ou sous la contrainte) d’une manière qui nuit au client. Elles représentent un risque fondamentalement différent des attaques externes : alors que les attaques externes doivent franchir les contrôles d’authentification et d’autorisation, les menaces internes opèrent à l’intérieur de ces contrôles. L’attaquant EST l’utilisateur autorisé. La détection dépend entièrement de la capacité à identifier qu’un accès légitime est utilisé de manière illégitime.
Le problème de l’accès légitime est la difficulté centrale de la détection des menaces internes. Les contrôles de sécurité qui empêchent l’accès non autorisé (authentification, autorisation, contrôles d’accès) sont par définition sans effet sur les menaces internes, puisque les initiés sont autorisés. La détection repose sur une analyse comportementale qui repère quand des schémas d’accès autorisés s’écartent du comportement normal établi d’une manière compatible avec un détournement. Les plateformes d’analyse du comportement des utilisateurs et des entités établissent des références comportementales pour chaque utilisateur et détectent les écarts (changements dans les données consultées, le moment, le volume et la destination des transferts) pouvant indiquer une activité de menace interne. Sans analyse comportementale, la détection des menaces internes dépend d’un DLP fondé sur des seuils, que des initiés avertis peuvent contourner en calibrant leurs actions.
L’amplification par la relation de confiance est la dimension de la menace interne propre aux fournisseurs. Les employés du fournisseur qui ont accès aux données des clients agissent dans le cadre d’une relation de confiance qui existe parce que les services du fournisseur exigent cet accès. Le délégué commercial pharmaceutique dont l’accès au CRM permet le vol de dossiers clients, l’ingénieur de données du traitement des sinistres dont l’accès à la plateforme permet l’extraction d’enregistrements et l’administrateur système dont l’accès à privilèges permet l’exfiltration d’une base de données disposent tous d’un accès légitimement requis par leur rôle. La confiance qui permet au fournisseur de fournir ses services est la même qui rend possible la menace interne.
- Accès légitime utilisé à des fins malveillantes : les contrôles d’accès ne sont pas pertinents pour la détection des menaces internes
- Aucun UEBA : aucune référence comportementale établie pour détecter les changements de schémas d’accès
- Contournement des seuils du DLP : exportations par petits lots sous le seuil qui échappent à la détection
- Destination non bloquée : services légitimes de stockage cloud absents de la liste de blocage du DLP
- Aucune surveillance des schémas d’accès : changements de fréquence et de volume des requêtes non détectés
Pourquoi c’est important
Les menaces internes chez les fournisseurs comptent pour la TPRM, car le client ne peut pas surveiller directement le comportement des employés du fournisseur : il n’a pas accès à l’UEBA qui détecterait le changement de schéma de requêtes de l’ingénieur de données, aucune visibilité sur la surveillance des destinations d’exportation qui signalerait le transfert vers Dropbox et aucun mécanisme direct pour détecter qu’un accès légitime est détourné. La protection du client contre les menaces internes chez ses fournisseurs dépend entièrement du programme de détection des menaces internes du fournisseur lui-même, et la plupart des évaluations de sécurité des fournisseurs n’évaluent pas spécifiquement la capacité de détection des menaces internes.
Le problème de la limitation des accès est la mesure d’atténuation la plus directe côté client. Plus les employés du fournisseur peuvent accéder à de données, plus l’impact potentiel d’une menace interne est important. Les fournisseurs qui ont mis en place l’accès au strict nécessaire, en limitant chaque employé aux seules données clients requises par son rôle précis, réduisent le rayon d’impact d’une menace interne même lorsqu’ils ne peuvent pas l’empêcher. L’ingénieur de données qui ne peut accéder qu’aux sinistres des quatre-vingt-dix derniers jours pour les dossiers en cours crée une violation potentielle plus restreinte qu’un ingénieur disposant d’un accès illimité à sept ans d’historique des sinistres.
Là où la plupart des équipes se trompent
L’échec le plus constant consiste à évaluer les contrôles d’accès sans évaluer la capacité de détection des menaces internes. Les contrôles d’accès limitent ce que les initiés peuvent faire. La détection comportementale repère quand les initiés détournent ce qu’ils peuvent faire. Les deux sont nécessaires. Aucun ne remplace l’autre.
- Contrôles d’accès évalués sans détection des menaces internes
- Déploiement d’un UEBA non abordé dans les évaluations des fournisseurs
- Limitation de l’accès des employés non évaluée : accès au strict nécessaire aux données des clients
- Contournement des seuils du DLP par des schémas internes non testé
- Vérification des antécédents et sélection des employés non évaluées
À quoi ressemblent les bonnes pratiques
Les programmes matures de lutte contre les menaces internes combinent la limitation des accès au strict nécessaire, un UEBA pour la détection des anomalies comportementales, un DLP configuré pour les schémas de menace interne et des revues d’accès régulières pour repérer l’accumulation de permissions inutiles.
- UEBA avec des références comportementales individuelles par employé : détection des changements de schémas d’accès
- Accès au strict nécessaire : les employés n’accèdent qu’aux données requises par leur rôle actuel précis
- DLP configuré pour les schémas internes : détection des exportations par petits lots, surveillance du stockage cloud
- Revues d’accès régulières : revue trimestrielle des personnes ayant accès aux systèmes de données clients
- Sélection et vérification des antécédents des employés pour les rôles ayant accès aux données des clients
Outils
UEBA : Exabeam, Varonis, Microsoft Sentinel UEBA
Les plateformes d’UEBA établissent des références comportementales individuelles par employé et détectent les écarts compatibles avec une activité de menace interne, en particulier les changements dans les schémas d’accès aux données, le comportement d’exportation et les horaires d’accès. Pour les praticiens de la TPRM, demander si le fournisseur a déployé un UEBA avec des références individuelles par employé pour le personnel ayant accès aux données des clients constitue la question précise sur la capacité de détection des menaces internes.
Gouvernance de l’accès aux données : Varonis, Securiti
Les plateformes de gouvernance de l’accès aux données offrent une visibilité sur qui accède à quelles données, quand et à quelle fréquence, ce qui permet à la fois des revues de la limitation des accès et la détection des schémas inhabituels d’accès aux données. Pour les praticiens de la TPRM, demander si le fournisseur utilise des outils de gouvernance de l’accès aux données pour surveiller et revoir l’accès des employés aux données des clients constitue une question précise sur la supervision des accès.
Enjeux de gouvernance
La difficulté de gouvernance de la détection des menaces internes chez les fournisseurs tient à la dimension de la vie privée des employés. La surveillance par UEBA du comportement des employés exige de mettre en balance les intérêts légitimes de sécurité et les droits des employés au respect de leur vie privée, une tension encadrée juridiquement de manière différente selon les juridictions. La réponse de gouvernance consiste à surveiller au niveau de l’accès aux données plutôt qu’au niveau du comportement individuel, en détectant les schémas d’accès anormaux sans recourir à une surveillance intrusive des employés.
- Demander si un UEBA est déployé pour le personnel ayant accès aux données des clients
- Poser des questions sur la limitation au strict nécessaire de l’accès aux données des clients
- Poser des questions sur la configuration du DLP pour la détection des exportations par petits lots
- Poser des questions sur la sélection des employés occupant des rôles avec accès aux données des clients
- Poser des questions sur la fréquence des revues d’accès aux systèmes de données clients
Si vous êtes une petite équipe
Pour chaque fournisseur de niveau 1 ayant un accès direct à des données sensibles de clients, posez deux questions. Première question : un UEBA est-il déployé pour détecter les schémas anormaux d’accès aux données chez les employés qui ont accès à nos données ? Deuxième question : l’accès des employés est-il limité au strict nécessaire, c’est-à-dire, concrètement, un ingénieur de données peut-il accéder à tous les dossiers clients ou seulement à ceux que requiert son rôle actuel ? Ces deux questions couvrent les dimensions de détection et de rayon d’impact du risque de menace interne chez les fournisseurs.
- Demander si l’UEBA couvre le personnel ayant accès aux données des clients
- Demander si l’accès des employés aux données des clients est limité au strict nécessaire
- Poser des questions sur la configuration du DLP pour les schémas d’exportation par petits lots
- Poser des questions sur la sélection des employés occupant des rôles avec accès aux données des clients
Ce qu’il faut exiger
Demandez directement :
« Pour les employés ayant accès aux données de nos clients, leurs schémas d’accès sont-ils surveillés par un UEBA afin de détecter les comportements anormaux, et leur accès est-il limité au strict nécessaire plutôt qu’étendu sans restriction à tous les dossiers clients ? »
Preuves attendues
- Confirmation du déploiement d’un UEBA pour le personnel ayant accès aux données des clients
- Documentation de la limitation des accès au strict nécessaire
- Configuration du DLP pour la détection des exportations par petits lots
- Fréquence des revues d’accès aux systèmes de données clients
Un fournisseur qui confirme ses contrôles d’accès doit être interrogé sur la couverture, par la surveillance comportementale, des employés précis qui ont accès aux données des clients. Les contrôles d’accès définissent ce qui est permis. L’UEBA détecte quand ce qui est permis est détourné.
Comment le prouver
- Registres de déploiement de l’UEBA pour le personnel ayant accès aux données des clients
- Documentation de la limitation des accès au strict nécessaire
- Configuration du DLP pour les schémas internes
- Registres de sélection des employés pour les rôles d’accès aux données
À retenir
Accès légitime. Compte cloud personnel. Dix-sept mille enregistrements. Trois mois. Aucune détection avant une arrestation sans rapport. Les contrôles d’accès donnaient à l’ingénieur exactement l’accès que requérait son rôle. Cet accès était la violation. Un UEBA aurait détecté le changement de schéma de requêtes. L’accès au strict nécessaire aurait réduit le périmètre extractible. Un DLP configuré pour détecter les exportations par petits lots aurait signalé les petites exportations répétées. Rien de tout cela n’était en place. La menace interne est le risque qu’un accès légitime soit utilisé de manière illégitime. La détection dépend de la capacité à reconnaître qu’un accès légitime produit un comportement illégitime. Les contrôles d’accès protègent contre les utilisateurs non autorisés. La détection comportementale protège contre les utilisateurs autorisés qui deviennent des menaces.