Création de la Politique de Contrôle des Données

Cet article explique comment utiliser la page de Contrôle d'Application pour configurer la politique de Contrôle des Données de Prévention de la Perte de Données (DLP) pour votre compte.

Vue d'ensemble de la Politique de contrôle des données

La politique de Contrôle des Données vous permet de définir des règles pour inspecter comment les données et le contenu sont transférés et déplacés au sein de votre organisation et à l'extérieur. La page de Contrôle d'Application prend en charge trois types de règles : Contrôle d'App CASB, Contrôle de Type de Fichier, et Contrôle des Données DLP. Les règles de Contrôle des Données contiennent des paramètres supplémentaires pour l'inspection de contenu, y compris :

• Attributs du fichier - Supporte plus de 40 types de fichiers différents dans une variété de catégories, y compris : Microsoft Office, exécutables, et code source. De plus, vous pouvez affiner la règle pour ne correspondre qu'à une plage spécifique de tailles de fichiers, ou configurer la règle pour correspondre aux fichiers chiffrés.

• Profils de Contenu DLP - Ces profils peuvent définir l'inspection du contenu basée sur plus de 350 types de données dans plus de 30 Pays et Langues, y compris : Données à caractère personnel, financières et médicales.

La politique de contrôle d'application est une base de règles ordonnées qui permet de définir des activités et des critères requis pour les applications et les catégories. Chaque règle définit une application ou une catégorie. Une fois qu'une règle correspond au trafic, les règles de priorité inférieure (en dessous de la règle correspondante) ne s'appliquent pas au trafic.

La règle finale dans la base de règles est une règle implicite autorisant TOUT TOUT, donc si une connexion ne correspond à aucune règle, elle est autorisée par la règle implicite finale.

Protection DLP pour les fichiers chiffrés

Le moteur DLP a la capacité d'identifier et de bloquer les fichiers chiffrés avec un mot de passe. Cela peut aider à sécuriser vos informations en empêchant les utilisateurs de télécharger ou de téléverser des données sensibles cachées dans des fichiers protégés par mot de passe. Le moteur DLP ne scanne pas le contenu du fichier chiffré, mais l'identifie comme chiffré et applique l'action de règle pertinente. Puisque le moteur ne scanne pas le contenu du fichier, l'action de la règle est appliquée à tous les fichiers chiffrés indépendamment de tout profil de contenu configuré dans la règle. Vous pouvez définir des règles pour autoriser ou bloquer des fichiers chiffrés, selon les besoins de votre organisation.

Les fichiers chiffrés détectés par le moteur DLP incluent les fichiers protégés par mot de passe des types suivants : Word, Excel, PowerPoint, ZIP, et PDF

Révisions de la politique de déploiement et édition simultanée par plusieurs Admins

La Politique de Contrôle des Données permet à différents administrateurs de modifier la politique en parallèle. Chaque admin peut modifier les règles et enregistrer les modifications dans la base de règles dans leur propre révision privée, puis les publier dans la politique de compte (la révision publiée). Pour plus d'informations sur la gestion des révisions de politiques, voir Travail avec les Révisions de Politique.

Pré-requis

• Les règles de Contrôle des Données nécessitent que l'Inspection TLS soit activée pour inspecter le contenu.

  • La politique d'Inspection TLS granulaire de Cato vous permet de créer des règles qui n'inspecteront que le trafic pertinent pour une règle de Contrôle de Données.

• La Politique de contrôle d'application est incluse dans la Licence CASB. Activer les règles de Contrôle des Données dans la Politique de Contrôle d'Application nécessite également la Licence DLP.

  Pour plus d'informations sur l'achat des licences mentionnées ci-dessus, veuillez contacter votre représentant Cato.

Limites connues

• Pour des informations sur les exigences de fichier, voir Qu'est-ce que le service Cato DLP ?

• Le moteur DLP contourne un fichier si l'inspection dure plus de 10 secondes.

• Lors de l'utilisation de Microsoft Copilot, le DLP ne prend en charge que le téléchargement de fichiers, et non les invites

• Ces applications ne sont pas prises en charge pour l'inspection de contenu avec les règles de Contrôle des Données :

  • Bitbucket

  • GitHub

  • WhatsApp

• Lorsque l'attribut du fichier est défini sur Taille de contenu, l'action de Bloquer n'est pas prise en charge. Seules les actions non bloquantes (telles que Autoriser/Notifier) peuvent être utilisées avec cet attribut. Tentative de configuration d'une action de Blocage avec la Taille de contenu entraînera une erreur dans l'Application de gestion Cato.
  

Comprendre le DLP dans la base de règles de protection en ligne des App & Données

Utilisez les règles de Contrôle des Données dans la page de Contrôle d'Application pour implémenter la politique DLP de votre entreprise et définir le contenu bloqué par le stack de sécurité dans le Cloud Cato. Cette section décrit les champs et paramètres spécifiques aux règles de Contrôle des Données. Pour plus d'informations sur les règles et les paramètres également pertinents pour les règles de Contrôle d'Application, voir Gestion de la Politique de Contrôle d'Application.

Paramètres des règles de Contrôle des données

Une règle de Contrôle des Données comporte les sections suivantes :

• Général - Nom et gravité que vous choisissez d'assigner à la règle. Permet également d'activer ou de désactiver la règle.

• Application - Application prédéfinie, catégorie, application personnalisée ou Appli Autorisée correspondant à cette règle. Seules les applications prises en charge apparaissent dans la liste des applications prédéfinies.

• Activités - Pour les règles de Contrôle des Données, les activités sont simplifiées pour faciliter l'implémentation de la politique DLP. Choisissez si la règle concerne le trafic en amont et/ou en aval.

  • Pour les applications, sélectionnez l'activité correspondante à laquelle l'action est appliquée. Pour plus d'informations, voir Qu'est-ce que le Service DLP de Cato ?.

    Remarque :

    Pour les règles d'application, vous devez activer l'inspection TLS pour inspecter le trafic correspondant à la règle.

  • Pour les catégories, sélectionnez l'activité ou les critères correspondants auxquels l'action est appliquée.

  Vous devez définir une activité pour chaque règle.

• Attributs de Fichier - Définissez le type de contenu et la taille de fichier pour les données qui correspondent à cette règle, et s'il y a une relation ET ou OU entre les éléments.

  • Type de contenu - Le menu déroulant montre tous les types de contenu de fichiers pris en charge avec les extensions et des exemples

  • Taille du contenu - Pour plus d'informations, voir Qu'est-ce que le service DLP de Cato

  • Contenu chiffré - L'action de la règle est appliquée à tous les fichiers chiffrés. Le contenu des fichiers chiffrés ne peut pas être analysé par le moteur DLP.

• Profils DLP - Le moteur DLP peut identifier plus de 350 types de données, consultez Création de Profils de Contenu DLP. Vous pouvez configurer le profil avec une relation ET ou OU entre les types de données.

• Méthodes d'accès - Exigences pour les agents utilisateur sur les hôtes et appareils pouvant se connecter à votre compte.

• Source - Source du trafic pour cette règle.

  • Vous pouvez définir la Source sur un Pays pour créer une règle qui applique le trafic en provenance de ce pays, basé sur la géolocalisation IP

  • Pour plus d'informations sur d'autres éléments de Source pour une règle, consultez Reference for Rule Objects

• Temps - Définissez la période lorsque la règle est active.

• Actions - Appliquer l'action spécifiée au trafic correspondant à la règle. Les options sont :

  • Autoriser : L'action est autorisée

  • Bloquer : L'action est bloquée

  • Notifier : Lorsque l'action est exécutée, une notification du Client est affichée. Les utilisateurs peuvent rejeter la notification et continuer leur activité.

• Définir les options de suivi pour les événements et les notifications par e-mail.

Configuration des Règles de Contrôle des Données

Créez une nouvelle règle de Contrôle des Données et configurez les paramètres de la règle pour implémenter la politique de Contrôle des Données DLP pour votre organisation.

Les options de Temps définissent la plage horaire pendant laquelle la règle est activée. Vous pouvez configurer des options personnalisées pour une règle ou choisir les heures de travail par défaut qui sont définies pour le compte.

Pour créer une nouvelle règle de Contrôle des Données :

1. Depuis le menu de navigation, sélectionnez Sécurité > Applications & Données en ligne.

2. Assurez-vous que le Contrôle des Données est activé (vert est activé, gris est désactivé).

3. Cliquez sur Nouveau > Règle de Contrôle des Données.

   Le panneau Règle de Contrôle des Données s'ouvre.

4. Développez la section Général et configurez ces paramètres :

   1. Entrer Nom pour la règle.

   2. Activez ou désactivez la règle en utilisant le curseur (vert pour activé, gris pour désactivé).

   3. Sélectionnez la Sévérité.

      La Sévérité est utilisée dans les événements et les analyses de surveillance pour cette règle.

5. Dans la section Application, sélectionnez Toute Application, ou vous pouvez choisir de limiter l'inspection du contenu à une application ou catégorie spécifique.

   • En sélectionnant Toute application pour une règle, elle est appliquée à tout le trafic applicatif HTTP/S, incluant à la fois Internet et WAN. En sélectionnant Toute application pour une règle, elle est appliquée à la fois aux Applications cloud et au trafic applicatif sur le WAN.

6. Développez la section Activités et configurez ces paramètres :

   1. Cliquez sur Ajouter une Activité et sélectionnez l'élément pour la règle.

   2. Lorsqu'il y a plusieurs éléments dans la section Activités, dans le menu déroulant Respecter, définissez la relation entre les éléments :

      • n'importe lequel (OU) - Si l'un des éléments correspond au trafic, alors la règle est appliquée

      • all (ET) - Si tous les éléments correspondent au trafic, alors la règle est appliquée

7. Dans la section Attributs de Fichier, vous pouvez choisir d'inspecter uniquement le contenu pour des types de fichiers et tailles de fichiers spécifiques.

   Si vous ne configurez aucun paramètre d'Attribut de Fichier, alors tous les types de fichiers et tailles pris en charge sont inspectés.

   1. Cliquez sur Ajouter un Attribut de Fichier et sélectionnez Type de Contenu, Taille du Contenu, ou Contenu Chiffré.

   2. Définissez les paramètres pour l'élément d'Attribut de Fichier.

   3. Pour plusieurs éléments, définissez la relation entre les éléments (voir ci-dessus 6b).

8. Dans la section Profils DLP, vous pouvez ajouter des profils d'inspection de contenu existants et définir les types de données qui correspondent à cette règle.

   S'il y a plusieurs Profils DLP pour une règle, il y a une relation ET entre eux.

9. Développez la section Méthodes d'accès et définissez les exigences de l'agent utilisateur.

   Si plusieurs éléments sont présents, il existe une relation ET entre eux.

10. Développez la section Source et sélectionnez un ou plusieurs objets pour la source de trafic de cette règle (ou vous pouvez entrer une adresse IP).

    Sélectionnez le type (par exemple : Hôte, Interface Réseau, IP, N'importe). La valeur par défaut est N'importe.

11. (Optionnel) Développez la section Temps et définissez quand la règle est active.

    Sélectionnez Pas de contrainte temporelle pour définir la règle comme toujours active.

12. Développez la section Actions et configurez ces paramètres :

    1. Sélectionnez l'Action pour cette règle. Les options sont Autoriser et Bloquer.

    2. (Optionnel) Configurez des options de suivi pour générer Événements et Envoyer Notification. La fréquence commence à compter après que la première notification a été envoyée.

       Pour plus d'informations sur les Notifications, veuillez consulter l'article pertinent pour les Groupes d'Abonnement, Les Listes de diffusion, et les Intégrations des Alertes dans la section Alertes.

13. Cliquez sur Appliquer.

Définition du mode Échec du DLP

Activer ou désactiver le paramètre de fermeture en cas d'échec du DLP. Lorsqu'elle est activée, la politique de Contrôle des Données applique une action par défaut de blocage lorsqu'une analyse de fichier expire ou ne peut pas être complétée en raison d'autres problèmes. Par défaut, le paramètre de fermeture en cas d'échec du DLP est désactivé. Pour plus d'informations sur le mode d'échec DLP, voir Qu'est-ce que le Service DLP de Cato ?.

Pour définir le mode Échec du DLP :

1. Dans le menu de navigation, sélectionnez Sécurité > Types de Données & Profils, et dans l'onglet Paramètres, sélectionnez Général.

2. Cliquez sur pour activer (vert) le paramètre Fermeture Échec DLP pour le compte.

3. Cliquez sur Sauvegarder. Le paramètre Fermeture Échec DLP est appliqué au compte.

Analyse des Événements de Contrôle des Données

La page des Événements montre tous les événements de Contrôle des Données pour votre compte. Ces événements de Sécurité sont le Sous Type, Sécurité des applications.

Vous pouvez en apprendre plus sur l'utilisation de la page des Événements ici.

Ce sont les champs qui sont uniquement liés au Contrôle d'Application :

Notifications des Utilisateurs

Si une activité correspond à une règle avec une Action de notification ou est Bloquée par une Règle de contrôle des Données, vous pouvez configurer une Notification pour être affichée à l'Utilisateur, expliquant quelle Application a été Bloquée et pourquoi. Vous pouvez personnaliser le contenu et la Marque d'une notification pour répondre aux exigences de votre organisation.

Voici comment la notification Par défaut apparaît sur un appareil Windows :

Voici comment la notification Par défaut apparaît sur un appareil iOS :

Prérequis pour les Notifications Utilisateur

• Supporté par :

  • Client Windows v5.10 et supérieur

  • macOS Client v5.7 and higher

  • Client iOS v5.4 et supérieur

• L'utilisateur doit être connecté à distance

• Les notifications doivent être activées (si les notifications sont supprimées sur l'appareil, par exemple en mode Concentration ou Ne pas déranger, les notifications ne peuvent pas être affichées).

Activation des Notifications Utilisateur

Vous pouvez activer les Utilisateurs pour recevoir des Notifications système si une Activité correspond à une règle de Notification ou est Bloquée par une règle de Contrôle des Données.

Pour activer les notifications utilisateur :

1. Dans le menu de navigation, sélectionnez Accès > Accès Client > Notifications des Politiques de Sécurité.

2. Sélectionnez la case à cocher Activer les Notifications des Politiques de Sécurité Utilisateur.

3. Cliquez sur Sauvegarder.

Personnalisation des Notifications Utilisateur

Pour former les Utilisateurs sur les raisons pour lesquelles la Notification a été affichée ou une Action a été Bloquée, vous pouvez créer et assigner plusieurs modèles de Notification et les assigner à une règle de Politique. Cela vous permet de fournir des notifications contextuelles adaptées à des cas d'utilisation spécifiques au moment de l'application. Pour plus d'informations, consultez Créer des Modèles de Notification Utilisateur.