Data Protection

Présentation

Data Protection identifie les ressources prises en charge qui sont partagées au-delà de leur public prévu ou qui contiennent des informations sensibles. Les administrateurs peuvent examiner les expositions, distribuer des alertes aux employés et utiliser des actions propres à chaque source ou des playbooks pour les traiter.

Ouvrez le module correspondant à votre région Elba :

• Espace d'administration UE
• Espace d'administration États-Unis

Sources prises en charge

Data Protection utilise actuellement sept familles de sources :

• Google Workspace
• Microsoft Teams
• Slack
• SharePoint
• OneDrive
• Dropbox
• Confluence

Les sept sources prennent en charge les signaux de partage externe. Slack et Microsoft Teams prennent également en charge les signaux de contenu sensible dans les messages. Les fonctionnalités de détection et de traitement varient toutefois selon la source, la connexion et le type d'objet ; fiez-vous aux fonctionnalités indiquées dans Elba pour la source concernée.

Traitement des données

Pour l'analyse de contenu, Elba conserve la référence de la source et les métadonnées nécessaires pour afficher, dédupliquer et auditer un constat, plutôt qu'une copie durable du contenu brut dans ses enregistrements principaux. Le contenu peut être stocké temporairement pendant le traitement. Consultez la FAQ sur la sécurité et la confidentialité pour plus de détails.

Data Protection pour Slack et l'intégration Slack dédiée aux communications avec les employés sont deux fonctionnalités distinctes qui nécessitent des autorisations différentes. Data Protection pour Slack analyse les messages pris en charge dans les canaux publics accessibles à la connexion autorisée par le client pour les détections activées ; ses autorisations actuelles ne donnent pas accès à l'historique des canaux privés. Consultez les périmètres OAuth et autorisations pour connaître les deux autorisations Slack.

Parcourir l'espace de travail

Le module comporte quatre onglets :

• Radar récapitule les schémas d'exposition courants et à haut risque.
• Alertes répertorie les expositions détectées et leur statut actuel.
• Playbooks contient les modèles d'automatisation disponibles et les processus configurés.
• Sources présente les connexions, leur état de synchronisation et les paramètres propres à chaque source.

Vérifier les erreurs de connexion depuis l’accueil

Pour les propriétaires et administrateurs d’organisation ayant configuré Data Protection, l’encart Connexions de Protection des données de la page d’accueil signale les sources configurées dont une erreur de connexion enregistrée empêche au moins un playbook actif de s’exécuter. Chaque source apparaît une seule fois, avec le nombre de playbooks actifs affectés. Les sources sans erreur ou non configurées, ainsi que celles dont les seuls playbooks sont en brouillon ou en pause, sont exclues.

1. Consultez la source et le nombre de playbooks affectés. L’accueil affiche jusqu’à trois sources, en commençant par les erreurs connues les plus anciennes. Une date de début d’erreur inconnue est indiquée explicitement.
2. Sélectionnez Voir la source pour ouvrir ses paramètres existants, ou Voir toutes les sources pour ouvrir la liste complète. Ouvrir ces pages ne reconnecte pas la source et ne résout pas l’erreur.
3. Sélectionnez Actualiser pour relire les informations de connexion. Elba les relit également à chaque ouverture de l’accueil, puis automatiquement toutes les minutes tant que cette page reste ouverte.

Informations de connexion lues le … UTC indique quand Elba a chargé avec succès les informations de connexion enregistrées. La mention distincte Erreur enregistrée le … UTC correspond à la date enregistrée de l’erreur. Ces dates ne confirment pas une vérification en direct auprès du fournisseur ; les informations enregistrées peuvent être en retard sur son état réel.

Si l’actualisation échoue ou que la dernière lecture réussie date d’au moins une minute, Elba signale que les informations peuvent être obsolètes et conserve la date de lecture précédente. Si aucune lecture n’a réussi, les playbooks affectés restent inconnus. Utilisez Actualiser pour réessayer. Une lecture réussie d’une connexion rétablie retire sa ligne. L’absence d’encart ne garantit pas que l’ensemble de la protection fonctionne.

Utiliser le Radar

Le Radar de Data Protection contient :

• Expositions à haut risque pour les alertes présentant le risque le plus élevé selon l'analyse de l'IA
• Données sur-exposées pour les catégories de données sensibles et leurs niveaux d'exposition
• Playbooks pour les processus configurés et les modèles disponibles
• Expositions les plus fréquentes pour les catégories sensibles selon qu'elles sont partagées en interne, en externe ou publiquement
• Destinataires fréquents pour les utilisateurs externes, domaines, canaux Slack ou canaux Teams qui reçoivent le plus de données partagées

Sélectionnez le résultat d'un widget pour ouvrir la vue filtrée des alertes correspondantes.

Examiner les partages Google Drive observés par domaine

Ouvrez Radar → Destinataires fréquents → Partages par domaine. La vue Partages observés par domaine présente les observations de partage Google Drive déjà collectées par Elba. Elle permet de passer d’un domaine destinataire aux adresses et aux fichiers sans assembler un export. Consulter ces observations ne confirme ni que l’accès est toujours actif, ni que tous les drives ont été parcourus.

1. Choisissez Professionnel, Personnel, Public ou Sans domaine. Les liens publics sont séparés des destinataires nommés. Les catégories professionnel et personnel décrivent le domaine de l’adresse ; elles ne vérifient pas l’identité d’un client ou d’un employeur.
2. Recherchez et ouvrez un domaine. Consultez les adresses distinctes, les fichiers et les partages observés. Vous pouvez rechercher une adresse, ouvrir un destinataire ou choisir Tous les fichiers partagés avec le domaine. La recherche et le fil d’Ariane conservent le contexte de l’examen.
3. Consultez le propriétaire, la date d’observation et la source de chaque fichier. Ouvrez son lien Google Drive ou l’alerte existante lorsqu’elle est disponible. Consulter ou sélectionner des fichiers ne retire aucun accès, ne modifie aucune alerte et n’envoie aucun message. Le retrait ciblé passe par la prévisualisation et la confirmation ci-dessous.

La vue utilise des observations enregistrées, sans vérification en direct auprès du fournisseur. La dernière observation enregistrée décrit ces observations de partage ; les dates anciennes ou différentes restent visibles. État de la source ouvre les paramètres de connexion existants. Une source connectée et un enregistrement récent ne prouvent pas que le parcours des drives est complet. Une couverture inconnue, une erreur de source ou un résultat vide ne constituent ni un inventaire complet, ni la preuve qu’aucun fichier n’est partagé.

Les fichiers se chargent par pages de 25. Les limites sur les enregistrements de partage et sur les adresses listées sont indépendantes : la liste examine jusqu’à 1 000 enregistrements de partage par groupe ; un groupe ouvert en examine jusqu’à 50 000. Lorsqu’une limite de partage est dépassée, Elba signale que les nombres de fichiers et de partages sont des minimums et masque une date d’observation qui serait trompeuse. Atteindre exactement une limite est distingué de son dépassement. Les adresses listées ont leurs propres limites de 1 000 dans une ligne de la liste et de 50 000 dans un domaine ouvert. Le nombre d’adresses distinctes est calculé séparément ; la limite des fichiers et partages ne permet pas d’en déduire la précision.

La recherche de domaine couvre l’ensemble de l’index des domaines. La recherche d’adresse couvre tout le groupe tant que sa liste d’adresses est complète. Si celle-ci est limitée, un avertissement permanent et l’explication du résultat vide précisent que la recherche ne porte que sur les adresses listées. La vue ne recherche pas les noms de fichiers et ne fournit pas un classement exhaustif de tous les partages.

Retirer les accès du destinataire sélectionné dans Google Drive

Les propriétaires et administrateurs peuvent retirer les accès directs pris en charge d’une adresse ou d’un domaine depuis cette même vue, en conservant les droits des autres destinataires.

1. Ouvrez les fichiers du destinataire et sélectionnez explicitement jusqu’à 100 fichiers. Pour un domaine, vérifiez si le périmètre comprend ses adresses et les droits accordés à tout le domaine, ou seulement ces derniers.
2. Choisissez Prévisualiser les fichiers sélectionnés. Elba lit les droits actuels dans Google Drive et affiche les droits éligibles, les autres droits conservés et les fichiers non vérifiés. Les accès hérités, de groupe, par lien public, internes et du propriétaire sont exclus ; les dossiers ne sont pas pris en charge.
3. Examinez les nombres et les détails par fichier. Choisissez Confirmer le retrait de N droits seulement si le périmètre correspond à votre intention. L’aperçu expire après dix minutes ; s’il expire ou si un droit change, préparez un nouvel aperçu.
4. Ouvrez Prévisualisations et résultats enregistrés pour consulter la progression et le résultat conservé. Le résultat distingue les droits retirés, déjà absents, hérités, en échec et ceux dont le résultat reste inconnu. Une nouvelle tentative porte uniquement sur les droits non résolus de la sélection initialement confirmée, sans ajouter de nouveaux accès.

Cet aperçu provient de l’organisation EU interne d’Elba. Les noms de fichiers et les détails des destinataires sont omis.

Avant confirmation, Revenir aux fichiers annule l’aperçu et conserve la sélection de fichiers. L’aperçu annulé reste dans l’historique. L’annulation ne rétablit pas un accès dont le retrait a déjà été confirmé.

Cette action n’active aucun Playbook et ne notifie pas les employés. Elle retire uniquement les droits vérifiés et pris en charge des fichiers sélectionnés ; elle ne certifie pas un offboarding complet, ne résout pas toutes les alertes et ne récupère pas les lacunes de l’inventaire. Si un fichier est indisponible, examinez ses droits actuels dans Google Drive avant de choisir la suite.

Continuer dans les Alertes ou un brouillon de Playbook

Depuis un domaine ou une adresse Google Drive ouvert dans Radar, Voir les alertes conserve ce destinataire et cette source dans les Alertes. Préparer un playbook ouvre l'éditeur existant avec la même sélection. Le lien de retour ramène au même domaine ou à la même adresse.

La sélection distingue trois périmètres :

• Adresse : cette adresse destinataire exacte.
• Domaine (adresses et tout le domaine) : les adresses de ce domaine exact et les droits accordés à tout le domaine. Les sous-domaines et les domaines au nom similaire sont exclus.
• Tout le domaine uniquement : les droits accordés à tout le domaine, sans ses adresses individuelles. Les anciens filtres de domaine enregistrés conservent ce sens plus restreint.

Vous pouvez saisir volontairement une adresse ou un domaine dans le sélecteur de destinataire, même s'il est absent des suggestions. Les Alertes conservent les autres filtres et les règles d'accès habituelles. Elles listent des alertes, tandis que Radar liste des partages observés : les fichiers sans alerte, les partages historiques d'une alerte et les propriétaires supprimés peuvent faire varier les listes. Une alerte ne prouve pas que l'accès existe encore.

Le Playbook s'ouvre comme un brouillon non enregistré, avec le déclencheur Google Drive et la condition de destinataire sélectionnés. L'ouvrir ou le quitter n'enregistre rien, n'active rien et n'envoie rien. Examinez les conditions avant d'enregistrer le brouillon, puis ajoutez volontairement une action avant d'activer le Playbook. La condition sélectionne des fichiers ; les actions portent sur le fichier entier. En particulier, Supprimer le partage retire tous les partages du fichier, pas seulement l'accès de ce destinataire. Ce n'est pas un retrait ciblé des accès d'un ancien client.

Un fichier partagé uniquement avec tout un domaine reste consultable dans Radar et les Alertes, mais ne propose pas de brouillon de Playbook par destinataire : le déclencheur actuel ne couvre pas ce type de partage. Un lien de brouillon non pris en charge pour ce périmètre est refusé.

La condition lit les partages enregistrés sur l'alerte. Elle est vérifiée à la création d'une alerte, à l'activation, la modification ou la reprise du Playbook, au changement du type de partage du fichier, ou à la reprise d'une exécution en attente. Un destinataire ajouté plus tard à un fichier qui a déjà une alerte ouverte peut attendre l'un de ces événements. Vérifiez les dates d'observation et les accès actuels dans Google Drive avant de décider d'un retrait.

Comprendre les détections

Types de partage

Elba classe les partages détectés comme suit :

• Professionnel pour un domaine professionnel externe
• Personnel pour un domaine personnel externe
• Public pour un accès disponible au moyen d'un lien public
• Interne pour une exposition au sein de l'organisation, y compris les signaux de messagerie pris en charge

Catégories de contenu sensible

Les catégories actuelles de contenu sensible sont :

• Identifiants
• Informations financières
• Informations juridiques
• PHI pour les informations de santé protégées
• PII pour les informations permettant d'identifier une personne

Une alerte peut également inclure des éléments détectés plus précis et un niveau de confiance. Considérez les résultats automatisés comme des signaux à examiner et validez les décisions importantes à partir de la ressource source et de la politique de classification des données de votre organisation.

Niveaux de risque

Lorsque l'analyse du risque par IA est disponible, Elba attribue le niveau Faible, Moyen ou Élevé et fournit une explication. Les détails de l'alerte affichent également le score sur une échelle de 0 à 10.

Formats de fichiers

Le sélecteur de formats de fichiers contient actuellement 312 extensions. Il couvre les documents, feuilles de calcul, codes sources, présentations, images, contenus audio et vidéo, polices, fichiers 3D, bases de données, emails, archives, exécutables, fichiers de conception et exports de conversations.

La disponibilité des formats dépend de la source. Une extension de fichier ne confirme pas à elle seule que le contenu a été analysé ; consultez les détails de l'alerte pour connaître le format, les éléments sensibles, les tags et l'analyse IA réellement disponibles pour cette ressource.

Traiter les alertes

L'onglet Alertes affiche chaque ressource, membre, source, niveau de risque, statut et dernière activité.

Pour voir toutes les alertes d'un fichier Google Drive, collez son lien ou son ID dans la barre de recherche. Un lien retrouve exactement ce fichier, même si d'autres fichiers portent le même nom ; un ID seul trouve aussi les noms qui le contiennent. Les résultats incluent les alertes ouvertes et traitées : le filtre Statut de l'alerte est mis en pause pendant la recherche d'un fichier et s'applique de nouveau quand vous retirez la recherche. Choisissez des statuts pendant la recherche pour affiner les alertes du fichier.

Vous pouvez aussi rechercher une ressource par son nom ou filtrer par :

• Membre, statut d'inscription du membre ou groupe
• Source
• Statut de l'alerte, date de création ou date de distribution
• Période de dernière mise à jour de l'objet ou format de fichier
• Risque, tag, catégorie de contenu sensible ou type de partage
• Destinataire

Les statuts d'alerte affichés dans l'espace de travail sont :

• Détectée pour une nouvelle alerte qui n'a pas encore été envoyée à un employé
• Distribuée pour une alerte envoyée à un employé et en attente de traitement
• Changements effectués pour une alerte terminée à la suite d'une modification des autorisations ou de la ressource
• Ignorée pour une alerte terminée et acceptée sans modification dans la source

Dans le filtre Statut de l'alerte, les alertes corrigées par un playbook apparaissent comme Traitée par l'auto-fix. Les alertes traitées avant qu'elba n'enregistre qui les a traitées apparaissent sous Traitée par l'administrateur, en Changements réalisés ou Ignorée.

Pour un fichier dont l'alerte a été ignorée, une analyse ultérieure de la source ne crée pas une nouvelle alerte du seul fait qu'un destinataire autorisé y a aussi accès. Une nouvelle autorisation de partage détectée pour un destinataire non autorisé peut créer une nouvelle alerte. Ce changement ne déclenche pas d'analyse et ne modifie pas les autorisations de partage à lui seul.

Actions des administrateurs

Sélectionnez une ou plusieurs alertes ouvertes pour afficher les actions prises en charge pour cette sélection. Selon la source et l'objet, les actions peuvent inclure :

• Distribuer les alertes aux employés inscrits
• Ignorer les alertes
• Supprimer les autorisations de partage
• Supprimer les ressources

Elba affiche une action qui modifie directement la source uniquement lorsque les paramètres de cette source indiquent que la fonctionnalité est disponible. Si la source ne la prend pas en charge, examinez et traitez la ressource dans le système source.

Vérifier la suppression d'un partage Google Drive

Pour une autorisation directe Google Drive prise en charge, Elba vérifie le résultat de la demande de suppression. Si l'autorisation est toujours présente ou si sa suppression ne peut pas être confirmée, l'alerte reste ouverte ou est rouverte pour examen. Le traitement peut prendre un moment : vérifiez de nouveau l'alerte avant de la considérer comme résolue.

Un partage hérité d'un dossier parent ne peut pas être supprimé au niveau du fichier. Elba garde cette alerte ouverte. Examinez le partage du dossier source dans Google Drive et modifiez-le à cet endroit si nécessaire.

Ce comportement s'applique aux nouvelles demandes de suppression. Il ne relance pas les anciennes demandes et ne revérifie pas automatiquement les alertes auparavant marquées Changements effectués. Pour une ancienne alerte à haut risque, vérifiez les accès actuels dans Google Drive avant de vous fier à ce statut.

Certaines anciennes alertes Google Drive contiennent un partage dont la suppression n'a pas été vérifiée. Elles restent visibles dans Alertes, mais les playbooks ne les distribuent ni ne les traitent automatiquement, même si une alerte contient aussi un partage plus récent. Vérifiez les accès actuels dans Google Drive avant de décider de la suite. Les alertes déjà distribuées restent attribuées aux employés et leurs rappels existants peuvent continuer. Les nouveaux partages détectés en dehors de ces alertes suivent le fonctionnement habituel des playbooks.

Configurer des playbooks

Les playbooks peuvent distribuer les alertes détectées et, lorsque cela est pris en charge, appliquer des actions de traitement. Les déclencheurs, conditions, exclusions et actions disponibles sont propres à la source sélectionnée.

Pour activer un processus en toute sécurité :

1. Connectez la source et laissez sa détection initiale se terminer.
2. Vérifiez le volume d'alertes et des ressources représentatives dans Alertes.
3. Sélectionnez ou créez un playbook pour la source.
4. Configurez les conditions de partage, de contenu, de risque, d'ancienneté, de format, de tag ou de destinataire proposées par l'éditeur.
5. Configurez des exclusions ou une liste d'autorisation lorsque cette fonction est prise en charge.
6. Vérifiez l'action, le public et tout délai avant l'activation.
7. Activez le playbook et surveillez son historique d'exécution.

La détection d'une alerte n'entraîne pas à elle seule l'envoi d'une notification à un employé. Le moment de la notification dépend de la distribution de l'alerte, de l'action du playbook et des paramètres de communication ; il n'existe pas de programmation universelle le vendredi ou de récapitulatif hebdomadaire.

Traitement par les employés

Les alertes distribuées apparaissent dans la Checklist de l'employé. Les actions disponibles dépendent de la source :

• Ignorer pour terminer l'alerte sans modifier la ressource source.
• Modifier les permissions pour sélectionner et supprimer les autorisations de partage prises en charge.
• Supprimer cette ressource lorsque la source prend en charge la suppression directe.
• Ouvrir la ressource dans la source et la modifier dans celle-ci lorsqu'un traitement direct n'est pas disponible.

Elba peut également proposer Rafraîchir pour les sources qui permettent de vérifier de nouveau la ressource. Si une connexion présente une erreur, les actions qui modifient la source peuvent être temporairement indisponibles.

Déploiement recommandé

1. Connectez une source et attendez la fin de la détection.
2. Examinez les expositions à haut risque et un échantillon d'alertes à risque plus faible.
3. Validez les éléments sensibles et les classifications de partage dans la source.
4. Configurez des exclusions pour les partages récurrents légitimes lorsque cela est pris en charge.
5. Distribuez un petit ensemble représentatif d'alertes et vérifiez l'expérience des employés.
6. N'ajoutez un traitement pris en charge par la source qu'après avoir confirmé la propriété des ressources et les procédures de retour en arrière.
7. Surveillez le résultat des alertes et affinez les conditions avant d'étendre le processus.