DLP et DRM: Enjeux, défis et opportunités pour la protection et le

contrôle de l'information

13 septembre 2011

Conférence-débat du CLUSIS “Prévenir la perte de données (DLP)”

@ IDHEAP, Lausanne

Prof. Jean-Henry Morin Université de Genève – CUI Institute of Services Science

Jean-Henry.Morin@unige.ch

2011 J.-H. Morin

Sommaire

•  Contexte et problématique

•  DLP & DRM : Les Enjeux

•  Défis

•  Paradoxe de la Confiance

•  Quelles Opportunités ?

2011 J.-H. Morin 3

Qui n’a JAMAIS « contourné » un politique de sécurité pour faire un travail légitime que des

systèmes vous empêchent de faire ?

2011 J.-H. Morin

53 % !!!

4

2011 J.-H. Morin 5

Secteur des Organisations

•  53% admettent contourner les politiques de sécurité de l’organisation pour pouvoir travailler (EMC RSA Security, 2008)

•  Parmi les raisons les plus citées de contourner les politiques de sécurité d’une l’organisation (Cisco, 2008)

a)  Ne correspond pas à la réalité opérationnelle ni à ce qui est demandé pour faire son travail

b)  Nécessité d’accéder à des applications ne faisant pas partie (ou pas autorisées par) des politiques IT de l’organisation pour travailler

•  Conséquences: accroissement des risques et des coûts

•  Requiert de la « créativité » pour faire son travail ! •  Augmentation du stress lié à des actions non autorisées •  Inefficacités •  Transgressions / violations : intracables

2011 J.-H. Morin 6

Faits et Chiffres

n  Tendances confirmées par les études suivantes

2011 J.-H. Morin 7

http://datalossdb.org/

http://www.privacyrights.org/data-breach Etc.

But most corporations do lose intellectual property through employees. Whether intentionally or inadvertently …

Gartner G2 News Analysis, Feb 25, 2003

A Deloitte & Touche auditor forgot in the seat pouch of an airplane an unencrypted CD holding data of 9’000 McAfee employees (names, social security #, shares of the company held)

Faits et Chiffres

2011 J.-H. Morin 8

Sécurité = Arbitrage

2011 J.-H. Morin

Facteur Humain !

9

IMG: J. Anderson

2011 J.-H. Morin 10

Facteur Humain (2)

La Sécurité se contourne, elle ne s’attaque pas Inspiré par Adi Shamir, Turing Award lecture, 2002!

2011 J.-H. Morin

Sécurité de l’Information

11

David Lacey, Managing the human factor in information security, John Wiley & Sons, 2009

2011 J.-H. Morin

Contexte

12

•  Entreprise Virtuelle Etendue & Cloud Computing

•  DLP

•  DRM / EDRM / IRM / ERM

2011 J.-H. Morin 13

La protection de l’information aujourd’hui La notion de Périmètre

•  Basée sur le “périmètre” et les Listes de Contrôle d’Accès (ACL). En dehors ? RIEN !!! (ou presque)

Mobile Worker

Corporate Network

VPN

2011 J.-H. Morin 14

La gestion des “politiques” aujourd’hui … encore un Vœux Pieux !

2011 J.-H. Morin 15

Data Loss Prevention (DLP)

•  Qu’est-ce que le Data Loss Prevention ?

•  Technologie de « détection d’extrusions » •  Permet d’identifier des informations « sensibles » par leurs

contenus (sniffing) selon 3 situations AVANT leurs « fuite » •  Data in Motion (DIM) : sur le réseau •  Data at Rest (DAR) : sur des serveurs de données, archivage •  Data in Usage (DIU) : sur des terminaux utilisateurs

•  Origine : •  Records Management : Gestion du cycle de vie de l’information

•  Où est-ce utilisé ? •  Secteur de l’Entreprise •  Nombreux acteurs et solutions

2011 J.-H. Morin 16

Digital Rights Management (DRM) Gestion des Droits Électoniques

•  Qu’est-ce que la technologie DRM ? •  Technologie permettant d’associer cryptographiquement des

Règles d’usage à des Contenus Numériques •  Ces règles gouvernent/régissent l’usage de ces contenus •  Le contenu devient protégé de façon persistante où qu’il soit

(superdistribution)

•  Exemples : •  Un contenu numérique ne peut pas être utilisé plus de 3 fois •  Destinataires d’un email ne peuvent pas FAIRE SUIVRE,

IMPRIMMER, COPIER un email •  Cette présentation EXPIRE le 13 sept 2011, à 17H30

•  Où est-ce utilisé ? •  Initialement dans le secteur du divertissement et des médias© •  Depuis 2003 : Secteur de l’Entreprise, suite aux scandales

financiers, questions de conformité, cadres régulatoires, PI, etc. •  Logiciels, jeux, etc.

2011 J.-H. Morin

DLP + DRM = DPM Questions clés pour les Organisations

•  Technologies pour la gestion électronique des droits et des politiques régissant l’utilisation de contenus au sens large de façon persistante: •  Permet une gestion responsable de l’utilisation de

contenus tant à l’intérieur qu’à l’extérieur du périmètre de l’Entreprise (firewall, VPN…)

•  Aide à la gestion des classifications (e.g. “confidentiel pour l’entreprise”, “comité de direction”, projets, etc.)

•  Aide à la gestion et la mise en conformité des cadres régulatoires et des politiques d’Entreprises

•  Sarbanes-Oxley, Basel II, HIPAA, NASD 2711, etc. •  Politiques de rétention (email,documents,etc.) •  Tracabilité (Traces d’audit, tracking, monitoring, mesure) •  Aide à la gestion des octrois / révocations des politiques

d’accès

2011 J.-H. Morin 18

Ce que DLP & DRM ne peuvent pas faire

•  Offrir une sécurité totale “ niveau militaire ” •  Juste équilibre entre la sécurité et un niveau de risque

“ commercialement viable ” •  La sécurité absolue n’existe pas

•  Protection contre les attaques “analogiques”(The Analog Hole, la passoire analogique)

2011 J.-H. Morin 19

Faits et Chiffres

Global Industry Analysts, Inc., April 2009

Global Digital Rights Management Market to Cross $2.4 Billion by 2015

The Radicati Group, 2010

Data Loss Prevention Market 25% yearly growth over 2010-2014

2011 J.-H. Morin 20

DLP & DRM Quels Rapports •  Information Protection & Control (IPC)

•  Deux faces d’une même médaille •  En amont, DLP : Prévention, détection •  En aval, DRM : Protection persistante

•  Limites : •  Standards et Interoperabilité •  DLP Partiellement couplées aux DRM •  Complexité •  Utilisabilité •  Informations non structurées

•  Nouveaux Défis ? •  Les netups, PME, projets ad-hoc, Entreprise Virtuelle Etendue,

etc. •  Data in the Cloud (DiC)

•  Transparence & Confiance

2011 J.-H. Morin

Un Paradoxe

On parle de Confiance (Trusted Computing) à l’ère

du numérique…

…mais tout l’édifice repose sur une hypothèse de “non-confiance”

http://zatoichi.homeip.net/~brain/TrustedComputing.jpg

2011 J.-H. Morin

Discussion

•  Les technologies DLP & DRM dans leurs formes actuelles sont elles adaptées ?

Manifestement NON !

•  Il faut rendre la confiance à l’individu, le libre arbitre de l’humain •  Pas en termes « calculable » •  Mais en termes de faisabilité (éclairée)

2011 J.-H. Morin 23

Can we “fix” it ? •  Considérant que :

•  La sécurité est nécessaire (notion de contenus gérés) •  Une sécurité absolue n’est ni réaliste ni désirable •  Avec une « expérience utilisateur » raisonnable, la

plupart des gens se conforment volontiers (e.g., iTunes) •  La plupart des gens ne sont pas des criminels

•  Nous devons prendre du recul pour : •  Repenser de façon critique la Sécurité •  Reconsidérer le débat en dehors des extrêmes (tout ou

rien, abolitionnistes et intégristes de la sécurité, etc.) •  Intégrer par Design ces questions

2011 J.-H. Morin 24 24

Repenser & Reconcevoir

•  Reconnaître le rôle central de l’utilisateur et de son « expérience » (QoE) •  Rétablir les utilisateurs dans leurs Rôles, Droits et

Responsabilités •  Présomption d’innocence & le fardeau de la preuve

•  Principe fondamental pour repenser et reconcevoir DRM « Copyright Balance principle » (Felten, 2005)

“Since lawful use, including fair use, of copyrighted works is in the public interest, a user wishing to make lawful use of copyrighted

material should not be prevented from doing so by any DRM system.”

•  Proposition : •  Rendre la Confiance aux utilisateurs •  Renverser l’hypothèse de Non-Confiance

•  Il s’agit d’un changement de paradigme majeur

Proposition : Un modèle de Gestion d’Exceptions

2011 J.-H. Morin 26 26

Proposition: La gestion d’exceptions

•  La Gestion d’Exceptions dans la sécurité: mélange explosif ? Pas nécessairement !

•  Renverser l’hypothèse de non-confiance replace l’utilisateur face à ses responsabilités

•  Permet aux utilisateurs de générer des demandes d’exception et de leurs accorder des licences de courte durée sur la base d’une trace auditable

•  Utiliser des Crédentiels comme « jetons » pour tracer et détecter les abus

•  Les crédentiels sont révocables de façon à gérer les situations d’abus

•  Reconnaissance mutuelle de la nécessité de Contenus Gérés tout en permettant à l’ensemble des acteurs une utilisation adaptable aux situations particulières.

2011 J.-H. Morin 27

La Gestion d’Exceptions dans des environnements de « contenus gérés »

•  Qu’est-ce qu’une Exception ? •  Une déclaration / demande faite par un utilisateur

souhaitant légitimement accéder ou utiliser une ressource.

•  Basé sur des modèles existants de crédentiels •  Modèle de délégation basé sur des autorités chainées •  Rapprochement entre des autorités de gestion de

crédentiels et les utilisateurs •  Gestion et possession locale des crédentiels (base

personnelle de crédentiels) •  Durée de vie courte ou limitée •  Révocables •  Détermination dynamique au moment du besoin

(enforcement point)

2011 J.-H. Morin 28

La Gestion d’Exceptions dans des environnements de « contenus gérés »

•  Modèle auditable pour les abus, incluant la possibilité de révocation

•  Fardeau de la preuve reposant sur la partie ayant une raison justifiable de croire qu’un abus s’est produit (présomption d’innocence)

•  Monitoring en (quasi) temps réel des politiques de sécurité

2011 J.-H. Morin

Principe et Scénario Général avec Gestion d’Exceptions

2011 J.-H. Morin

Transfert de Technologie

30

Partenariat avec Fasoo.com

•  Intégration du modèle de Gestion d’Exceptions •  Juin 2011 •  « Provisional License »

2011 J.-H. Morin

Perspectives futures

31

•  Nouvelle direction de recherche

• Systèmes autonomes, adaptatifs et artificielles immunes (Artificial Immune Systems, AIS) • Self-protecting content

•  Personal DRM •  Faible barrière à l’entrée • Ouvert • Distribué

2011 J.-H. Morin 32

Conclusion

•  La confiance présuppose de laisser le libre arbitre à l’humain (l’exception par design)

•  Elle n’est en revanche pas aveugle (gérée)

•  Nous sommes face à un défi MAJEUR de notre Société participative dématérialisée!

•  Une approche socialement responsable de la confiance à l’ère du numérique est-elle possible ?

•  … rejoignez la conversation !

2011 J.-H. Morin 33

Références

J.-H. Morin, “Rethinking DRM Using Exception Management”, chapter III in Handbook of Research on Secure Multimedia Distribution, S. Lian and Y. Zhang (Eds), Information Science Reference (ISR), ISBN: 978-1-60566-262-6, IGI Global, March 2009, pp 39-54.

http://www.igi-global.com/reference/details.asp?id=33143

J.-H. Morin, “Exception Based Enterprise Rights Management : Towards a Paradigm Shift in Information Security and Policy Management”, International Journal On Advances in Systems and Measurements, issn 1942-261x, vol. 1, no. 1, 2008, pp. 40-49.

http://www.iariajournals.org/systems_and_measurements/

Think Tank sur la Science des Services et l’Innovation Think Group Données, Société et Transparence (Dec 2010)

… rejoignez la conversation

2011 J.-H. Morin 34

N’oubliez pas !

M e r c i …

… Q & A

Contacts:

Prof. Jean-Henry Morin Université de Genève – CUI Institute of Services Science

http://iss.unige.ch/ Jean-Henry.Morin@unige.ch

@jhmorin

http://ch.linkedin.com/in/jhmorin

http://www.slideshare.net/jhmorin

http://jean-henry.com/