Détection des menaces internes pour les petites entreprises

Ce qui constitue une menace interne

Une menace interne est le risque qu'une personne disposant d'un accès légitime l'utilise — délibérément ou non — pour nuire à l'organisation. La Cybersecurity and Infrastructure Security Agency américaine définit un initié comme toute personne disposant ou ayant disposé d'un accès autorisé aux ressources d'une organisation, ou d'une connaissance de celles-ci, y compris son personnel, ses installations, ses informations, ses équipements, ses réseaux et ses systèmes. Le mot qui fait tout le travail ici est autorisé. Personne n'a besoin de s'introduire par effraction.

La distinction centrale de la CISA oppose le dommage involontaire et le dommage intentionnel, et elle signale par ailleurs deux situations qui traversent les deux catégories. Cela vous donne quatre étiquettes que vous rencontrerez en pratique — utile à savoir, car l'expression « les trois types de menaces internes » est répétée partout et ne correspond pas à la source :

Voici maintenant la partie que la plupart des articles sur ce sujet passent sous silence. Les incidents internes ne sont pas le moyen le plus courant par lequel une petite entreprise subit une violation de données, et vous devriez vous méfier de quiconque prétend le contraire. Le Data Breach Investigations Report 2026 de Verizon — bâti sur plus de 31,000 incidents réels — a identifié des acteurs internes dans 12% des violations, en baisse par rapport aux 18% de l'an dernier. Son panel dédié aux petites entreprises, couvrant des organisations de moins de 1,000 employés, attribue pratiquement toutes les violations à des acteurs externes à motivation financière.

Alors pourquoi consacrer tout un après-midi à cette question ? Parce que le profil de coût est inversé. L'étude 2026 du Ponemon Institute et de DTEX, Cost of Insider Risks, a constaté que les incidents internes prennent en moyenne 67 jours à contenir, pour un coût d'environ 747,000 dollars par incident dû à la négligence, 742,000 dollars par incident malveillant, et 842,000 dollars lorsqu'un acteur extérieur utilisait des identifiants volés. Les événements internes sont plus rares que le phishing, mais ils durent plus longtemps avant d'être remarqués, et ce qui s'en va est généralement la matière même sur laquelle l'entreprise est bâtie.

Pourquoi les départs sont le point de tension

Parce que le risque se concentre dans une fenêtre étroite et prévisible. Le Software Engineering Institute de Carnegie Mellon — la division CERT qui étudie les cas internes depuis deux décennies — l'a formulé sans détour dans son analyse des cas de vol de propriété intellectuelle : la plupart des initiés volent la PI dans les 30 jours suivant leur départ de l'organisation. Ce constat date de 2011, et il vaut la peine d'en souligner l'ancienneté ; il n'en reste pas moins, depuis lors, le principe organisateur de la pratique en matière de risque interne, et chaque rapport de télémétrie publié par un éditeur depuis lors regroupe son activité autour de cette même fenêtre de départ.

Cette seule phrase est plus utile opérationnellement que n'importe quel flux de renseignement sur les menaces qu'une petite entreprise pourrait acheter. Cela signifie que vous n'avez pas besoin d'une surveillance continue de tout le monde. Vous devez savoir quand quelqu'un s'apprête à partir, et surveiller la poignée de signaux pertinents pendant les semaines qui précèdent et qui suivent cette date.

Vérifiez les statistiques avant de construire votre plan autour d'elles

Trois chiffres dominent tous les articles consacrés au vol de données par des employés, et chacun est cité sous une forme qui l'exagère. Cela a des conséquences pratiques : si vous croyez que la moitié de votre personnel vole des données, vous achèterez le mauvais outil et vous traiterez mal vos employés en le faisant.

• « 45% des employés emportent des données lorsqu'ils quittent l'entreprise. » Une donnée réelle, mais il s'agit du sous-ensemble américain d'une enquête Tessian de mai 2020. Le chiffre global de cette même étude était de 34%, et le chiffre pour le Royaume-Uni de 23%. Cette précision disparaît presque à chaque fois que le chiffre est cité.
• « 72% des employés emportent des données de l'entreprise. » C'est une mauvaise lecture. Les 72% du rapport 2019 de Code42 correspondent à la part de responsables de la sécurité de l'information qui étaient d'accord avec l'affirmation ce ne sont pas seulement des données de l'entreprise, c'est mon travail — et mes idées. C'est un constat sur la façon dont les gens perçoivent la propriété, pas sur le nombre d'entre eux qui copient des fichiers.
• « 63% ont apporté des données provenant d'un employeur précédent. » Celui-ci repose sur une source réelle et vérifiable — le Global Data Exposure Report 2019, publié par Code42 en octobre 2019. Mais attention à la population étudiée, qui souffre du même biais que les 72% : les répondants étaient 1,028 responsables de la sécurité et 615 décideurs métier, et non un échantillon représentatif du personnel. Et cela décrit des personnes arrivant avec des données, ce qui est un risque différent de celui que vous essayez de détecter au moment du départ.

Le chiffre le plus défendable est celui de Cyberhaven Labs en 2022, et il l'est précisément parce qu'il s'agit de télémétrie observée plutôt que de déclaration spontanée : sur environ 1.4 million d'employés manipulant des données sensibles, 9.4% ont exfiltré des données sur une période de six mois. Le billet de blog portant ce chiffre a depuis été retiré — le rapport sous-jacent subsiste en téléchargement réservé — de sorte qu'il est aujourd'hui plus facile à vérifier via la couverture de presse de l'époque. Dans tous les cas, considérez-le comme daté. Le rapport d'enquêtes 2023 de DTEX situe à 12% la part des employés partants qui emportent de la propriété intellectuelle sensible.

Les directives de la CISA méritent aussi d'être intégrées ici : l'évaluation de la menace doit être fondée sur les comportements, et non sur des profils, et ces actes sont rarement spontanés — ils résultent d'une décision délibérée. Il n'existe aucun schéma démographique à surveiller, et en chercher un vous rendra à la fois dans l'erreur et injuste.

Comment les données sortent réellement

Les données sortent d'un petit réseau Windows par une liste de canaux courte et sans surprise. Ce qui compte sur le plan opérationnel, ce n'est pas le canal lui-même, mais le fait qu'il laisse ou non une trace que vous pouvez retrouver ensuite — et pour plusieurs d'entre eux, la réponse honnête est que non.

En termes MITRE ATT&CK, cela correspond à T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — la description de MITRE elle-même cite Dropbox et Google Docs) et T1114.003 (Email Forwarding Rule). L'analytique de détection de MITRE pour le cas de l'USB est l'insertion d'un périphérique USB suivie d'un accès à des fichiers volumineux ou sensibles et de leur mise en attente — ce qui correspond exactement à l'Event 6416 corrélé avec 4663, et exactement à ce que les sections suivantes mettent en place.

Avant de surveiller quoi que ce soit

Avant d'activer la moindre stratégie d'audit, rédigez l'avis. Ce n'est pas une note de bas de page réglementaire à régler plus tard — dans trois États américains, il s'agit d'une obligation légale qui s'applique avant même le début de la surveillance, et aucune de ces lois n'exempte les petits employeurs. Une entreprise de dix personnes à New York est couverte exactement comme le serait une entreprise de dix mille personnes.

Le socle fédéral, et le piège

L'Electronic Communications Privacy Act constitue le plancher fédéral. Deux exceptions font l'essentiel du travail pour les employeurs. L'exception relative au fournisseur de service, prévue à 18 U.S.C. § 2511(2)(a)(i), couvre l'interception sur vos propres installations lorsqu'elle est un incident nécessaire du service ou à la protection des droits ou des biens du fournisseur de ce service. Par ailleurs, § 2511(2)(d) fait du droit fédéral un régime de consentement d'une seule partie : licite lorsque l'une des parties à la communication a donné son consentement préalable.

Le levier pratique — bien réel, même s'il ne correspond pas à l'histoire simple et unifiée que l'on entend parfois — est qu'un accusé de réception signé de l'avis de surveillance remplit une double fonction. Le droit fédéral n'exige pas de consentement lorsque l'exception relative au fournisseur de service s'applique déjà, mais le consentement constitue la seconde voie, indépendante, prévue par § 2511(2)(d), et disposer des deux offre une position plus solide que de s'appuyer sur l'une ou l'autre seule. La même signature satisfait du même coup l'accusé de réception exigé par New York et le Delaware.

Cela ne couvre cependant pas tout, et trois lacunes méritent d'être signalées. Une signature seule ne suffit pas à remplir l'obligation d'affichage — New York exige à la fois l'avis sur le mur et l'accusé de réception, et dans le Connecticut, l'affichage est l'avis requis. La portée de l'exception relative au fournisseur de service résulte de la jurisprudence plutôt que d'une règle nette, si bien que « nous sommes propriétaires de l'ordinateur portable » constitue une bonne position de départ, mais pas une défense acquise. Et si vous enregistrez des appels, vérifiez séparément la loi de votre État sur les écoutes : plusieurs États exigent le consentement de toutes les parties, ce qui est plus strict que le plancher fédéral.

Si vous avez du personnel dans l'UE, la réponse s'inverse

Dans le cadre du GDPR, la base légale généralement retenue pour la surveillance sur le lieu de travail est l'intérêt légitime au titre de l'Article 6(1)(f) — et non le consentement. L'Article 29 Working Party a jugé dans son avis 2/2017 que les employés ne sont presque jamais en position de donner, refuser ou révoquer librement leur consentement et que le consentement est hautement improbable en tant que base légale pour le traitement de données au travail. C'est exactement l'inverse de la position américaine, où une signature constitue votre meilleure défense.

L'intérêt légitime suppose un test documenté en trois volets — une finalité précise, une nécessité réelle sans alternative moins intrusive, et un exercice de mise en balance avec les droits des employés — et l'Article 21 donne à chaque employé un droit d'opposition. Une analyse d'impact relative à la protection des données est requise lorsque la surveillance est systématique et susceptible de présenter un risque élevé — une qualification que les régulateurs nationaux appliquent de façon constante à la surveillance continue des employés. L'Article 88 permet en outre aux États membres d'imposer des règles nationales plus strictes, si bien que l'Allemagne, la France et les Pays-Bas, en particulier, vont plus loin que le socle du GDPR.

Le dispositif de détection à coût nul

Pour détecter les canaux d'exfiltration les plus courants, vous pouvez commencer par des paramètres de Stratégie de groupe fournis avec Windows et qui ne coûtent rien. Voici l'ordre qui offre la meilleure couverture pour le moins d'effort.

1. Audit Removable Storage — le paramètre le plus rentable à lui seul

C'est celui-là qu'il faut activer en premier, et la raison tient à un détail que Microsoft énonce dans sa propre documentation et que presque personne ne répète : Un événement d'audit de sécurité est généré pour tous les objets et tous les types d'accès demandés, sans dépendance à la SACL de l'objet.

Relisez cette phrase si vous avez déjà essayé de mettre en place l'audit de fichiers. L'audit ordinaire du système de fichiers reste inerte tant que vous n'avez pas configuré de listes de contrôle d'accès système sur chaque dossier qui vous importe — Microsoft précise explicitement qu'aucun événement d'audit n'est généré pour les SACL par défaut du système de fichiers. Audit Removable Storage s'affranchit de tout cela. Activez-le, et vous obtenez un événement 4663 pour chaque fichier lu depuis ou écrit sur un périphérique USB, sur chaque machine, sans aucun réglage dossier par dossier. Les recommandations de Microsoft l'évaluent à Success et Failure aussi bien sur les postes de travail que sur les serveurs membres et les contrôleurs de domaine, alors qu'Audit File System n'est évalué qu'à « si nécessaire ».

2. Audit PNP Activity — savoir quand un périphérique est apparu

Celui-ci se trouve sous Detailed Tracking, et non sous Object Access — un détail qui fait perdre dix minutes à fouiller dans l'arborescence des stratégies. Il génère l'Event ID 6416, « A new external device was recognized by the System », sur Windows 10 et Server 2016 ou version ultérieure. La charge utile transporte le chemin d'instance du périphérique, les ID de fabricant et un ClassName — filtrez sur DiskDrive pour distinguer le stockage des claviers et des souris. Microsoft évalue le volume comme généralement faible et ajoute un conseil de réglage utile : le signaler chaque fois que le Subject Security ID n'est pas SYSTEM. Notez la limite — 6416 enregistre l'insertion et l'activation, pas le retrait, donc cela ne vous dira pas combien de temps une clé est restée branchée.

3. Audit Logon — repérer les connexions hors horaires

L'Event ID 4624 enregistre les connexions réussies avec un Logon Type : 2 pour une connexion interactive au clavier, 3 pour le réseau, 10 pour le RDP, 7 pour un déverrouillage. Microsoft valide explicitement ce cas d'usage : vous pourriez avoir besoin de surveiller l'utilisation d'un compte en dehors des heures de travail. Une connexion de type 10 un samedi soir, provenant d'un compte qui n'a jamais travaillé le week-end, est l'alerte à fort signal la moins coûteuse que vous puissiez jamais mettre en place.

4. Les SACL, mais seulement là où elles se justifient

Pour les deux ou trois partages qui contiennent réellement vos joyaux de la couronne, ajoutez une SACL et activez Audit File System. Une réserve à connaître : la liste des types d'accès à surveiller recommandée par Microsoft couvre les écritures, les suppressions et les changements de permissions — mais pas ReadData. Or la lecture, c'est justement à quoi ressemble un vol, donc ajoutez-la délibérément. Microsoft déconseille aussi une activation générale, et elle a raison : mettez une SACL sur un serveur de fichiers entier et vous serez noyé, puis vous arrêterez de regarder — ce qui est pire que de ne rien journaliser du tout.

5. Augmentez la taille du journal, puis programmez réellement la revue

Le journal de sécurité par défaut est rapidement écrasé dès que les événements 4663 commencent à affluer, et un journal qui a déjà écrasé les preuves n'est pas un contrôle. Augmentez d'abord sa taille. Programmez ensuite un rendez-vous mensuel récurrent dans le calendrier — événements USB, connexions hors horaires, toute nouvelle règle de transfert de messagerie. La détection est une habitude, pas une case à cocher ; une journalisation que personne ne lit n'a jamais permis d'attraper qui que ce soit.

Un ajout gratuit qui mérite l'installation : Sysmon, tiré de la suite Sysinternals de Microsoft, comble plusieurs des lacunes ci-dessus. L'Event 3 journalise les connexions réseau associées à un processus — il est désactivé tant que vous ne le configurez pas — et l'Event 22 journalise les requêtes DNS, de sorte qu'une résolution vers un domaine de partage de fichiers grand public devient visible. L'Event 9 capture les lectures brutes du disque, dont Microsoft note qu'elles sont utilisées pour contourner les outils d'audit d'accès aux fichiers. Ces trois-là sont ceux qui méritent d'être exécutés en continu.

Sysmon peut aussi journaliser les modifications du presse-papiers (Event 24), et vous devriez réfléchir sérieusement avant d'activer cette option. Les presse-papiers transportent des mots de passe, des messages personnels et des données appartenant à d'autres personnes, et les capturer est une démarche nettement plus intrusive que de journaliser le déplacement d'un fichier. Si vous l'activez malgré tout, précisez-le explicitement dans l'avis de surveillance plutôt que de le noyer sous une description générale — la divulgation doit correspondre à ce que vous collectez réellement, sinon l'avis ne remplit pas son rôle.

Ce que Windows ne peut pas voir

Windows ne peut pas voir à l'intérieur du trafic chiffré, et cette seule limite définit la frontière du dispositif gratuit. Être franc là-dessus compte plus qu'une énième liste de fonctionnalités, car un contrôle que vous croyez à tort posséder est pire qu'un contrôle dont vous savez qu'il vous manque.

• Les charges utiles HTTPS. Chaque envoi vers un webmail, chaque synchronisation cloud grand public et chaque application de messagerie est opaque. Vous pouvez voir qu'une connexion a eu lieu ; vous ne verrez pas ce qui est passé à travers.
• Le trafic sortant attribué. La journalisation du pare-feu Windows est désactivée par défaut, et même activée, elle enregistre des tuples de connexion — pas quel processus ni quel utilisateur en est à l'origine.
• Quel fichier est allé où. Windows journalise les lectures de fichiers et les envois réseau indépendamment, et ne les corrèle jamais. Relier ces deux moitiés, c'est précisément à cela que servent les outils de prévention de la perte de données (DLP).
• Un appareil photo de téléphone pointé sur l'écran. Aucune trace, aucun contrôle, aucun produit. C'est le plus ancien canal d'exfiltration, et il reste sans solution.

Deux erreurs que l'on trouve partout en ligne

Premièrement, la durée de session. Beaucoup de guides suggèrent d'associer l'événement de connexion 4624 à l'événement de déconnexion 4634 pour mesurer combien de temps quelqu'un a travaillé. Microsoft documente ce cas d'usage, mais y attache un avertissement que la plupart des articles omettent : Les événements de déconnexion ne sont pas fiables à 100 %. Par exemple, l'ordinateur peut être éteint sans déconnexion et arrêt en bonne et due forme ; dans ce cas, aucun événement de déconnexion n'est généré. La durée de session est une tendance raisonnable à observer ; construisez-en une alerte stricte et elle se déclenchera pour des personnes qui ont simplement fermé leur ordinateur portable.

Deuxièmement, la journalisation des impressions. Activer le journal opérationnel PrintService est généralement présenté comme donnant un enregistrement de ce qui a été imprimé. Cela vous donne l'Event 307 avec le travail d'impression — mais le nom du document est masqué par la chaîne littérale « Print Document » tant que vous n'avez pas modifié un paramètre distinct. Activez le journal, imprimez une page de test, et vérifiez le nom avant de vous y fier.

Il existe aussi deux affirmations largement répandues en matière de criminalistique USB — un ensemble d'ID d'événements DriverFrameworks pour le branchement et le débranchement, et un événement de diagnostic Partition transportant les numéros de série des périphériques — qui apparaissent dans des dizaines d'articles de blog mais ne sont documentées nulle part par Microsoft, et le journal concerné est désactivé par défaut. Il se peut très bien qu'elles fonctionnent. Ne construisez pas un contrôle dessus sans les avoir d'abord testées sur votre propre matériel.

Quand l'outillage devient rentable

Un outil devient rentable au moment où le dispositif gratuit cesse de répondre aux questions que vous vous posez réellement — généralement lorsque vous avez besoin de visibilité sur les envois chiffrés, ou lorsque examiner les journaux d'événements bruts à la main cesse d'être réaliste. Voici une comparaison honnête à l'échelle de 10 à 50 PC.

Ce qui pousse la plupart des petites entreprises à sortir du palier gratuit n'est pas la capacité de détection, mais la lisibilité. Windows enregistrera sans broncher des milliers d'événements 4663 ; les transformer en « voici ce que cette personne a fait au cours des deux dernières semaines » est un travail manuel que personne ne tient dans la durée. C'est le rôle que joue la surveillance déclarée de l'activité sur les machines de l'entreprise — et cela ne fonctionne, légalement et culturellement, que sur la base de la divulgation exposée plus haut.

Quel que soit votre choix, appliquez-le à tout le monde au même niveau plutôt que de cibler la seule personne que vous soupçonnez. C'est dans la surveillance ciblée et secrète d'un seul employé que réside l'exposition juridique, et c'est aussi ainsi que vous détruisez la confiance des neuf autres collègues qui l'apprennent plus tard.

La liste de contrôle de départ et la première heure

Étant donné que la plupart des vols de propriété intellectuelle surviennent dans les 30 jours suivant le départ, la liste de contrôle ci-dessous vaut plus que n'importe quel outil de la liste précédente. Tout le monde dit « révoquer l'accès immédiatement » ; presque personne n'écrit ce que cela signifie concrètement.

• Désactivez le compte, ne le supprimez pas. La suppression détruit la piste d'audit et toute boîte aux lettres dont vous pourriez avoir besoin plus tard.
• Révoquez les sessions actives et les jetons, pas seulement le mot de passe. Une session ouverte sur un téléphone personnel survit à un changement de mot de passe.
• Vérifiez les règles de transfert de la messagerie — à la fois le transfert au niveau de la boîte aux lettres et les règles de boîte de réception. Des règles peuvent être créées de façon à ne pas s'afficher dans Outlook, vérifiez donc côté serveur.
• Récupérez le journal d'audit maintenant, pas plus tard. Microsoft 365 Audit (Standard) conserve les enregistrements pendant 180 jours par défaut — mais l'ancienne recherche d'audit d'administration, désormais obsolète, ne remonte qu'à 90 jours, et la durée de rétention varie selon la licence. Exportez ce dont vous avez besoin plutôt que de faire confiance à sa présence au trimestre prochain.
• Déconnectez les clients de synchronisation cloud personnels de la machine et vérifiez quels dossiers étaient synchronisés.
• Faites tourner les identifiants partagés — la clé Wi-Fi, le compte administrateur partagé, les comptes que personne n'a encore pris le temps de doter d'identifiants individuels. Dans une petite entreprise, c'est généralement le point le plus long de la liste.
• Récupérez le matériel, y compris tout disque ou dongle détenu à titre personnel, et consignez ce qui a été rendu.
• Conservez l'appareil de la personne qui part intact pendant deux semaines avant de le réinitialiser, si le départ s'est fait dans un climat un tant soit peu tendu.
• Menez l'entretien de départ avec l'accord de propriété intellectuelle en main. La division CERT de Carnegie Mellon recommande depuis longtemps de profiter de l'entretien de départ pour repasser avec la personne l'accord qu'elle a signé, et lui faire en accuser réception à nouveau. Cela prend dix minutes, et c'est le seul point de cette liste qui s'attaque à l'intention plutôt qu'à l'opportunité.

Si vous pensez que cela se passe en ce moment même

Préservez d'abord, enquêtez ensuite, agissez en troisième lieu — dans cet ordre précis, car l'instinct naturel inverse les trois.

1. N'éteignez pas la machine. La mettre hors tension fait perdre tout ce qui se trouve en mémoire et peut déclencher un nettoyage à l'extinction. Isolez-la plutôt du réseau et laissez-la allumée.
2. Ne fouillez pas dedans. Chaque dossier que vous ouvrez réécrit les horodatages d'accès — les mêmes métadonnées sur lesquelles vous vous appuieriez plus tard. Si l'affaire risque de se retrouver devant quelqu'un, faites d'abord réaliser une image disque.
3. Capturez les journaux avant qu'ils ne soient écrasés. Exportez immédiatement le journal de sécurité du poste ainsi que la recherche d'audit Microsoft 365 pertinente.
4. N'ouvrez jamais ses comptes personnels. Des identifiants enregistrés dans un navigateur de l'entreprise ne vous donnent aucune autorisation, et c'est en les utilisant que la position solide d'un employeur s'effondre.
5. Appelez un avocat avant de confronter qui que ce soit. Une conversation menée sur la base de preuves incomplètes alerte justement la seule personne qui peut encore supprimer des éléments — et si vous vous trompez, vous aurez accusé un employé d'un délit.

Rien de tout cela ne nécessite une équipe de sécurité. Cela demande de décider, avant que quoi que ce soit ne se produise, de faire correctement la version la moins spectaculaire des choses : l'avis signé dès le premier jour, trois stratégies d'audit activées, une liste de contrôle appliquée à chaque départ, et une heure par mois réellement consacrée à regarder. C'est à cela que ressemble la détection des menaces internes à cette échelle, et c'est entièrement à votre portée.

Questions fréquentes