Tout le monde souhaite que la sécurité des données soit plus facile.
Moins d'étapes. Moins de configuration. Des réponses plus claires. Des investigations plus rapides. Moins de travail lors de la transition entre les outils.
Ce sont des attentes raisonnables. La technologie de sécurité devrait réduire les frictions opérationnelles, et non les aggraver.
Mais la notion de “facilité” devient plus difficile à définir lorsque l'environnement lui-même est complexe. Données sensibles Cela peut concerner les services cloud, les applications SaaS, les bases de données, les entrepôts de données, les partages de fichiers, les systèmes de collaboration, les environnements de développement, l'infrastructure sur site, les pipelines d'IA, les bases de données vectorielles, les copilotes et les agents. L'accès peut s'effectuer par le biais d'utilisateurs, de groupes, d'applications, etc., comptes de service, identités de machines, permissions héritées, et les systèmes d'IA.
Une interface plus simple ne fait pas disparaître ces relations.
L'objectif de la sécurité des données n'est pas de simplifier l'environnement, mais de rendre le risque suffisamment clair pour permettre d'agir en conséquence.
Que signifie “ facile ” en matière de sécurité des données ?
- La facilité dépend du contexte. Un analyste, un administrateur, un RSSI, un propriétaire de données, un spécialiste de la protection de la vie privée et une équipe d'identité peuvent définir la facilité différemment.
- La complexité ne provient pas uniquement du produit. Les environnements d'entreprise présentent une complexité réelle en matière de données, d'identité, d'accès, de politiques, d'infrastructure, de cycle de vie et d'IA.
- Simplicité et simplification excessive sont différentes. Une bonne technologie permet d'éliminer le travail inutile sans supprimer le contexte qui influence la décision en matière de sécurité.
- Demandez-vous où est passée la complexité. Une interface simple peut néanmoins laisser l'investigation, la réconciliation, la gestion des responsabilités, les politiques et la correction à d'autres outils et équipes.
- Une configuration doit avoir un but. Les acheteurs doivent faire la distinction entre les frictions inutiles liées au produit et l'adaptation nécessaire en raison des données, politiques, risques et exigences commerciales propres à l'entreprise.
- La profondeur devrait engendrer la clarté. Le contexte prend toute son importance lorsqu'il réduit l'incertitude et aide les gens à prendre la bonne décision avec moins d'efforts manuels.
Pourquoi la sécurité des données d'entreprise semble-t-elle complexe ?
La sécurité des données d'entreprise paraît complexe car les environnements de données d'entreprise sont complexes.
Un même ensemble de données sensibles peut exister en plusieurs copies, se déplacer entre les systèmes cloud et SaaS, hériter d'un accès de plusieurs groupes, alimenter des applications d'analyse, être soumis à des exigences de confidentialité et de conservation, et devenir accessible à une application d'IA par le biais d'une récupération ou d'un agent.
Les différentes équipes ont une vision distincte de cet environnement. L'équipe Sécurité gère l'exposition des données. L'équipe Identité gère les autorisations. L'équipe Confidentialité gère les informations personnelles et leur traitement. L'équipe Gouvernance gère la propriété et la traçabilité. Les équipes Cycle de vie gèrent la conservation des données. Les équipes IA gèrent les modèles, les ensembles de données, les agents, les chemins de récupération et les actions.
Le risque découle souvent de la manière dont ces éléments s'articulent.
La complexité devient dangereuse lorsqu'une organisation ne parvient pas à comprendre suffisamment clairement ces relations pour décider de ce qui compte et de ce qui doit changer.
Que signifie réellement le terme “ facile ” en matière de sécurité des données ?
La facilité d'utilisation en matière de sécurité des données correspond à l'effort requis pour qu'un utilisateur compétent passe d'une question de sécurité à une décision et une action fiables.
“ Facile à utiliser ” semble objectif jusqu'à ce qu'on se demande qui a besoin d'utiliser la plateforme et ce qu'ils doivent accomplir.
Pour un analyste de sécurité, la simplicité peut signifier enquêter sur une vulnérabilité sans avoir à collecter manuellement des preuves sur cinq systèmes. Pour un administrateur, cela peut se traduire par un déploiement aisé et une maintenance réduite. Pour un RSSI, cela peut signifier obtenir une réponse fiable sans attendre que plusieurs équipes concordent leurs conclusions.
Un responsable de données peut simplement vouloir comprendre l'importance d'un problème et les mesures que l'équipe de sécurité doit prendre. Un spécialiste de la protection des données, quant à lui, peut accorder de l'importance au contexte des données, qui influence les processus de conservation, de gestion des droits, de politiques et de conformité.
Chaque définition peut être valable.
Cela suggère une question plus pertinente que “ La plateforme est-elle facile à utiliser ? ”
Facile pour qui, pour accomplir quoi, et sur quelle partie du flux de travail ?
Cette question transforme une impression subjective en quelque chose que les organisations peuvent réellement évaluer.
Trois types de complexité sont importants.
L'une des raisons pour lesquelles les discussions sur la facilité deviennent confuses est que différents types de complexité sont traités comme s'il s'agissait d'un seul et même problème.
Trois types de complexité
La complexité ne provient pas uniquement de la plateforme.
Complexité de l'entreprise
Sources de données, infrastructure, identités, autorisations, politiques, réglementations, unités commerciales, exigences du cycle de vie et systèmes d'IA.
Complexité du produit
Déploiement, configuration, administration, flux de travail, contrôles, maintenance, formation et expérience utilisateur.
Complexité opérationnelle
Enquête, réconciliation, changement d'outils, propriété, transferts, remédiation, approbations et preuves.
L'objectif : Réduire la complexité des produits et des opérations tout en préservant le contexte d'entreprise nécessaire à la compréhension des risques.
Complexité de l'entreprise
La complexité d'une entreprise provient de son organisation même.
Des années d'adoption technologique créent des bases de données, des plateformes cloud, des applications SaaS, des systèmes de fichiers, des environnements analytiques, des outils de collaboration, des pipelines de données, identités, Politiques, autorisations et désormais systèmes d'IA. Fusions, acquisitions, expansion géographique, réglementation et décisions technologiques décentralisées multiplient les relations.
Une grande partie de cette complexité provient de l'entreprise elle-même plutôt que de la plateforme de sécurité. La question est de savoir dans quelle mesure la plateforme aide efficacement l'organisation à la comprendre et à la maîtriser sans y ajouter sa propre complexité inutile.
Complexité du produit
La complexité d'un produit provient de la technologie utilisée pour résoudre le problème.
La configuration, l'administration, les exigences de déploiement, les flux de travail complexes, les commandes confuses, les étapes inutiles, la maintenance et la formation peuvent tous créer des frictions légitimes.
Les organisations doivent analyser en profondeur ces points de friction. La maîtrise des fonctionnalités ne saurait justifier une mauvaise expérience utilisateur.
Une plateforme performante doit automatiser les tâches courantes, fournir des valeurs par défaut utiles, expliquer clairement les résultats, réduire le travail répétitif et rendre les fonctionnalités sophistiquées accessibles aux personnes qui en ont besoin.
Complexité opérationnelle
La complexité opérationnelle reçoit souvent moins d'attention car une grande partie se déroule en dehors du produit.
Un analyste de sécurité peut découvrir une vulnérabilité sur une plateforme, examiner les autorisations ailleurs, identifier le propriétaire via un autre système, vérifier l'activité dans un outil distinct, consulter une politique ou un système de conservation, ouvrir un ticket, contacter une autre équipe et utiliser une autre technologie encore pour modifier la situation.
La facilité d'utilisation doit donc être mesurée tout au long du flux de travail, et non dès le premier écran.
Simplicité et simplification excessive ne sont pas la même chose.
Une bonne technologie de sécurité simplifie le travail. Elle automatise les tâches répétitives, organise les preuves, relie les éléments de contexte pertinents, explique les priorités et aide les personnes à agir.
La simplification excessive a un effet différent. Elle élimine les variables susceptibles d'influencer sensiblement la décision.
Prenons l'exemple d'un référentiel contenant des informations clients sensibles à large accès. Il est important de savoir que cette exposition existe. Mais décider des mesures à prendre peut également nécessiter de savoir qui peut accéder aux données, comment cet accès a été obtenu, si quelqu'un les utilise réellement, à qui elles appartiennent, si l'organisation en a encore besoin, si des obligations de conservation s'appliquent, si un système d'IA peut les récupérer et quelle politique régit leur utilisation.
Ces détails apportent des informations supplémentaires, mais ils peuvent aussi réduire l'incertitude.
La simplicité, lorsqu'elle est bien pensée, réduit le travail nécessaire à la prise de décision. Elle ne supprime pas pour autant les éléments de preuve sur lesquels repose cette décision.
Où est passée la complexité ?
Il s'agit peut-être de la question la plus utile que les organisations puissent se poser lorsqu'elles évaluent un produit de sécurité “ facile ”.
Une plateforme peut paraître simple car elle automatise véritablement les tâches complexes. C'est ce qui crée une réelle valeur ajoutée.
Cela peut aussi paraître simple parce que le travail se déroule ailleurs.
Si une découverte nécessite qu'un analyste exporte des données, interroge un système d'identité, consulte un catalogue, identifie un propriétaire, enquête sur une activité, vérifie les exigences de conservation, détermine si l'IA y a accès, ouvre un ticket et utilise un autre outil pour résoudre le problème, la plateforme n'a pas éliminé la complexité.
L'organisation en est toujours propriétaire.
Pour évaluer la simplicité, demandez-vous où est passée la complexité.
La plateforme a-t-elle automatisé le processus ? A-t-elle fourni le contexte nécessaire ? A-t-elle permis de supprimer une étape ? Ou a-t-elle déplacé la tâche vers un autre outil, une autre équipe, une autre feuille de calcul ou un autre ticket ?
Tester le flux de travail complet
Peut-on passer de l'analyse des risques liés aux données à l'action sans reconstituer le contexte ?
Utilisez l'outil interactif d'évaluation de la sécurité des données de BigID pour tester vos décisions en matière de découverte, de classification, d'exposition, d'accès, de priorisation et de correction.
Répondez au questionnaire d'évaluation de la sécurité des données en 15 minutes →
Configuration : Friction du produit ou adaptation nécessaire ?
La configuration mérite d'être examinée avec attention. Une configuration excessive engendre des coûts réels, retarde l'adoption et complique l'exploitation de la technologie.
Mais la configuration en elle-même ne vous indique pas si une plateforme est inutilement complexe.
Les entreprises possèdent une terminologie propriétaire, des types de données personnalisés, des référentiels spécialisés, des niveaux de tolérance au risque différents, des politiques internes, des modèles de propriété et des exigences propres à leur secteur d'activité. Une classification ou un modèle de risque générique peut convenir dans la plupart des cas, sans pour autant refléter pleinement les spécificités d'une organisation donnée.
La distinction utile est entre une configuration est nécessaire car le produit génère un travail inutile et Une adaptation est nécessaire car l'organisation a des exigences spécifiques..
Ne considérez pas les étapes de configuration isolément. Demandez-vous plutôt ce que chacune élimine, automatise ou améliore la précision des étapes suivantes. Cela compense-t-il une limitation ? Ou cela apporte-t-il à la plateforme des informations pertinentes sur les données, la politique, les risques ou l’activité de l’organisation ?
Une plateforme mature doit automatiser les tâches courantes tout en laissant aux organisations le contrôle lorsque leurs besoins diffèrent.
La classification démontre pourquoi le contexte de l'entreprise est important.
Les identifiants communs sont relativement faciles à classer. Les informations confidentielles d'une entreprise, en revanche, le sont rarement.
Le code source, les contrats, la propriété intellectuelle, la stratégie confidentielle, la recherche, les conceptions de produits, les documents internes, les qualifications et les combinaisons d'informations spécifiques à l'entreprise peuvent nécessiter un contexte supplémentaire.
Un utile classification des données Cette approche doit donc trouver un équilibre entre l'automatisation et la capacité à comprendre les informations spécifiques à l'organisation.
L'objectif n'est pas d'obtenir une configuration maximale ou minimale.
L'objectif est de fournir un contexte fiable qui permette à l'organisation de distinguer les données pertinentes du bruit et d'utiliser cette compréhension en aval.
Ce contexte peut alors soutenir découverte et classification, la sécurité, la confidentialité, la gouvernance, le cycle de vie et les flux de travail d'IA sans exiger que chaque équipe élabore une interprétation distincte de la même information.
Plus de contexte devrait réduire la charge cognitive
Plus d'informations ne créent pas automatiquement une meilleure expérience.
Si une plateforme comprend la sensibilité, l'exposition, l'identité, l'accès, l'activité, la propriété, la politique, le cycle de vie et le contexte commercial, mais exige que l'utilisateur assemble manuellement ces signaux, la plateforme a transféré le travail cognitif à l'analyste.
Le contexte prend toute son importance lorsqu'il permet de répondre à la question suivante.
Pourquoi cette exposition est-elle importante ? Qui ou quoi peut accéder aux données ? Comment l’accès a-t-il eu lieu ? Quelqu’un les utilise-t-il ? À qui appartiennent ces informations ? L’organisation en a-t-elle encore besoin ? L’IA peut-elle les récupérer ? Que faut-il changer ?
Une plateforme utile devrait progressivement restreindre ces questions plutôt que de créer une nouvelle série de tableaux de bord à interpréter.
La profondeur crée de la valeur lorsqu'elle réduit le nombre de questions sans réponse entre la découverte et l'action.
Une plateforme large n'exige pas un point de départ large
L'étendue de la plateforme peut créer une autre forme de complexité perçue.
Si un plateforme de sécurité des données Si la solution prend en charge les cas d'utilisation liés à la sécurité, la confidentialité, la gouvernance, l'identité, le cycle de vie, l'IA et la remédiation, les acheteurs peuvent supposer qu'ils doivent tout mettre en œuvre simultanément.
Non.
Une organisation peut commencer par un résultat concret : découvrir des données sensibles, identifier les accès excessifs, réduire l’exposition publique, protéger les informations accessibles à l’IA ou remédier à une catégorie de risque spécifique.
Le périmètre de mise en œuvre peut rester ciblé même lorsque la plateforme sous-jacente prend en charge des exigences supplémentaires.
L'étendue de la plateforme et la portée de l'implémentation sont deux choses différentes.
L'avantage d'une base plus large se manifeste lorsque le problème initial rejoint une autre exigence. L'organisation peut alors réutiliser les données existantes au lieu de recommencer à zéro un travail de découverte, de classification, de gestion des droits ou d'accès.
La vitesse compte toujours, mais c'est une autre question.
Les équipes de sécurité doivent s'attendre à ce que la technologie produise des résultats utiles de manière efficace. La rapidité de déploiement, les performances d'analyse et le délai de rentabilisation sont autant d'éléments qui méritent d'être évalués.
Mais ces questions ne doivent pas servir de prétexte à la facilité d'utilisation ou à la simplicité.
Nous examinons en détail la couverture, le contexte, la priorisation, la remédiation et la rapidité de la décision dans notre guide sur Délai de mise en valeur du DSPM.
En termes de complexité, la question est différente :
Dans quelle mesure la plateforme élimine-t-elle le travail entre l'utilisateur et le résultat ?
L'IA rend la complexité cachée plus difficile à ignorer.
L'IA crée de nouvelles relations entre les données, les identités, les autorisations, les applications, les systèmes de récupération, les outils et les actions.
Un agent d'IA peut s'authentifier via une identité, hériter des autorisations d'un autre compte, récupérer des informations provenant de plusieurs systèmes, combiner des données sensibles en contexte et agir via des outils connectés. Une application RAG permet de rendre accessibles des informations auparavant stockées dans un référentiel d'entreprise.
L'utilisateur n'a pas besoin que toutes les relations techniques lui soient présentées simultanément. En revanche, le système de sécurité peut avoir besoin de comprendre ces relations pour déterminer les limites et les actions possibles de l'IA.
C'est une distinction importante.
Une bonne expérience utilisateur n'exige pas que le problème de sécurité sous-jacent soit superficiel. Elle exige simplement que la plateforme transforme la complexité en clarté.
Moderne Sécurité des données de l'IA Cela nécessite de plus en plus de connecter les systèmes d'IA aux données sensibles, à l'identité, à l'accès, à la traçabilité, à la propriété, à l'activité, aux politiques, à l'exposition et à la remédiation.
Approfondissez vos connaissances : Découvrez comment BigID connecte les ressources d'IA aux données sensibles, aux accès, aux politiques et aux contrôles de cycle de vie dans le Présentation de la solution de sécurité et de gouvernance des données IA.
Comment les organisations doivent-elles évaluer la facilité d'utilisation de la sécurité des données ?
N'évaluez pas la facilité d'utilisation uniquement lors d'une démonstration guidée. Confiez à des utilisateurs représentatifs une tâche représentative et suivez le flux de travail complet.
| Au lieu de demander | Testez ceci |
|---|---|
| L'interface vous semble-t-elle simple ? | Les utilisateurs représentatifs peuvent-ils accomplir des tâches importantes sans étapes inutiles ? |
| Quel niveau de configuration est requis ? | Quelle configuration crée un contexte d'entreprise pertinent et laquelle engendre du travail inutile ? |
| Dans quel délai obtiendrai-je un rapport ? | Combien d'enquêtes restent à mener avant de pouvoir décider de la marche à suivre ? |
| Combien de fonctionnalités possède-t-il ? | Quelles sont les fonctionnalités qui permettent de réduire le travail dans le flux de travail dont vous avez réellement besoin ? |
| Combien d'intégrations sont disponibles ? | Combien de transferts manuels ces intégrations permettent-elles d'éliminer ? |
| La plateforme peut-elle remédier au problème ? | Les équipes peuvent-elles passer de la constatation à la mise en œuvre de mesures correctives tout en préservant le contexte, la responsabilité et les preuves ? |
| La plateforme couvre-t-elle de nombreux cas d'utilisation ? | L'organisation peut-elle démarrer avec un objectif précis et se développer sans reconstruire son infrastructure de données ? |
Sept questions à se poser avant de qualifier une plateforme de sécurité des données de “ facile ”
- Facile pour qui ? Testez l'expérience auprès des analystes, administrateurs, propriétaires et parties prenantes qui y participeront réellement.
- Facile à accomplir quoi ? Définissez le résultat attendu en matière de sécurité avant de juger le flux de travail.
- Où est passée la complexité ? Déterminez si la plateforme a automatisé le travail ou l'a transféré à un autre outil, une autre personne, une autre feuille de calcul ou un autre processus.
- Qu’est-ce qui nécessite une configuration, et pourquoi ? Distinguer les frictions évitables liées au produit de l'adaptation légitime de l'entreprise.
- Quel contexte accompagne cette découverte ? Mesurer le niveau d'enquête manuelle restant avant qu'une décision puisse être prise.
- Où s'arrête le flux de travail ? Suivez le processus de résolution du problème en passant par l'identification des responsabilités, la priorisation, la correction et la collecte de preuves, plutôt que de vous arrêter à la phase de découverte.
- Peut-on commencer en se concentrant sans avoir à recommencer plus tard ? Déterminer si le cas d'utilisation initial peut rester simple tandis que l'intelligence des données sous-jacente prend en charge les exigences futures.
Mettez les questions au travail
Découvrez comment BigID transforme la complexité des données en contexte de sécurité
Découvrez comment BigID relie la découverte, la classification, l'identité, l'accès, l'activité, le risque et la remédiation afin que les équipes puissent passer d'une question de sécurité à l'action sans avoir à reconstruire le contexte des données à chaque étape.
La complexité doit être assimilée, et non ignorée.
Les organisations doivent s'attendre à ce que les technologies de sécurité deviennent plus faciles à déployer, à administrer, à comprendre et à utiliser. Elles doivent également s'attendre à ce que l'automatisation supprime les tâches répétitives et que les interfaces rendent les fonctionnalités sophistiquées accessibles.
Mais l'objectif ne doit pas être la simplicité à tout prix.
Les environnements de données d'entreprise contiennent des relations réelles entre les données, l'identité, l'accès, l'activité, la propriété, les politiques, le cycle de vie, l'infrastructure et l'IA. Certaines de ces relations déterminent si une découverte représente un risque significatif.
Le rôle de la plateforme est de prendre en charge une plus grande partie du travail nécessaire à leur compréhension.
Cela signifie réduire la complexité inutile des produits, absorber la complexité opérationnelle grâce à l'automatisation et au contexte connecté, et présenter la complexité de l'entreprise sous une forme que les gens peuvent comprendre et sur laquelle ils peuvent agir.
La sécurité des données devrait paraître plus simple parce que la plateforme a pris en charge une grande partie du travail difficile, et non parce que les questions difficiles ont disparu.
FAQ sur la complexité de la sécurité des données
Pourquoi la sécurité des données d'entreprise est-elle complexe ?
La sécurité des données d'entreprise englobe les relations entre les sources de données, l'infrastructure, les identités, les autorisations, les activités, les politiques, la propriété, les exigences du cycle de vie, les réglementations et les systèmes d'IA. La complexité s'accroît lorsque les équipes ne parviennent pas à établir facilement ces liens pour identifier les conditions qui engendrent des risques significatifs.
Une plateforme de sécurité des données doit-elle être facile à utiliser ?
Oui. Une plateforme de sécurité des données doit réduire les étapes inutiles, automatiser les tâches répétitives, organiser le contexte pertinent et aider les utilisateurs à accomplir efficacement leurs tâches importantes. La facilité d'utilisation doit être évaluée en fonction du flux de travail complet et des besoins des personnes qui l'exécutent.
Quelle est la différence entre la complexité d'un produit et la complexité d'une entreprise ?
La complexité d'un produit découle de la technologie elle-même, notamment de sa configuration, de son administration, des flux de travail, de sa maintenance et de la formation. La complexité d'une entreprise provient de ses données, systèmes, identités, autorisations, politiques, processus métier et exigences. Une plateforme doit réduire sa propre complexité inutile tout en aidant les utilisateurs à appréhender la complexité de l'entreprise.
Qu’est-ce que la complexité opérationnelle en matière de sécurité des données ?
La complexité opérationnelle désigne le travail nécessaire pour passer d'une question de sécurité à un résultat. Elle peut inclure l'investigation, le changement d'outils, la réconciliation des données, l'identification des responsables, la vérification des politiques, la coordination des équipes, la correction des anomalies et la préservation des preuves.
La configuration signifie-t-elle qu'une plateforme de sécurité est trop complexe ?
Pas nécessairement. Une configuration excessive peut engendrer des frictions inutiles, mais une certaine adaptation peut s'avérer utile pour les types de données propriétaires, les politiques personnalisées, les référentiels spécialisés, les modèles de propriété ou les exigences de gestion des risques propres à l'organisation. Les acheteurs doivent évaluer la nécessité de la configuration et son utilité.
Comment les organisations peuvent-elles savoir si un simple produit de sécurité a déplacé des tâches vers d'autres services ?
Suivez le processus d'analyse d'un constat représentatif, de l'investigation à la priorisation, en passant par l'attribution des responsabilités, la correction et la collecte des preuves. Identifiez tous les outils externes, feuilles de calcul, recherches manuelles, tickets et transferts d'équipe nécessaires. Cela permettra de déterminer si le produit a simplifié la complexité ou l'a simplement déplacée.
Une plateforme de sécurité des données étendue nécessite-t-elle une mise en œuvre étendue ?
Non. L'étendue de la plateforme et la portée de sa mise en œuvre sont différentes. Les organisations peuvent commencer par un objectif de sécurité ciblé tout en utilisant une infrastructure de données sous-jacente capable de prendre en charge des exigences supplémentaires en matière de sécurité, de confidentialité, d'identité, de gouvernance, de cycle de vie et d'IA à mesure que leurs besoins évoluent.
En quoi la complexité de la sécurité des données diffère-t-elle du délai de rentabilisation du DSPM ?
La complexité de la sécurité des données met l'accent sur les efforts nécessaires pour comprendre et gérer les risques liés aux données d'entreprise, notamment l'ergonomie des produits, leur configuration, leur contexte, les investigations et les transferts opérationnels. Le délai de rentabilisation de la gestion des risques liés aux données (DSPM) se concentre sur la rapidité avec laquelle une organisation atteint des résultats concrets en matière de sécurité, de la découverte à la couverture, en passant par la classification, la priorisation, la correction et la collecte des preuves.
Auteur
