À retenir
La prévention des pertes de données (DLP) de Google Workspace détecte les contenus sensibles et applique les protections configurées. Ce guide porte sur Google Drive : vérifiez votre édition, testez une règle, examinez ses limites puis les accès encore nécessaires. Détection et correction des permissions se complètent.
1. Vérifiez les fonctions DLP de votre édition
Les règles DLP complètes pour Drive sont disponibles avec certaines éditions, notamment Enterprise Standard et Enterprise Plus. Vérifiez la liste actuelle de Google avant de suivre la configuration ci-dessous. Business Plus propose les protections Security advisor, avec une sélection de détecteurs prédéfinis et des possibilités de modification plus limitées.
Notez votre édition, les contrôles disponibles et les emplacements Drive à protéger. Si la création de règles personnalisées est absente, vérifiez la licence et le rôle administrateur avant de considérer la protection comme active ou de choisir un outil supplémentaire.
Références : Google — Fonctionnement de la DLP pour Drive (anglais) · Google — Protections Security advisor (anglais)
2. Distinguez contenu, permissions et besoin métier
La documentation DLP de Google décrit des règles qui analysent les contenus éligibles et appliquent des actions configurées, dont l’avertissement ou le blocage du partage externe. Leur disponibilité dépend de votre édition Workspace et des privilèges administratifs. Consultez la documentation actuelle avant de choisir les contrôles.
La revue doit aussi établir les destinataires et la raison du partage. Un fichier confidentiel peut disposer des bons accès, tandis qu’un document courant reste exposé à un ancien prestataire. Croisez les vues ci-dessous pour décider quels cas examiner.
| Vue | Question traitée | Éléments à conserver |
|---|---|---|
| Contenu et DLP | Le contenu correspond-il à une règle de données sensibles ? | Règle, constat, périmètre et date |
| Permissions | Quelles personnes, groupes ou audiences disposent d’un accès ? | Permissions actuelles et contexte du Drive |
| Revue métier | Ces destinataires ont-ils encore besoin de cet accès ? | Décision, justification et responsable de dérogation |
| Vérification | Le changement attendu est-il effectif ? | État contrôlé dans la source après modification |
Références : Google — Fonctionnement de la DLP pour Drive (anglais)
3. Délimitez la revue et datez les constats
Commencez par une activité, un projet sensible ou un groupe de prestataires. Identifiez les contenus concernés dans Mon Drive et les Drive partagés, leurs propriétaires et la date de revue. Prévoyez l’examen des liens publics, des destinataires externes nommés et des accès par groupe. Signalez les zones impossibles à inspecter.
Conservez pour chaque élément sa référence, son propriétaire, son emplacement, ses destinataires, les signaux de sensibilité, l’action envisagée et le décideur. Ajoutez la date de collecte. Le partage peut évoluer avant la décision : vérifiez l’état actuel dans la source avant de corriger. Évitez de recopier le document sensible dans un tableau de suivi ; le dossier d’enquête deviendrait une exposition supplémentaire.
4. Configurez une règle Drive, puis testez-la en mode audit
Dans la console d’administration, ouvrez Sécurité → Contrôle des accès et des données → Protection des données. La création de règles nécessite les privilèges DLP, unités organisationnelles et groupes appropriés ; vérifiez le rôle avec la procédure Google liée ci-dessous.
Choisissez un périmètre pilote isolé et des documents fictifs. Donnez un objectif précis à la règle : repérer un nom de projet fictif, par exemple, avant de décider si son partage externe doit être bloqué.
- Créez une règle dans la gestion des règles et sélectionnez les fichiers Google Drive.
- Définissez le périmètre pilote et une condition de contenu : détecteur prédéfini, liste de mots ou expression.
- Pour un test en audit seul, ne sélectionnez pas d’action de protection et enregistrez la règle avec le statut Actif. Une règle inactive ne teste rien.
- Examinez les événements de journal des règles. Après validation, choisissez l’avertissement ou le blocage adapté, prévenez les utilisateurs et recommencez le test.
| Exemple de règle à tester | Données fictives | Résultat à conserver |
|---|---|---|
| Nom de projet interne | Un document avec le nom fictif CEDARTEST et un document témoin sans ce nom. | La correspondance attendue ; examinez les mots trop larges ou ambigus avant toute application. |
| Détecteur de données sensibles | Un exemple synthétique recommandé par le fournisseur pour ce détecteur et un exemple voisin non sensible. | Le détecteur, le seuil, les deux résultats observés et les faux positifs éventuels. |
| Contrôle du partage externe | Un propriétaire de test, un compte externe de test autorisé et un collaborateur interne. | Le résultat du partage pour chaque compte avant et après l’action choisie. |
Références : Google — Créer et tester des règles DLP (anglais) · Google — Créer des règles de protection (anglais)
5. Diagnostiquez les détections et partages inattendus
L’absence d’alerte ne prouve pas qu’un document est sûr. Examinez séparément la règle, le fichier de test et le chemin d’accès. Google documente des exclusions de contenu et des limites d’analyse : comparez-les au fichier réellement testé.
| Observation | Point à vérifier | Preuve avant clôture |
|---|---|---|
| Aucune détection | Vérifiez que la règle est active, que le propriétaire ou le Drive partagé est inclus et que le fichier correspond à la condition. Tenez compte du traitement de l’analyse. | Un test synthétique positif et un témoin négatif, avec les dates de règle et d’observation. |
| Un fichier volumineux ou protégé est ignoré | Vérifiez le format et les limites d’extraction. La DLP Drive analyse les 10 premiers Mo de texte extrait ; le contenu protégé par mot de passe est exclu. | Type, taille, emplacement du contenu de test et limite documentée. |
| La règle détecte, mais le partage reste possible | Vérifiez l’action : l’audit journalise et un avertissement peut être ignoré. Examinez le destinataire et les autres accès. | Événement de règle, action configurée et accès effectif du destinataire. |
| Le journal montre un partage | Consultez aussi les permissions actuelles. Un événement passé ne décrit pas les destinataires d’aujourd’hui. | Contrôle daté des permissions, groupes et accès hérités compris. |
Références : Google — Fonctionnement de la DLP pour Drive (anglais) · Google — Événements de journal Drive (anglais) · Google — Limites de contenu et des règles DLP (anglais)
6. Choisissez une correction adaptée
Prenons un dossier d’achats fictif, partagé avec un fournisseur dont la mission est terminée. Demandez au propriétaire si l’accès reste nécessaire, si un groupe donne d’autres permissions et si une équipe dépend du même dossier. Si le retrait est justifié, attribuez le changement et suivez sa réalisation au-delà de l’approbation.
Pour une collaboration active, vous pouvez conserver un destinataire nommé tout en supprimant un lien trop large devenu inutile. Une dérogation doit préciser sa justification, son approbateur, son audience et sa date de réexamen. Priorisez selon l’exposition et la sensibilité en préservant un parcours clair pour les besoins légitimes.
- Validez les destinataires actuels et la finalité avec le propriétaire.
- Choisissez la modification de permission ou de politique adaptée au constat.
- Désignez la personne chargée des changements impossibles à réaliser directement.
- Conservez la décision et la preuve de sa réalisation comme deux éléments distincts.
7. Vérifiez les accès et les permissions conservées
Google documente un comportement important des Drive partagés : une restriction du partage externe peut empêcher l’accès tout en conservant la permission du fichier. Si la restriction est ensuite levée, cette permission peut rétablir l’accès. Notez si vous avez retiré une permission ou seulement modifié la politique qui la bloque actuellement.
Après correction, examinez la source et vérifiez les accès avec des comptes de test autorisés lorsque c’est pertinent. Contrôlez la perte d’accès de l’audience visée et le maintien des collaborations nécessaires. Intégrez les appartenances aux groupes et les accès hérités à cet examen. Conservez le résultat, sa date et les accès restant à traiter avant clôture.
Références : Google — Fonctionnement des accès dans les Drive partagés (anglais)
Comment Elba accompagne la revue des partages
Elba peut rattacher les constats Drive pris en charge à la ressource, aux destinataires et au collaborateur qui connaît le contexte. Certains risques permettent un retrait direct de permission ou une transmission au collaborateur pour revue et correction disponible. Les Playbooks de Protection des données organisent les constats récurrents selon les conditions proposées dans votre espace.
La connexion à l’annuaire Google Workspace est distincte de la source de sécurité utilisée pour les fonctions Drive et OAuth prises en charge. Connecter l’annuaire ne déclenche donc pas l’analyse Drive. Les constats et actions dépendent des autorisations, de la configuration et de l’objet. Examinez les permissions demandées en direct et validez des cas représentatifs avant de vous appuyer sur cette couverture.
Checklist de revue des partages Drive
Vos cases cochées restent sur cette page et sont réinitialisées à son rechargement.
Questions fréquentes
La DLP remplace-t-elle une revue des permissions ?
Non. Les règles de contenu, les destinataires actuels et le besoin métier répondent à des questions différentes. Croisez-les pour déterminer si une exposition nécessite une correction.
Bloquer le partage externe retire-t-il toutes les permissions ?
Ne le supposez pas. Google décrit des restrictions de Drive partagé qui empêchent l’accès tout en conservant les permissions. Vérifiez l’état obtenu et l’effet d’un éventuel changement de politique.
Comment préserver les collaborations externes légitimes ?
Validez les destinataires avec le propriétaire, retirez les accès inutiles et datez les dérogations. Une modification générale peut interrompre le travail si son périmètre n’est pas compris.
La connexion à l’annuaire Elba analyse-t-elle automatiquement Drive ?
Non. Les fonctions de sécurité Drive prises en charge nécessitent la source de sécurité Google distincte et les capacités correspondantes. Les corrections directes concernent uniquement les objets et permissions éligibles.
Sources et documentation
Documentation de référence utilisée pour ce guide. Les paramètres et les éditions disponibles évoluent : consultez les sources avant de modifier vos réglages.
- Google — Fonctionnement de la DLP pour Drive (anglais)
- Google — Créer et tester des règles DLP (anglais)
- Google — Événements de journal Drive (anglais)
- Google — Fonctionnement des accès dans les Drive partagés (anglais)
- Google — Protections Security advisor (anglais)
- Google — Limites de contenu et des règles DLP (anglais)
- Google — Créer des règles de protection (anglais)