Les entreprises ont réalisé de réels progrès dans la localisation et la classification des données sensibles.
Selon le 2025 Thales Data Threat Report, 87 % des répondants peuvent classifier au moins la moitié de leurs données.
Pourtant, leurs environnements restent fragmentés. Environ 61 % utilisent au moins 5 outils pour découvrir, surveiller ou classifier les données, tandis que 76 % opèrent sur deux clouds ou plus et que 64 % utilisent au moins 26 fournisseurs SaaS.
Les entreprises connectent les données d’entreprise à des copilotes et à des modèles d’IA, tandis que les applications, les API et les agents autonomes créent de nouvelles voies d’accès aux informations sensibles.
Dans le même temps, les exigences réglementaires et de souveraineté des données peuvent dicter où les données résident et comment elles doivent être protégées. Les risques émergents tels que l’informatique quantique ajoutent un facteur supplémentaire à prendre en compte pour la protection des données à long terme.
Pour les RSSI, savoir où se trouvent les données sensibles est nécessaire, mais cela ne répond pas à la question la plus importante : quelles expositions présentent le plus grand risque pour l’entreprise ?
« L’erreur que je constate consiste à considérer la visibilité comme la ligne d’arrivée », a déclaré Jay Thurston, Chief Trust Officer chez Thales. « Trouver les données sensibles est important, mais découvrir que vous avez 20 000 problèmes potentiels ne vous rend pas forcément plus sûr. Dans certains cas, vous avez simplement créé une file de travail très volumineuse. »
Pour répondre à cette question, il faut disposer d’un contexte sur la sensibilité, les protections, les accès et les mouvements des données. Les responsables de la sécurité peuvent alors évaluer ce que compromettre ces données impliquerait pour l’entreprise.
L’IA complique cette évaluation, car l’accès n’est plus limité aux personnes. Les applications, les API et les agents d’IA peuvent également accéder aux données de l’entreprise, ce qui oblige les organisations à déterminer si cet accès est approprié.
Identifier le risque ne représente que la moitié du travail. Les RSSI doivent encore déterminer quelles expositions sont les plus importantes, les traiter et vérifier que leurs actions ont réduit le risque. Le Data Security Posture Management (DSPM) relie la visibilité à ces décisions et à ces actions.
Transformer les résultats liés aux données en priorités et en actions fondées sur les risques
Toutes les expositions de données ne présentent pas le même niveau de risque. Une fois les données sensibles découvertes, les équipes de sécurité doivent déterminer quels résultats nécessitent une action immédiate et lesquels sont moins susceptibles d’affecter l’entreprise.
La gravité technique ne suffit pas à répondre à cette question. Les équipes doivent prendre en compte la sensibilité des données concernées et déterminer si elles sont exposées à l’extérieur. Elles doivent également comprendre qui ou quoi y a accès et vérifier si des protections telles que le chiffrement sont déjà en place. La criticité métier fournit un niveau de contexte supplémentaire.
Facteurs susceptibles d’accroître la priorité d’une exposition de données :
- Données hautement sensibles ou critiques pour l’activité
- Exposition externe ou autrement inutile
- Autorisations d’accès excessives
- Protections absentes ou insuffisantes
- Impact potentiel important sur l’activité
« Si j’ai deux résultats techniques identiques, mais que l’un concerne des informations marketing publiques et que l’autre concerne des millions de dossiers clients accessibles via un compte disposant de privilèges excessifs, ces risques ne sont pas équivalents », a déclaré Thurston.
Le DSPM peut réunir ce contexte afin d’aider les équipes à hiérarchiser les résultats en fonction de leur impact potentiel, plutôt que de simplement traiter une file d’attente. La réponse doit ensuite s’attaquer au risque lui-même. Il peut être nécessaire de supprimer des privilèges excessifs, tandis que les données sensibles peuvent nécessiter un chiffrement, une tokenisation ou un masquage. Une configuration devra peut-être être corrigée. Les données qui ne répondent plus à un objectif métier devront peut-être être supprimées.
« L’objectif ne devrait pas être de clôturer le plus grand nombre de résultats », a déclaré Thurston. « Il devrait être de supprimer le risque le plus significatif pour l’entreprise. »
Ce principe fournit également une meilleure manière d’évaluer un programme DSPM. Le nombre de découvertes et de clôtures constitue une mesure opérationnelle. Pour les RSSI, la mesure la plus importante est la quantité d’exposition significative qui subsiste.
Le DSPM rend la sécurité des données continue dans tout l’environnement
Les programmes DSPM commencent souvent par une question simple : « Où se trouvent nos données sensibles ? » Les équipes de sécurité peuvent ensuite examiner qui y a accès, où les données sont exposées et quelles expositions présentent le plus grand risque pour l’entreprise. Elles peuvent alors déterminer si la remédiation a réduit ce risque.
Cela ne peut pas être réalisé uniquement au moyen d’évaluations périodiques. Les données sont constamment créées et copiées. Elles circulent entre les systèmes et sont consultées par différents utilisateurs et services. Le cloud et l’IA accélèrent ces changements, faisant de la posture des données une cible mouvante.
« Un programme DSPM mature n’est pas une analyse trimestrielle. Il est continu », a déclaré Thurston. « Les organisations matures relient la découverte, la classification, l’identité et les accès, la surveillance, la protection et la remédiation au sein d’un cycle continu. »
Pour maintenir ce cycle, il faut une attribution claire des responsabilités. La sécurité peut identifier le risque, tandis qu’un propriétaire des données, un propriétaire d’application ou une autre équipe est chargé de le résoudre. Attribuer cette responsabilité permet d’éviter que des expositions importantes ne restent sans traitement.
L’approche doit également tenir compte de l’emplacement des données. « Le modèle de sécurité doit suivre les données », a déclaré Thurston.
Certaines organisations privilégient la simplicité opérationnelle du SaaS. D’autres ont besoin d’un contrôle plus strict des données et de la télémétrie de sécurité en raison d’exigences réglementaires, de souveraineté ou de contraintes internes. Pour les grandes entreprises, cela signifie souvent qu’il faut prendre en charge à la fois les environnements cloud et sur site.
Quel que soit le modèle de déploiement, les organisations ont besoin d’une visibilité et de politiques cohérentes, tout en appliquant les protections appropriées partout où résident les données sensibles. Thales prend en charge le DSPM dans les environnements cloud, sur site et hybrides, ce qui permet aux organisations d’appliquer ces fonctionnalités dans leur infrastructure existante plutôt que d’adopter un modèle de déploiement unique.
Une fois ces pratiques en place, le DSPM devient partie intégrante d’un programme continu de gestion des risques liés aux données. Les équipes de sécurité peuvent identifier les changements d’exposition, attribuer la responsabilité de la remédiation et suivre l’effet de ces actions au fil du temps.
La véritable mesure du DSPM est de savoir si le risque important lié aux données diminue
Pour les RSSI, le DSPM doit en définitive répondre à une question simple : le risque lié aux données de l’organisation diminue-t-il ?
Les indicateurs opérationnels tels que le nombre d’alertes générées ou de référentiels découverts peuvent aider à gérer le programme, mais ils ne montrent pas si les expositions les plus lourdes de conséquences sont réduites.
« Les conseils d’administration n’ont pas vraiment besoin de savoir combien d’alertes mon DSPM a générées », a déclaré Thurston. « Ils doivent savoir si l’exposition de l’entreprise s’améliore ou se dégrade, selon un dénominateur connu et défendable. »
Les indicateurs DSPM qui montrent l’évolution du risque
- Référentiels sensibles exposés sur Internet
- Accès excessif aux données critiques
- Données de grande valeur protégées par chiffrement ou tokenisation
- Délai de remédiation des expositions critiques
- Données sensibles inutiles conservées par l’organisation
Les RSSI peuvent démontrer cette évolution au moyen de mesures liées à des expositions précises. Ils peuvent suivre si le nombre de référentiels sensibles accessibles depuis Internet diminue et si les accès excessifs aux données critiques reculent. Ils peuvent mesurer la quantité de données de grande valeur qui est chiffrée ou tokenisée. Le délai de remédiation des expositions critiques et la réduction des données sensibles inutiles fournissent d’autres indicateurs de progrès.
Ces améliorations peuvent ensuite être traduites en termes métier. Limiter l’accès aux données critiques peut réduire l’impact d’une violation. Renforcer la protection peut réduire l’exposition réglementaire et alléger les exigences d’audit. Une remédiation plus rapide réduit la durée pendant laquelle les données sensibles restent exposées. Ces résultats peuvent également renforcer la confiance des dirigeants à mesure que l’organisation développe son utilisation du cloud et de l’IA.
Les conclusions du rapport de Thales fournissent un contexte plus large à cette orientation axée sur les résultats. La part des répondants ayant signalé une violation au cours des 12 mois précédents est passée de 23 % en 2021 à 14 % en 2025. Bien que le rapport n’attribue pas spécifiquement cette baisse au DSPM, les travaux de recherche de Thales sur l’Halo Effect mettent en évidence l’écart entre les bonnes pratiques et les résultats observés dans le monde réel, soulignant la nécessité d’une identification unifiée des risques et d’une application cohérente des politiques dans les environnements de données complexes.
La visibilité est donc un point de départ, et non le résultat. Un programme DSPM mature doit permettre aux RSSI de montrer davantage que ce que leurs équipes ont découvert ou corrigé. La mesure qui compte est de savoir si l’exposition importante des données diminue.
Découvrez comment Thales CipherTrust DSPM aide les organisations à réduire leur exposition aux données, et explorez les travaux de recherche de Thales sur l’ Halo Effect pour comprendre comment une meilleure gestion des données favorise de meilleurs résultats en matière de sécurité.