Comment les responsables de la sécurité peuvent-ils protéger leurs données les plus sensibles ?
La sécurité des données et de l’IA permet aux entreprises d’identifier, de classer et de contrôler l’accès aux données sensibles pour l’ensemble des utilisateurs, des systèmes et des solutions d’IA.
Points clés à retenir
Les données sont le moteur des entreprises modernes : elles aident à orienter les décisions clés et alimentent les initiatives en matière d’IA. Compte tenu de leur valeur, il est essentiel de connaître et de protéger vos données.
- 90 % des organisations ont exposé des données sensibles dans le cloud, qui peuvent être mises en évidence par l’IA. La visibilité sur les actifs de données constitue donc la première étape, et la plus cruciale, pour réduire les risques d’entreprise.
- 40 % des fichiers téléchargés ou partagés via des outils d’IA générative contiennent des informations d’identification personnelle (PII) ou des données relevant de la norme PCI (Payment Card Industry). Une telle utilisation abusive des données sensibles expose les entreprises à des risques importants en matière de confidentialité et de non-respect de la réglementation.
- La découverte et la classification des données constituent le fondement d’une sécurité efficace, en aidant les organisations à identifier les données sensibles dans des environnements structurés, semi-structurés et non structurés.
- Un accès trop permissif constitue l’un des risques liés aux données les plus persistants pour les entreprises modernes. Les utilisateurs, les applications et les comptes de service conservant souvent un accès inutile aux données sensibles, la « surface d’attaque » s’élargit.
- Pour contribuer à la protection de l’IA, il est nécessaire de réguler à la fois les données d’entraînement et les interactions en temps réel. Les organisations doivent s’assurer que les données sensibles ne sont pas exposées par le biais des entrées, des sorties ou du comportement des modèles.
- La conformité réglementaire repose sur des bases solides en matière de données. Une classification rigoureuse et une gouvernance stricte des accès permettent aux organisations d’appliquer leurs politiques et de démontrer qu’elles exercent un contrôle.
Les données sensibles circulent désormais entre les clouds, les applications et les flux de travail d’IA sans visibilité claire, ce qui engendre des risques d’exposition que les contrôles de sécurité traditionnels ne peuvent à eux seuls contrer. La solution « Commvault Data and AI Security » aide les entreprises à identifier et à classer les données sensibles, à réguler l’accès tant pour les identités humaines que pour celles des machines, et à garantir la conformité aux normes RGPD, HIPAA et PCI DSS tout au long du cycle de vie des données.
Pourquoi la fuite de données sensibles constitue-t-elle la principale faille de sécurité ?
Les données constituent le carburant inestimable qui fait avancer les entreprises modernes. C’est pourquoi les organisations se sont fixé comme priorité d’investir massivement dans des outils de sécurité sophistiqués.
Cependant, selon le rapport « 2025 State of Data Security » de Varonis, 90 % des entreprises exposent encore des données sensibles dans le cloud. De même, 88 % des entreprises comptent des utilisateurs fantômes, c’est-à-dire des comptes inactifs mais toujours activés.
Mais ce n’est pas tout. Selon le rapport « Cost of a Data Breach Report 2025 » d’IBM, 53 % des entreprises victimes d’une violation ont signalé que les informations personnelles identifiables (PII) de leurs clients avaient été compromises. Ces statistiques brossent un tableau saisissant : bien que les données soient au cœur des activités des entreprises, leur visibilité et leur sécurité globale restent des enjeux critiques.
Les données ne se limitent plus aux bases de données structurées. Elles se trouvent dans des fichiers, des e-mails, des plateformes cloud, des applications SaaS et des terminaux. Une grande partie de ces données est non structurée, dupliquée ou non gérée, ce qui rend leur suivi et leur protection difficiles.
L’IA amplifie ce problème. Environ 40 % des fichiers téléchargés vers des outils d’IA générative contiennent des informations sensibles, souvent sans gouvernance ni supervision. À mesure que l’adoption de l’IA progresse, le nombre de systèmes et d’identités interagissant avec les données augmente également.
Sans visibilité sur la nature des données existantes et leur emplacement, les entreprises ne peuvent pas les sécuriser efficacement. Ce manque de visibilité est à l’origine du problème actuel de sécurité des données.
Quels sont les piliers de la sécurité des données et de l’IA ?
Pour relever le défi de l’exposition des données, les organisations ont besoin d’une approche structurée qui apporte cohérence et contrôle à la gestion des données. La sécurité des données et de l’IA repose sur trois piliers fondamentaux : la découverte des données, la classification des données et la gouvernance de l’accès aux données et à l’IA.
Chaque pilier comble une lacune majeure :
- La découverte offre une visibilité sur l’emplacement des données dans l’ensemble des environnements. Cela inclut les systèmes structurés tels que les bases de données, ainsi que les sources semi-structurées et non structurées qui sont souvent négligées.
- La classification apporte du contexte en identifiant le type et le niveau de sensibilité des données. Elle permet aux entreprises de distinguer les données opérationnelles, les informations personnelles sensibles, les documents financiers, la propriété intellectuelle et d’autres catégories à haut risque.
- La gouvernance des accès permet aux organisations de vérifier que les données sont utilisées de manière appropriée. Elle définit qui ou quoi peut accéder aux données, dans quelles conditions et avec quel niveau de contrôle.
Ces trois piliers ne sont pas indépendants les uns des autres. Ils forment un système interconnecté qui couvre intégralement la sécurité des données et de l’IA. L’inventaire identifie l’ensemble du paysage des données, la classification définit le niveau de sensibilité approprié, et la gouvernance des accès applique des contrôles en fonction de ce contexte.
Ce modèle s’étend même au-delà des utilisateurs humains pour inclure les identités machines, telles que les modèles d’IA. Dans les environnements modernes, ces identités non humaines représentent souvent une part significative de l’activité d’accès aux données. La mise en commun de ces piliers peut aider les organisations à passer de contrôles de sécurité fragmentés à une approche unifiée, guidée par des politiques.
Comment les organisations peuvent-elles identifier et classer les données sensibles ?
La détection et la classification constituent les fondements d’un modèle de sécurité des données efficace. Pourtant, ce sont souvent les aspects les plus difficiles à mettre en œuvre de manière efficace.
Cela s’explique par la forte fragmentation des environnements de données modernes. Les informations sensibles sont dispersées entre de multiples plateformes cloud, des systèmes sur site, des applications SaaS et des terminaux. Une part importante de ces données est non structurée, ce qui rend leur identification et leur catégorisation plus difficiles.
Parmi les défis les plus notables, on peut citer :
- Les « données fantômes » qui existent à l’insu des responsables, sans autorisation et sans contrôle de sécurité.
- Des formats incohérents entre les données structurées et non structurées.
- Une croissance rapide des données due à l’adoption de l’IA, qui dépasse les capacités de classification manuelle.
Pour y remédier, les organisations ont besoin de capacités de découverte évolutives et de cadres de classification. Une classification adéquate permet de donner un sens aux vastes quantités de données existantes. Cela inclut généralement des catégories telles que les informations personnelles identifiables (PII), les informations de santé protégées (PHI), les données PCI, la propriété intellectuelle, ainsi que les clés et les secrets.
La valeur de la classification réside dans son utilisation. Une fois les données classifiées, les entreprises peuvent appliquer efficacement des politiques de conservation et de suppression, restreindre ou surveiller les accès, et mettre en place le masquage ou l’expurgation des champs sensibles.
À grande échelle, une approche aboutie de découverte et de classification ne se contente pas d’assurer une couverture complète, mais contribue également à produire des résultats significatifs. Cela peut se traduire par une exposition réduite, une meilleure application des politiques et une réduction mesurable des risques.
Quels sont les principaux risques liés à des droits d’accès trop étendus ?
Selon une étude de ReliaQuest, 99 % des identités dans le cloud disposent de privilèges excessifs. Dans le même ordre d’idées, une étude réalisée en 2025 par le Ponemon Institute souligne que 61 % des entreprises américaines ont été victimes de fuites de données commises par des initiés au cours des deux dernières années, le coût moyen de ces incidents s’élevant à la somme astronomique de 2,7 millions de dollars.
Cela prouve que même lorsque les organisations maîtrisent leurs données, l’accès reste l’un des maillons faibles de la sécurité.
On parle d’accès trop permissif lorsque des utilisateurs, des applications ou des comptes de service disposent d’un accès aux données plus étendu que nécessaire. Ce problème est très répandu, car les droits d’accès sont souvent accordés de manière trop large pour des raisons de commodité et rarement réexaminés.
Les conséquences sont importantes. Des accès excessifs augmentent le risque de divulgation accidentelle, de menaces internes et d’exploitation en cas de violation.
Pour y remédier, les organisations doivent tout d’abord examiner minutieusement les schémas d’accès. Cela implique notamment de déterminer qui accède aux données sensibles, quels systèmes ou identités sont concernés, et si cet accès correspond aux besoins de l’entreprise.
Une attention particulière doit être accordée aux comptes privilégiés et aux identités de service. Ceux-ci disposent souvent d’autorisations étendues et peuvent accéder à de grands volumes de données sensibles sur l’ensemble des systèmes.
Dans ce contexte, une gouvernance efficace des accès est essentielle. Cela nécessite :
- d’aligner les politiques d’accès sur la classification des données ;
- de surveiller en permanence les habitudes d’utilisation ;
- d’identifier et de corriger les dérives d’accès au fil du temps.
En réduisant les accès inutiles, les organisations contribuent à limiter leur surface d’attaque et à améliorer la protection globale des données.
Comment les organisations doivent-elles gérer les données utilisées par les systèmes d’IA ?
L’adoption de l’IA se généralise rapidement dans tous les domaines de l’entreprise moderne. Cela ajoute un nouveau niveau de complexité à la manière dont les données sont consultées, traitées et divulguées.
Les ensembles de données d’apprentissage comprennent souvent de grands volumes de données provenant de l’ensemble de l’organisation. Sans classification ni gouvernance adéquates, ces ensembles de données peuvent contenir des informations sensibles ou soumises à une réglementation.
Cela engendre des risques à plusieurs étapes :
- lors de la préparation des données et de l’entraînement ;
- lorsque les modèles interagissent avec les données en temps réel ;
- à travers des résultats susceptibles de divulguer involontairement des informations sensibles.
La classification doit donc précéder l’entraînement des modèles. Cela implique de valider et de classer toutes les données utilisées dans les ensembles de données, et de supprimer les informations sensibles lorsque cela est nécessaire.
De même, après le déploiement des outils d’IA, les équipes chargées des données doivent évaluer en permanence la manière dont les modèles utilisent et exposent les données. Elles doivent également mettre en œuvre des mécanismes de contrôle appropriés, tels que le masquage ou le caviardage, lorsque cela s’avère nécessaire.
Les systèmes d’IA ne doivent pas être considérés comme distincts de la sécurité des données. Ils constituent un prolongement de la manière dont les données sont utilisées et doivent être gérés en conséquence. En intégrant ces capacités de sécurité des données et de l’IA dans le cycle de vie plus large du développement de l’IA, les organisations peuvent contribuer à réduire les risques tout en favorisant l’innovation.
En quoi la classification des données favorise-t-elle la conformité réglementaire ?
La conformité réglementaire repose sur la capacité à identifier et à contrôler les données sensibles. Des cadres réglementaires tels que le RGPD, la loi HIPAA et la norme PCI DSS définissent des exigences spécifiques concernant le traitement des données. Cependant, ces exigences ne peuvent être respectées sans avoir préalablement identifié où se trouvent les données soumises à réglementation.
C’est pourquoi les programmes de conformité échouent en l’absence d’une base de données adéquate.
Dans ce cas, la classification des données sert de pilier à la conformité, en associant les données à des catégories réglementaires. Elle permet aux organisations d’appliquer des contrôles ciblés en fonction de la sensibilité des données et de faire respecter les politiques essentielles relatives au cycle de vie des données.
Cela ouvre la voie à une multitude de fonctionnalités essentielles :
- Application des politiques de conservation et de suppression
- Restriction de l’accès aux données réglementées
- Mise en œuvre de contrôles essentiels en matière de confidentialité
Cela simplifie également les processus d’audit. Les organisations peuvent démontrer où se trouvent les données sensibles, comment elles sont protégées et qui y a accès. La gouvernance des accès renforce encore davantage la conformité en garantissant que seules les identités autorisées puissent interagir avec les données réglementées.
Ensemble, la classification des données et les contrôles d’accès redéfinissent la conformité à l’ère moderne, marquée par l’intelligence artificielle.
Conclusion : Quelles sont aujourd’hui les conditions indispensables à une sécurité efficace des données et de l’IA ?
La sécurité moderne des données et de l’IA ne se limite plus à des défenses périmétriques ou à des contrôles isolés. Elle nécessite une approche continue et unifiée qui associe visibilité, classification et gouvernance des accès tout au long du cycle de vie des données.
Pour mettre en œuvre une telle approche, les entreprises doivent d’abord comprendre leurs données et identifier précisément où elles se trouvent. Elles doivent ensuite contrôler les modes d’accès à ces données. Enfin, elles doivent s’assurer que les systèmes d’IA les utilisent de manière responsable. Ces capacités doivent fonctionner de concert, et non de manière indépendante, afin de réduire les risques d’exposition et de préserver la confiance.
À mesure que les volumes de données augmentent et que l’adoption de l’IA s’accélère, le défi ne consistera pas seulement à sécuriser les données, mais à démontrer où se trouvent les données sensibles, qui peut y accéder et comment elles sont protégées sur l’ensemble des systèmes. Les entreprises qui mettront en place une approche structurée et fondée sur des politiques seront mieux à même de réduire les risques, de répondre aux exigences réglementaires et de favoriser l’innovation en toute confiance.
Foire aux questions
Qu’est-ce que la sécurité des données et de l’IA ?
La sécurité des données et de l’IA consiste à identifier, classer et réguler l’accès aux données sensibles au sein des systèmes, entre les utilisateurs et les modèles d’IA. La solution Commvault Data and AI Security offre ces fonctionnalités dans les environnements hybrides, permettant ainsi aux entreprises de s’assurer que les données restent visibles, contrôlées et protégées tout au long de leur cycle de vie, y compris lorsqu’elles sont utilisées pour l’entraînement et les résultats de l’IA.
Pourquoi l’exposition des données sensibles constitue-t-elle un risque majeur ?
L’exposition des données sensibles constitue un risque majeur car les entreprises manquent souvent de visibilité sur l’emplacement des données et les personnes qui y ont accès, ce qui augmente le risque de fuites, d’utilisation abusive et de non-respect des réglementations. Commvault contribue à atténuer ce risque grâce à une approche unifiée combinant la découverte des données, leur classification et la gouvernance des accès dans les environnements hybrides.
Quels sont les piliers essentiels de la sécurité des données ?
Les trois piliers fondamentaux de la sécurité des données sont la découverte, la classification et la gouvernance des accès. Commvault répond à chacun d’entre eux : la découverte des données permet d’identifier où se trouvent les données sensibles dans tous les environnements, la classification des données définit leur niveau de sensibilité et leur type, et la gouvernance des accès aux données et à l’IA applique un contrôle d’accès conforme aux politiques métier et réglementaires.
Pourquoi un accès trop permissif est-il dangereux ?
Un accès trop permissif permet aux utilisateurs, aux applications et aux comptes de service d’accéder à plus de données que nécessaire, ce qui augmente le risque d’exposition accidentelle, de menaces internes et d’exploitation. La gouvernance des accès aux données et à l’IA de Commvault résout ce problème en surveillant en permanence les modèles d’accès, en alignant les autorisations sur la classification des données, et en identifiant et corrigeant les dérives d’accès dans les environnements hybrides.
Comment les entreprises doivent-elles contribuer à la protection des données utilisées par l’IA ?
Les entreprises peuvent protéger les données utilisées par l’IA en classifiant les ensembles de données avant l’entraînement et en surveillant en permanence la manière dont les modèles accèdent aux données et les exposent. Commvault Data and AI Security soutient cette démarche grâce à des contrôles de découverte, de classification et de gouvernance, notamment le masquage, le caviardage et les restrictions d’accès — contribuant ainsi à garantir que les données sensibles ne soient pas exposées lors de l’entraînement de l’IA, du comportement des modèles ou de leurs résultats.
Comment la classification des données contribue-t-elle à la conformité ?
La classification des données favorise la conformité en identifiant les données réglementées, telles que les informations personnelles identifiables (PII), et en leur appliquant les contrôles appropriés. Commvault Data Classification aide les organisations à appliquer des politiques de conservation et de suppression conformes au RGPD, à la loi HIPAA et à la norme PCI DSS, et fournit les preuves prêtes pour un audit nécessaires pour démontrer comment les données sensibles sont identifiées, protégées et gérées.
Découvrez les ressources associées
Découvrez la gouvernance de l’accès aux données en action
Quels sont les principaux risques liés à la sécurité des données et à l’IA ?
