Comment les responsables de la sécurité peuvent-ils protéger leurs données les plus sensibles ?
La sécurité des données et de l’IA permet aux entreprises d’identifier, de classer et de contrôler l’accès aux données sensibles pour l’ensemble des utilisateurs, des systèmes et des solutions d’IA.
Points clés à retenir
Les données sont le moteur des entreprises modernes : elles contribuent à orienter les décisions clés et à alimenter les initiatives en matière d’intelligence artificielle. Compte tenu de leur valeur, il est essentiel de bien les connaître et de les protéger.
- 90 % des organisations ontdes données sensibles stockées dans le cloud, susceptibles d’être mises en évidence par l’IA. La visibilité sur les ressources de données constitue donc la première étape, et la plus cruciale, pour réduire les risques au sein de l’entreprise.
- 40 % des fichiers mis en ligneintégré aux outils d’IA générativecontientInformations d’identification personnelle (PII) ou données relatives au secteur des cartes de paiement (PCI). Une telle utilisation abusive de données sensibles expose les organisations à des risques importants en matière de violation de la vie privée et de non-respect de la réglementation.
- La découverte et la classification des données constituent le fondement d’une sécurité efficace, en permettant aux organisations d’identifier les données sensibles dans des environnements structurés, semi-structurés et non structurés.
- Les droits d’accès trop larges constituent l’un des risques les plus persistants liés aux données pour les entreprises modernes. Les utilisateurs, les applications et les comptes de service conservant souvent des droits d’accès inutiles à des données sensibles, la « surface d’attaque » s’étend.
- Pour contribuer à la protection de l’IA, il est nécessaire de réguler à la fois les données d’entraînement et les interactions lors de l’exécution. Les organisations doivent s’assurer que les données sensibles ne sont pas exposées par le biais des entrées, des sorties ou du comportement des modèles.
- La conformité réglementaire repose sur des bases de données solides. Une gouvernance rigoureuse en matière de classification et d’accès permet aux organisations d’appliquer leurs politiques et de démontrer qu’elles exercent un contrôle.
Les données sensibles circulent désormais entre les clouds, les applications et les flux de travail d’IA sans visibilité claire, ce qui engendre des risques d’exposition que les contrôles de sécurité traditionnels ne peuvent à eux seuls contrer. La solution « Commvault Data and AI Security » aide les entreprises à identifier et à classer les données sensibles, à réguler l’accès tant pour les identités humaines que pour celles des machines, et à garantir la conformité aux normes RGPD, HIPAA et PCI DSS tout au long du cycle de vie des données.
Pourquoi la divulgation de données sensibles constitue-t-elle la principale faille de sécurité ?
Les données constituent le moteur indispensable qui fait avancer les entreprises modernes. C’est pourquoi celles-ci se sont fixé comme priorité d’investir massivement dans des outils de sécurité sophistiqués.
Toutefois, selon Varonis…Rapport 2025 sur l’état de la sécurité des données, 90 % des entreprises ont encore des données sensibles exposées dans le cloud. De même, 88 % des entreprises comptent des « utilisateurs fantômes », c’est-à-dire des comptes inactifs mais toujours activés.
Maisc’estpas tous.Selon IBM… Rapport sur le coût des fuites de données 2025, 53 % des entreprises victimes d’une violation de données ont signalé que les données de leurs clients avaient été compromisesDonnées à caractère personnel. CesLes statistiques en donnent une image très claire : bien que les données soient au cœur de l’activité des entreprises, leur visibilité et leur sécurité globale restent des enjeux cruciaux.
Les données ne se limitent plus aux bases de données structurées. Elles se trouvent dans des fichiers, des e-mails, des plateformes cloud, des applications SaaS et des terminaux. Une grande partie de ces données est non structurée, dupliquée ou non gérée, ce qui rend leur suivi et leur protection difficiles.
L’IA aggrave ce problème. À propos de40 % des fichiers téléchargés vers des outils d’IA générative contiennent des informations sensibles, souvent sans cadre de gouvernance ni de contrôle. À mesure que l’IA se généralise, le nombre de systèmes et d’identités interagissant avec les données augmente également.
Sans savoir quelles données existent et où elles se trouvent, les entreprises ne peuvent pas les sécuriser efficacement. Ce manque de visibilité est à l’origine du problème actuel de sécurité des données.
Quels sont les piliers de la sécurité des données et de l’IA ?
Pour relever le défi de l’exposition des données, les organisations ont besoin d’une approche structurée qui apporte cohérence et contrôle à la gestion des données. La sécurité des données et de l’IA repose sur trois piliers fondamentaux :la découverte des données,Classification des donnéesetla gouvernance de l’accès aux données et à l’IA.
Chaque pilier comble une lacune majeure :
- Discovery permet de visualiser l’emplacement des données dans l’ensemble des environnements. Cela inclut les systèmes structurés, tels que les bases de données, ainsi que les sources semi-structurées et non structurées, qui sont souvent négligées.
- La classification apporte un contexte en identifiant le type et le niveau de sensibilité des données. Elle permet aux organisations de faire la distinction entre les données opérationnelles, les informations personnelles sensibles, les documents financiers, la propriété intellectuelle et d’autres catégories à haut risque.
- La gouvernance des accès permet aux organisations de s’assurer que les données sont utilisées de manière appropriée. Elle définit qui ou quoi peut accéder aux données, dans quelles conditions et avec quel niveau de contrôle.
Ces trois piliers n’existent pas indépendamment les uns des autres. Ils forment un système interconnecté qui couvre intégralement la sécurité des données et de l’IA. La découverte identifie l’ensemble du paysage des données, la classification définit le niveau de sensibilité approprié, et la gouvernance des accès applique des contrôles en fonction de ce contexte.
Ce modèle s’étend même au-delà des utilisateurs humains pour inclure les identités machines, telles que les modèles d’IA. Dans les environnements modernes, ces identités non humaines représentent souvent une part significative de l’activité d’accès aux données. La mise en commun de ces piliers peut aider les organisations à passer de contrôles de sécurité fragmentés à une approche unifiée, guidée par des politiques.
Comment les organisations peuvent-elles identifier et classer les données sensibles ?
La détection et la classification sont les fondements d’un modèle de sécurité des données efficace. Pourtant, ce sont souvent les aspects les plus difficiles à mettre en œuvre de manière efficace.
Cela s’explique par la forte fragmentation des environnements de données modernes. Les informations sensibles sont dispersées entre de multiples plateformes cloud, des systèmes sur site, des applications SaaS et des terminaux. Une part importante de ces données est non structurée, ce qui rend leur identification et leur catégorisation plus difficiles.
Parmi les défis les plus notables, on peut citer :
- Les données « fantômes » qui existent à l’insu des responsables, sans autorisation et sans contrôle de sécurité.
- Des formats incohérents entre les données structurées et non structurées.
- Une croissance rapide des données due à l’adoption de l’IA, qui dépasse les efforts de classification manuelle.
Pour y remédier, les organisations ont besoin de capacités de découverte évolutives et de cadres de classification. Une classification adéquate permet de donner un sens aux vastes quantités de données existantes. Cela inclut généralement des catégories telles que les informations personnelles identifiables (PII), les informations de santé protégées (PHI), les données PCI, la propriété intellectuelle, ainsi que les clés et les secrets.
La valeur de la classification réside dans son utilisation. Une fois les données classifiées, les entreprises peuvent appliquer efficacement des politiques de conservation et de suppression, restreindre ou surveiller les accès, et mettre en place le masquage ou l’expurgation des champs sensibles.
À grande échelle, une approche aboutie de découverte et de classification ne se contente pas d’assurer une couverture complète, mais contribue également à produire des résultats significatifs. Cela peut se traduire par une exposition réduite, une meilleure application des politiques et une réduction mesurable des risques.
Quels sont les principaux risques liés à des droits d’accès trop larges ?
Selon une étude deReliaQuest, 99 % des identités dans le cloud disposent de privilèges excessifs. Dans le même ordre d’idées, uneétude réalisée en 2025 par le Ponemon Institutesouligne que 61 % des entreprises américaines ont été victimes de fuites de données commises par des initiés au cours des deux dernières années, le coût moyen de ces incidents s’élevant à la somme astronomique de 2,7 millions de dollars.
Cela prouve que même lorsque les organisations maîtrisent leurs données, l’accès reste l’un des maillons faibles de la sécurité.
On parle d’accès trop permissif lorsque des utilisateurs, des applications ou des comptes de service disposent d’un accès aux données plus étendu que nécessaire. Ce problème est très répandu, car les contrôles d’accès sont souvent accordés de manière trop large pour des raisons de commodité et rarement réexaminés.
Les conséquences sont importantes. Des accès excessifs augmentent le risque de divulgation accidentelle, de menaces internes et d’exploitation en cas de violation.
Pour y remédier, les organisations doivent tout d’abord examiner minutieusement les schémas d’accès. Cela implique notamment de déterminer qui accède aux données sensibles, quels systèmes ou identités sont concernés, et si cet accès correspond aux besoins de l’entreprise.
Une attention particulière doit être accordée aux comptes privilégiés et aux identités de service. Ceux-ci disposent souvent d’autorisations étendues et peuvent accéder à de grands volumes de données sensibles sur l’ensemble des systèmes.
Dans ce contexte, une gouvernance efficace des accès est essentielle. Cela nécessite :
- d’aligner les politiques d’accès sur la classification des données ;
- De surveiller en permanence les habitudes d’utilisation.
- D’identifier et de corriger les dérives d’accès au fil du temps.
En réduisant les accès inutiles, les organisations contribuent à limiter leur surface d’attaque et à améliorer la protection globale des données.
Comment les organisations doivent-elles gérer les données utilisées par les systèmes d’IA ?
L’adoption de l’IA se généralise rapidement dans tous les domaines de l’entreprise moderne. Cela ajoute un nouveau niveau de complexité à la manière dont les données sont consultées, traitées et divulguées.
Les ensembles de données d’apprentissage comprennent souvent de grands volumes de données provenant de l’ensemble de l’organisation. Sans classification ni gouvernance adéquates, ces ensembles de données peuvent contenir des informations sensibles ou soumises à une réglementation.
Cela engendre des risques à plusieurs étapes :
- lors de la préparation des données et de l’entraînement ;
- Lorsque les modèles interagissent avec des données en temps réel.
- Au travers de résultats susceptibles de divulguer involontairement des informations sensibles.
La classification doit donc précéder l’entraînement des modèles. Cela implique de valider et de classer toutes les données utilisées dans les ensembles de données, et de supprimer les informations sensibles lorsque cela est nécessaire.
De même, après le déploiement des outils d’IA, les équipes chargées des données doivent évaluer en permanence la manière dont les modèles utilisent et exposent les données. Elles doivent également mettre en œuvre des mécanismes de contrôle appropriés, tels que le masquage ou la caviardage, lorsque cela s’avère nécessaire.
Les systèmes d’IA ne doivent pas être considérés comme distincts de la sécurité des données. Ils constituent une extension de la manière dont les données sont utilisées et doivent être gérés en conséquence. En intégrant ces capacités de sécurité des données et de l’IA dans le cycle de vie plus large du développement de l’IA, les organisations peuvent contribuer à réduire les risques tout en favorisant l’innovation.
En quoi la classification des données favorise-t-elle la conformité réglementaire ?
La conformité réglementaire repose sur la capacité à identifier et à contrôler les données sensibles. Des cadres réglementaires tels que le RGPD, la loi HIPAA et la norme PCI DSS définissent des exigences spécifiques concernant le traitement des données. Cependant, ces exigences ne peuvent être respectées sans avoir préalablement identifié où se trouvent les données soumises à réglementation.
C’est pourquoi les programmes de conformité échouent en l’absence d’une base de données adéquate.
Dans ce cas, la classification des données sert de pilier à la conformité, en associant les données à des catégories réglementaires. Elle permet aux organisations d’appliquer des contrôles ciblés en fonction de la sensibilité des données et de faire respecter les politiques essentielles relatives au cycle de vie des données.
Cela ouvre la voie à une multitude de fonctionnalités essentielles :
- Application des politiques de conservation et de suppression
- Restriction de l’accès aux données réglementées
- Mise en œuvre de contrôles essentiels en matière de confidentialité
Cela simplifie également les processus d’audit. Les organisations peuvent démontrer où se trouvent les données sensibles, comment elles sont protégées et qui y a accès. La gouvernance des accès renforce encore davantage la conformité en garantissant que seules les identités autorisées puissent interagir avec les données réglementées.
Ensemble, la classification des données et les contrôles d’accès redéfinissent la conformité à l’ère moderne, marquée par l’intelligence artificielle.
Conclusion : Quelles sont aujourd’hui les conditions indispensables à une sécurité efficace des données et de l’IA ?
La sécurité moderne des données et de l’IA ne se limite plus à des défenses périmétriques ou à des contrôles isolés. Elle nécessite une approche continue et unifiée qui associe visibilité, classification et gouvernance des accès tout au long du cycle de vie des données.
Pour mettre en œuvre une telle approche, les entreprises doivent d’abord comprendre leurs données et identifier précisément où elles se trouvent. Elles doivent ensuite contrôler les modes d’accès à ces données. Enfin, elles doivent s’assurer que les systèmes d’IA les utilisent de manière responsable. Ces capacités doivent fonctionner de concert, et non de manière indépendante, afin de réduire les risques d’exposition et de préserver la confiance.
À mesure que les volumes de données augmentent et que l’adoption de l’IA s’accélère, le défi ne consistera pas seulement à sécuriser les données, mais à démontrer où se trouvent les données sensibles, qui peut y accéder et comment elles sont protégées sur l’ensemble des systèmes. Les entreprises qui mettront en place une approche structurée et fondée sur des politiques seront mieux à même de réduire les risques, de répondre aux exigences réglementaires et de favoriser l’innovation en toute confiance.
Foire aux questions :
Qu’est-ce que la sécurité des données et de l’IA ?
La sécurité des données et de l’IA consiste à identifier, classer et réguler l’accès aux données sensibles à travers les systèmes, les utilisateurs et les modèles d’IA. La solution Commvault Data and AI Security offre ces fonctionnalités dans les environnements hybrides, permettant ainsi aux entreprises de s’assurer que les données restent visibles, contrôlées et protégées tout au long de leur cycle de vie, y compris lors de leur utilisation dans le cadre de l’entraînement des modèles d’IA et de lagénération de résultats.
Pourquoi l’exposition des données sensibles représente-t-elle un risque majeur ?
L’exposition des données sensibles représente un risque majeur, car les entreprises manquent souvent de visibilité sur l’emplacement de leurs données et sur les personnes qui y ont accès, ce qui accroît le risque de fuites, d’utilisation abusive et d’infractions réglementaires. Commvault contribue à atténuer ce risque grâce à une approche unifiée qui combine la découverte des données, leur classification et la gouvernance des accès dans les environnements hybrides.
Quels sont les piliers essentiels de la sécurité des données ?
Les trois piliers fondamentaux de la sécurité des données sont la découverte, la classification et la gouvernance des accès. Commvault répond à chacun d’entre eux : la découverte des données permet d’identifier où se trouvent les données sensibles dans l’ensemble des environnements ; la classification des données définit leur niveau de sensibilité et leur type ; enfin, la gouvernance des accès aux données et à l’IA garantit un contrôle d’accès conforme aux politiques métier et réglementaires.
Pourquoi un accès trop permissif est-il dangereux ?
Un accès trop permissif permet aux utilisateurs, aux applications et aux comptes de service d’accéder à davantage de données que nécessaire, ce qui accroît le risque de divulgation accidentelle, de menaces internes et d’exploitation. La solution « Commvault Data & AI Access Governance » résout ce problème en surveillant en permanence les modèles d’accès, en alignant les autorisations sur la classification des données, ainsi qu’en identifiant et en corrigeant les dérives d’accès dans les environnements hybrides.
Comment les entreprises doivent-elles contribuer à la protection des données utilisées par l’IA ?
Les entreprises peuvent protéger les données utilisées pour l’IA en classifiant les ensembles de données avant l’entraînement et en surveillant en permanence la manière dont les modèles accèdent aux données et les divulguent. La solution « Commvault Data and AI Security » facilite cette démarche grâce à des contrôles de découverte, de classification et de gouvernance, notamment le masquage, le caviardage et les restrictions d’accès, ce qui permet de garantir que les données sensibles ne soient pas divulguées lors de l’entraînement de l’IA, par le comportement des modèles ou par leurs résultats.
En quoi la classification des données contribue-t-elle à la conformité ?
La classification des données facilite la mise en conformité en identifiant les données soumises à une réglementation, telles que les informations à caractère personnel (PII), et en les associant aux contrôles appropriés. La solution Commvault Data Classification aide les organisations à mettre en œuvre des politiques de conservation et de suppression conformes au RGPD, à la loi HIPAA et à la norme PCI DSS. Elle fournit également les preuves nécessaires, prêtes à être présentées en cas d’audit, pour démontrer comment les données sensibles sont identifiées, protégées et gérées.
Découvrez les ressources associées
Découvrez la gouvernance de l’accès aux données en action
Quels sont les principaux risques liés à la sécurité des données et de l’IA ?
