Principaux enseignements
- La perte de données par e-mail se cache dans des contenus complexes : les informations sensibles peuvent se trouver dans des pièces jointes, des images, des archives imbriquées, des métadonnées ou du texte invisible.
- Proactive DLP intervient avant la diffusion : le contenu est contrôlé et classé au moment du transfert, et non après sa diffusion.
- La mise en œuvre peut être proportionnée : les éléments sensibles peuvent être masqués, remplacés, hachés, marqués d'un filigrane ou bloqués, tandis que les messages légitimes continuent de circuler.
- La technologie DLP est intégrée à MetaDefender Email Gateway Security: l'inspection et l'application des règles s'effectuent au sein de la même passerelle SMTP/MX.
C'est par e-mail que se déroulent les activités professionnelles, et c'est par ce biais que des données sensibles peuvent être divulguées avant même que les équipes de sécurité n'aient eu l'occasion d'intervenir. Chaque jour, des contrats, des documents financiers, des identifiants, des informations médicales, du code source et de la propriété intellectuelle transitent par le corps des messages et les pièces jointes. La plupart de ces échanges sont légitimes. La fuite survient lorsque des contenus sensibles parviennent à un destinataire indésirable à la suite d'une erreur humaine, de comptes piratés, de pratiques de gestion insuffisantes ou d'une exfiltration délibérée. Une fois le message envoyé, les données appartiennent à son destinataire.
La prévention proactive des pertes de données (DLP) pour les e-mails analyse les messages et les pièces jointes au moment de leur transfert, classe les contenus sensibles en fonction de leur contexte et applique des mesures conformes aux politiques, telles que la caviardage, le hachage ou le blocage, avant la remise de l'e-mail.
Pour les administrations publiques, le secteur de la défense et les autres organisations soumises à une réglementation ou gérant des infrastructures critiques, trois fonctionnalités d’ Proactive DLP , intégrées à MetaDefender™ Email Gateway Security , revêtent une importance particulière.
- Les règles analysent les marquages de classification et les contenus sensibles présents dans l'objet, les en-têtes, le corps du message et les pièces jointes prises en charge ; ainsi, un marquage figurant dans un en-tête fait l'objet du même examen minutieux qu'un chiffre figurant dans une feuille de calcul.
- Le déploiement sur site permet de conserver les contenus sensibles au sein de l'infrastructure propre à l'entreprise.
- DLP fonctionne au sein de la même passerelle SMTP/MX que la technologie Deep CDR™ et Metascan™ Multiscanning; ainsi, les contrôles des données sensibles et la prévention contre les logiciels malveillants partagent un même circuit d'inspection.
Rapport d’IBM sur rapport 2026 sur le coût des violations de données estime le coût moyen mondial d’une fuite de données à 4,99 millions de dollars, soit une hausse de 12 % par rapport à l’année précédente, cette augmentation étant principalement due aux coûts liés à la détection, à l’escalade et à la perte d’activité. Le rapport analyse les fuites sur tous les canaux, y compris les e-mails, et ces chiffres illustrent les enjeux lorsque des informations sensibles échappent aux contrôles mis en place : enquêtes et mesures de confinement, contrôle réglementaire, perturbation des opérations et perte de confiance.
Pourquoi est-il difficile de maîtriser la perte de données liées aux e-mails ?
La perte de données dans les e-mails se limite rarement au texte apparent du message. Des informations sensibles peuvent se trouver dans un onglet de tableur, un PDF numérisé, un objet intégré, une image, une archive imbriquée, une zone recadrée d'une image ou encore dans les métadonnées d'un document. Elles peuvent également être dissimulées sous forme de texte blanc, de polices de très petite taille ou d'autres mises en forme qui échappent à l'inspection visuelle.
Les méthodes d'inspection classiques se limitent généralement aux motifs statiques, au texte visible et à un ensemble restreint de formats pris en charge, ce qui exclut de leur champ d'analyse les archives imbriquées, les zones d'image recadrées et le texte masqué.
Lorsqu'une règle est déclenchée, les contrôles classiques peuvent également imposer une décision radicale : bloquer l'intégralité du message ou l'autoriser à passer. Le blocage empêche toute exposition, mais une application sans discernement engendre des frictions opérationnelles. Les échanges légitimes sont bloqués, les utilisateurs cherchent des solutions de contournement, et les équipes de sécurité se retrouvent confrontées à davantage d'exceptions et de vérifications manuelles.
Cette exigence va donc au-delà de la simple détection d'un numéro de carte bancaire ou d'un identifiant national. Un système DLP efficace pour les e-mails doit être capable de repérer les données sensibles au sein de contenus complexes, de les évaluer en fonction de leur contexte et d'appliquer la politique définie avant que le message ne franchisse une frontière de confiance, sans pour autant transformer chaque échange légitime de fichiers en un cas d'assistance.
Ce que signifie « proactif » dans le cadre de la prévention des pertes de données
Proactive DLP transfère le contrôle au point de transfert. Au lieu de détecter une fuite après l'envoi, ce système inspecte le contenu tant que l'e-mail reste soumis à la politique en vigueur. L'objectif est d'intervenir : détecter et classer les informations sensibles, les évaluer dans leur contexte et appliquer la mesure appropriée avant que le message n'atteigne une destination non autorisée.
Les mesures de contrôle peuvent alors être proportionnées au risque. Certains contenus doivent être bloqués, mais dans d’autres cas, l’élément sensible peut être masqué, remplacé, anonymisé, haché, muni d’un filigrane ou supprimé des métadonnées, tandis que le reste du fichier continue de suivre un flux de travail approuvé. Cela est important car la prévention doit permettre de protéger les données sans perturber inutilement les processus métier qui les entourent.
Comment OPSWAT Proactive DLP voit au-delà des apparences
OPSWAT Proactive DLP™ combine plusieurs méthodes d’inspection de contenu, car les données sensibles ne se présentent pas sous une seule forme prévisible. La reconnaissance optique de caractères, la reconnaissance d’entités nommées, le traitement du langage naturel, les modèles configurables et les mots-clés fonctionnent conjointement pour identifier les informations personnelles identifiables (PII), les informations médicales protégées (PHI), les données de paiement, les identifiants d’accès, les secrets cloud, les documents réglementés et les types de données spécifiques à l’entreprise. Des modèles basés sur l’IA étendent la détection aux contenus sans forme fixe, tels qu’un identifiant dont le format varie ou un identifiant d’accès intégré dans un texte courant. La validation contextuelle permet d’améliorer la précision, par exemple en validant la structure des cartes de paiement ou en distinguant un identifiant sensible d’un simple numéro fortuit.
L'analyse s'étend de manière récursive à plus de 125 types de fichiers, couvrant les archives imbriquées, les calques intégrés, les PDF non consultables, les images et les zones d'image recadrées. Cette profondeur d'analyse est essentielle, car du contenu qui semble avoir été supprimé ou masqué peut encore se trouver à l'intérieur du fichier et rester accessible à toute personne sachant où chercher.
Le texte invisible en est un exemple. Du texte blanc sur fond blanc, des polices de très petite taille ou des champs masqués peuvent échapper à l’œil d’un vérificateur humain tout en restant présents et lisibles par une machine. Comme l’explique OPSWATblog consacré à la détection du texte invisible, ces techniques peuvent créer une lacune importante dans l’inspection. La lecture du contenu sous-jacent, y compris ce qui ne s’affiche jamais à l’écran, permet de combler cette lacune.
Lorsqu’une donnée sensible est identifiée, la politique définit la réponse à apporter. En fonction du type de fichier et de la configuration, Proactive DLP peut bloquer, masquer, remplacer, hacher, apposer un filigrane, supprimer les métadonnées ou anonymiser le contenu. Cette approche est plus précise que de traiter chaque détection comme un événement de mise en quarantaine automatique. Un document contenant un identifiant exposé peut être corrigé et validé, tandis qu’un fichier contenant des identifiants d’accès non autorisés ou une catégorie de données interdite peut être bloqué.
Proactive DLP génère également des traces pour chaque décision. Les scores de confiance et les enregistrements de classification peuvent être intégrés sous forme de métadonnées pour les workflows en aval liés au SIEM, à la gestion documentaire et à l’automatisation, ce qui aide les équipes à retracer ce qui a été détecté, comment cela a été classé et quelle action a été appliquée. Des contrôles spécialisés viennent compléter le modèle, notamment l’anonymisation des informations de santé protégées dans les images médicales au format DICOM et le hachage cryptographique des identifiants pour les analyses contrôlées ou les workflows de partage de données.
Comment MetaDefender Email Gateway Security applique-t-il la technologie DLP aux e-mails ?
MetaDefender Email Gateway Security intègre ces contrôles dans les flux de travail des e-mails entrants et sortants. Déployé au niveau de la couche SMTP/MX, il inspecte les messages et les pièces jointes avant leur livraison, ce qui permet à l'entreprise de faire respecter ses règles plutôt que de devoir recourir à des mesures correctives a posteriori.
Au sein de la solution « MetaDefender » (Email Gateway Security), la fonctionnalité « Proactive DLP » traite la dimension des données sensibles liée aux risques liés aux e-mails au niveau du message, au-delà de la simple limite des pièces jointes. Les politiques peuvent analyser les marquages de classification et les contenus sensibles présents dans l’objet, les en-têtes, le corps du message et les pièces jointes prises en charge avant que le message ne franchisse une limite de domaine ou de zone de confiance. Les organisations peuvent ainsi identifier les informations personnelles, réglementées, contrôlées ou classifiées dans leur contexte et appliquer des règles de traitement aux différents composants du message. Lorsque la politique et la prise en charge des fichiers le permettent, MetaDefender Email Gateway Security peut masquer les données sensibles et transmettre le contenu corrigé, supprimer un composant non conforme tout en laissant le reste du message passer, ou bloquer et mettre en quarantaine le transfert lorsque le risque ne peut être résolu en toute sécurité. Ce modèle d’actions correctives permet de préserver les communications légitimes tout en conservant le contrôle sur les données quittant l’organisation.
Les pièces jointes chiffrées peuvent également être intégrées au processus d’inspection, au lieu d’être bloquées automatiquement ou autorisées à titre d’exception. En fonction du déploiement et de la configuration des politiques, la passerelle peut utiliser les mots de passe figurant dans le corps de l’e-mail ou fournis via un workflow de destinataires contrôlé, puis transmettre le contenu déchiffré à Proactive DLP et aux couches de sécurité associées. Cela permet de combler une lacune en matière d’inspection que pourraient sinon créer les fichiers protégés par mot de passe ou les fichiers chiffrés imbriqués.
Chaque décision doit également pouvoir être justifiée. MetaDefender Email Gateway Security permet d’enregistrer les résultats des inspections au niveau des messages et des composants, y compris les pièces jointes, les règles et la couche de sécurité concernées, et de transmettre les événements au SIEM d’une organisation via des formats de journalisation standard. Le déploiement sur site permet aux environnements soumis à des restrictions de conserver les contenus sensibles au sein de leur propre infrastructure, tout en conservant une trace vérifiable de l’application des règles.
Le DLP s'inscrit dans une architecture plus large axée sur la prévention. La protection anti-hameçonnage en temps réel analyse les messages issus d'attaques d'ingénierie sociale et les liens potentiellement malveillants. La technologie Metascan™ Multiscanning analyse les fichiers à l’aide de plus de 30 moteurs anti-malware. La technologie Deep CDR™ supprime de manière préventive tout contenu actif potentiellement dangereux des fichiers pris en charge. L’IA prédictive Alin fournit des verdicts basés sur l’apprentissage automatique avant l’exécution, tandis que l’MetaDefender Aether™ analyse le comportement des fichiers suspects. Chaque couche traite un risque spécifique ; ensemble, elles contribuent à protéger le canal de messagerie contre l’intrusion de contenus malveillants dans l’entreprise et la fuite de données sensibles hors de celle-ci.
Protéger les données sans interrompre le flux de travail
L'intérêt de la gestion des informations d'proactive DLP , réside dans la capacité de l'organisation à gérer les informations sensibles de manière cohérente, sans entraver l'échange légitime de fichiers dont dépendent les employés, les partenaires et les processus réglementés.
En allant au-delà de l’analyse du texte visible, en appliquant les politiques avant la diffusion et en corrigeant les éléments sensibles le cas échéant, les organisations peuvent réduire les angles morts, limiter les vérifications manuelles et fournir des preuves plus claires que les contrôles ont fonctionné comme prévu. Ce même modèle permet de protéger les identifiants cloud et les secrets de l’ API , de régir les données de paiement et d’identité, et d’appliquer un traitement spécialisé aux contenus médicaux réglementés. Ces capacités soutiennent les programmes de protection de la vie privée, de sécurité et de conformité, mais elles ne remplacent pas la gouvernance des accès, la formation des utilisateurs ni la réponse aux incidents.
Commencez à utiliser « Proactive DLP » pour Email Security
Dès lors que des informations sensibles parviennent à un destinataire non autorisé, la prévention cède la place à la réaction. Le point de contrôle le plus efficace se situe avant que le message ne quitte la passerelle. Grâce à des politiques adaptées, chaque clé cryptographique, chaque numéro de Sécurité sociale et chaque numéro de carte figurant dans cette proposition est masqué, supprimé ou bloqué avant que les données ne fassent l'objet d'une fuite.
Découvrez comment MetaDefender Email Gateway Security peut aider votre entreprise à inspecter, contrôler et protéger les données sensibles contenues dans les e-mails entrants et sortants.
Pour en savoir plus sur la détection basée sur le contenu, la correction granulaire et les contrôles avancés des données sensibles, téléchargez le guide «OPSWAT » (Proactive DLP ) à l'adresse suivante : .
Foire aux questions (FAQ)
Qu'est-ce que « Proactive DLP » pour les e-mails ?
Proactive DLP inspecte les e-mails et leurs pièces jointes au moment de leur transfert, classe les contenus sensibles en fonction de leur contexte et applique les mesures prévues par la politique avant que le message n'atteigne une destination non autorisée.
Quelles données sensibles Proactive DLP peut-il détecter dans les e-mails ?
Il identifie les informations personnelles identifiables (PII), les informations médicales protégées (PHI), les données de paiement, les identifiants d'accès, les secrets de cloud, les documents réglementés et les types de données spécifiques à l'organisation parmi plus de 125 types de fichiers, y compris les archives imbriquées, les couches intégrées, les fichiers PDF non consultables, les images et les zones d'image recadrées.
Le système DLP pour les e-mails doit-il bloquer l'intégralité du message ?
Non. Lorsque la politique et la prise en charge des fichiers le permettent, MetaDefender Email Gateway Security peut masquer les données sensibles et fournir un contenu corrigé, supprimer un élément non conforme tout en laissant le reste du message passer, ou bloquer et mettre en quarantaine le transfert.
Le DLP permet-il d'inspecter les pièces jointes cryptées des e-mails ?
En fonction du déploiement et de la configuration des règles, la passerelle peut utiliser les mots de passe figurant dans le corps de l'e-mail ou fournis via un workflow de destinataires contrôlé, puis transmettre le contenu déchiffré à Proactive DLP.
Quel produit de sécurité des e-mails d'OPSWAT . intègre la fonctionnalité DLP ?
MetaDefender Email Gateway Security Il s'agit actuellement de la seule solution de sécurité des e-mails d'OPSWAT dotée de fonctionnalités DLP.
