Il y a quelques années, sécuriser une entreprise ressemblait à fortifier un château fort. On construisait des remparts (pare-feu, antivirus, VPN), on gardait les portes, et on espérait que les méchants resteraient dehors. C’était simple, un peu naïf, mais ça fonctionnait à peu près.

Puis le monde a changé. Les données de l’entreprise ne vivent plus dans un seul château. Elles sont éparpillées dans des dizaines d’endroits : un fichier Excel dans Google Drive, une base de données clients chez AWS, des exports RH dans Slack, des sauvegardes automatiques dans un coin oublié d’Azure. Le château a explosé en mille morceaux, et personne n’a vraiment de carte complète du terrain.

C’est exactement ce problème que la gestion de la posture de sécurité des données — ou DSPM, pour Data Security Posture Management — cherche à résoudre.

Le problème que personne ne voit venir

Voici un scénario banal, vécu par des milliers d’entreprises. Une équipe marketing exporte une liste de clients depuis le CRM pour préparer une campagne. Le fichier atterrit dans un dossier partagé sur le cloud. Quelques mois plus tard, la personne qui l’a créé a quitté l’entreprise. Le dossier, lui, est toujours là — accessible à n’importe quel prestataire externe qui a été invité sur l’espace collaboratif à l’époque.

Personne n’a commis de faute grave en matière de cybersécurité. Personne n’a été négligent de façon flagrante. Et pourtant, des milliers de données personnelles sont exposées, en violation probable du RGPD, sans que quiconque en soit conscient.

Multipliez ce scénario par la taille d’une organisation de 500, 2 000 ou 50 000 personnes, et vous comprenez l’ampleur du défi. Selon plusieurs études du secteur, une part significative des données stockées dans le cloud ne sont pas correctement protégées — non pas à cause d’attaques sophistiquées, mais simplement parce que personne ne sait qu’elles existent là.

Ce que fait concrètement un outil DSPM

Un système DSPM fonctionne un peu comme un inspecteur qui parcourt en permanence tous les recoins d’une organisation à la recherche de données mal protégées.

Pour ce faire, il réalise quatre grandes opérations en continu.

La découverte, d’abord. L’outil se connecte à tous les environnements de stockage de l’entreprise — buckets S3, bases de données, applications SaaS comme Salesforce ou Microsoft 365, serveurs internes — et dresse un inventaire de tout ce qui contient des données. C’est souvent là que les équipes informatiques ont la première mauvaise surprise : elles découvrent des stockages dont elles ignoraient l’existence.

La classification, ensuite. Une fois les données trouvées, l’outil cherche à comprendre ce qu’elles contiennent. Il utilise des techniques d’analyse automatique pour identifier ce qui est sensible : numéros de carte bancaire, données de santé, informations d’identité couvertes par le RGPD, secrets industriels, codes source. L’objectif est de savoir, pour chaque dépôt de données, quel est son niveau de sensibilité réel.

L’analyse des risques, troisième étape. Qui peut accéder à ces données ? Depuis où ? Sont-elles chiffrées ? Les accès sont-ils journalisés ? Y a-t-il des permissions accordées à des comptes inactifs ou à des tiers ? C’est à ce stade que l’outil croise la sensibilité des données avec leur niveau de protection effectif — et identifie les décalages dangereux.

La remédiation, enfin. Une fois les problèmes identifiés, certains outils DSPM peuvent corriger automatiquement les configurations à risque, ou du moins alerter les équipes concernées avec des recommandations précises.

Pourquoi c’est devenu urgent

Le DSPM n’est pas une invention récente, mais le concept a pris une importance considérable depuis 2022-2023. Plusieurs phénomènes convergents expliquent cet intérêt soudain. L’adoption massive du multi-cloud a rendu le problème de visibilité structurel. Une organisation qui utilise simultanément AWS, Google Cloud et Azure, tout en jonglant avec vingt applications SaaS, a des données dispersées dans des environnements qui ne se « parlent » pas naturellement. Maintenir une vue cohérente et à jour de tout ça manuellement est devenu impossible.

Les exigences réglementaires se sont également durcies. En Europe, le RGPD imposait déjà des obligations strictes sur la connaissance et la protection des données personnelles. La directive NIS2, entrée en application fin 2024, et le règlement DORA pour le secteur financier ajoutent de nouvelles contraintes. Les organisations ne peuvent plus se permettre de découvrir leurs problèmes de conformité lors d’un contrôle.

Enfin, les conséquences des fuites de données ont grimpé en flèche — financièrement, réputationnellement, juridiquement. Les entreprises ont compris que la question n’est plus « est-ce qu’on sera attaqués ? » mais « quand on sera attaqués, est-ce que les données les plus sensibles seront correctement protégées ? ».

La différence avec ce qui existait avant

Il faut distinguer le DSPM d’autres approches qui lui ressemblent en surface. Les outils de type DLP (Data Loss Prevention) cherchent à empêcher les données de sortir — ils surveillent les flux, les emails, les transferts. C’est utile, mais réactif. Le DSPM, lui, part d’une logique inverse : il cartographie d’abord l’existant, puis évalue les risques à la source. Les solutions de gestion des identités et des accès (IAM) s’intéressent aux personnes — qui a le droit de faire quoi. Le DSPM s’intéresse aux données — où sont-elles, et ce qui les entoure est-il cohérent avec leur valeur. Ces approches sont complémentaires, et les équipes de sécurité les plus matures les combinent.

Ce que ça change pour les organisations

Adopter une approche DSPM, c’est passer d’une sécurité réactive à une sécurité fondée sur la connaissance. C’est savoir, à tout moment, que les données les plus critiques sont là, qu’elles sont protégées à la hauteur de leur importance, et que personne n’y a accès de façon injustifiée.

Ce n’est pas une solution miracle — aucun outil ne l’est. Mais dans un contexte où les données s’accumulent plus vite que les équipes sécurité ne peuvent les surveiller manuellement, automatiser cette vigilance est devenu moins un luxe qu’une nécessité opérationnelle.

La vraie question, désormais, n’est pas « avons-nous besoin de ça ? » mais « pouvons-nous vraiment nous en passer ? »