Cloud DSPM

Définition

DSPM (Data Security Posture Management) est une catégorie d'outils de sécurité cloud permettant de découvrir, classifier, et protéger automatiquement les données sensibles dans les environnements cloud (stockage objet, bases de données, data warehouses, pipelines de données). Le DSPM complète le CSPM en ajoutant une couche de visibilité centrée sur les données plutôt que sur la configuration de l'infrastructure. Les DSPM découvrent automatiquement où se trouvent les données sensibles dans le cloud : ils scannent les buckets S3, Azure Blob, GCS, les bases de données RDS/Aurora, les tables BigQuery, les data lakes Snowflake et les instances Databricks pour identifier les données PII (informations personnelles identifiables), les données financières (numéros de cartes, comptes bancaires), les secrets et credentials, et les données de santé (PHI - Protected Health Information). Cette découverte est automatique et continue, couvrant les données créées après le déploiement initial. Les DSPM évaluent l'exposition des données découvertes : une base de données RDS contenant des données PII est-elle exposée publiquement ? Un bucket S3 avec des données financières a-t-il une politique d'accès public ? Qui peut accéder à ces données (analyse des chemins d'accès effectifs incluant les rôles IAM et les permissions) ? Cette analyse du chemin d'attaque vers les données sensibles permet de prioriser les reméditations par risque réel. Les solutions DSPM leaders du marché incluent Wiz DSPM (intégré dans la plateforme Wiz), Varonis SaaS, Cyera, BigID, et Securiti.ai. Ces outils s'intègrent avec les outils de gouvernance des données (Apache Atlas, AWS Glue Data Catalog) et les DLP pour créer un programme complet de protection des données cloud. L'intégration DSPM avec les workflows de remédiation (tickets Jira, notifications Slack, intégration SOAR) permet une réponse automatisée aux expositions de données critiques : si un bucket S3 contenant des PII est rendu public, le DSPM crée automatiquement un ticket CRITICAL et peut même déclencher une Lambda remédiant automatiquement l'exposition.