Classifieurs DLP Purview : choisir la bonne méthode

La Data Loss Prevention (DLP) de Microsoft Purview n'est efficace que si la détection correspond réellement aux données à protéger. C'est là que le choix du classifieur devient structurant : un mauvais mécanisme crée du bruit, des faux positifs et des exceptions à répétition.

Pour les équipes Microsoft 365 et Purview, la bonne approche consiste à aligner chaque type de donnée sensible sur la méthode de détection adaptée, en tenant compte du niveau de précision attendu et du périmètre de licence disponible.

Pourquoi le choix du classifieur DLP change le résultat

Dans Microsoft Purview, les stratégies DLP ne détectent pas toutes les données de la même manière. Trois approches coexistent :

• les Sensitive Information Types (SITs),
• les Trainable Classifiers,
• Exact Data Match (EDM).

Leur différence principale tient à la façon dont Purview identifie l'information :

• SITs : détection par motif,
• Trainable Classifiers : détection par compréhension du contenu,
• EDM : détection par correspondance avec un référentiel réel.

Cette distinction a un impact direct sur trois points opérationnels :

• le niveau de précision,
• le volume de faux positifs,
• la charge d'administration pour maintenir la politique DLP.

Sensitive Information Types : le bon choix pour les données structurées

Les Sensitive Information Types sont la brique historique de la DLP dans Purview. Ils reposent sur des éléments reconnaissables dans le contenu :

• des expressions régulières,
• des mots-clés,
• des checksums,
• des éléments de contexte ou de preuve.

Cette approche fonctionne bien quand la donnée suit un schéma stable. C'est typiquement le cas de numéros d'identification, de références métier ou de champs réglementaires.

Cas d'usage typiques des SITs

Les SITs intégrés couvrent déjà de nombreux scénarios courants. Ils conviennent par exemple pour :

• des numéros de carte bancaire,
• des identifiants nationaux pris en charge nativement,
• des données à caractère personnel (PII, pour Personally Identifiable Information),
• des identifiants internes avec un format fixe.

Ils peuvent aussi être personnalisés pour des formats propres à l'organisation. Un identifiant du type DOM25004 entre parfaitement dans cette logique, tout comme un numéro de compte interne construit selon une règle stricte.

Ce que les SITs font bien, et leurs limites

Leur principal avantage est la simplicité. Si la donnée est structurée, la mise en œuvre est rapide et la détection reste lisible pour les équipes conformité.

En revanche, les SITs montrent vite leurs limites quand :

• le contenu n'a pas de format stable,
• plusieurs documents partagent des mots proches sans porter le même niveau de sensibilité,
• la règle repose davantage sur le sens du document que sur une chaîne de caractères.

Autrement dit, un SIT sait très bien repérer un motif. Il sait beaucoup moins bien comprendre qu'un document est un contrat, un CV ou un dossier RH si aucun marqueur strict ne l'identifie.

Trainable Classifiers : classifier le sens d'un document, pas seulement sa forme

Les Trainable Classifiers apportent une logique différente. Ici, Purview ne cherche pas un format précis. Le moteur s'appuie sur le machine learning pour reconnaître un type de contenu à partir d'exemples et de caractéristiques globales du document.

Cette approche est utile lorsque la sensibilité découle de la nature du document et non d'un identifiant isolé.

Quand privilégier les Trainable Classifiers

Les cas d'usage les plus pertinents sont les contenus non structurés, par exemple :

• des documents RH,
• des CV,
• du code source,
• des contrats,
• des documents juridiques.

Dans ces scénarios, une simple regex ne suffit pas. Le document peut être sensible sans contenir un numéro particulier ni une séquence facilement normalisable.

Ce qu'il faut anticiper avant de les utiliser

Les Trainable Classifiers sont puissants, mais ils demandent une approche plus sélective.

Il faut notamment vérifier :

• que la catégorie documentaire est suffisamment homogène,
• que le besoin porte bien sur un type de contenu,
• que les équipes acceptent une logique de détection moins explicite qu'une regex.

Le point d'attention classique concerne l'explicabilité. Avec un SIT personnalisé, il est facile d'expliquer pourquoi une alerte a été déclenchée. Avec un classifieur entraînable, l'analyse repose sur un ensemble de signaux plus large. Cela améliore souvent la détection, mais complique parfois les discussions avec les métiers si la gouvernance n'est pas claire.

Exact Data Match : la méthode la plus précise pour les enregistrements réels

Exact Data Match (EDM) vise un objectif différent : ne déclencher que lorsque la donnée trouvée correspond à une valeur réelle issue de l'organisation.

Le principe est simple. Purview compare le contenu analysé à un jeu de données de référence protégé, par exemple :

• des identifiants clients,
• des identifiants employés,
• des numéros de compte,
• des identifiants patients,
• une liste maître de clients autorisés.

Cette méthode est particulièrement adaptée quand une détection par motif génère trop de bruit. Un numéro peut ressembler à un identifiant client sans en être un. Avec EDM, la politique ne se déclenche que si la valeur appartient réellement au référentiel fourni.

Là où EDM apporte une vraie valeur

EDM est souvent le meilleur choix pour :

• réduire fortement les faux positifs,
• protéger des données métier critiques,
• appliquer une DLP ciblée sur des enregistrements authentiques.

Le bénéfice est net dans les environnements qui manipulent de gros volumes de données structurées, avec un fort enjeu de précision. C'est souvent le cas dans la finance, la santé ou les environnements B2C avec référentiels clients.

La contrepartie à ne pas sous-estimer

EDM n'est pas un raccourci universel. Cette approche suppose une vraie discipline de gestion des données de référence. Si le jeu de données n'est pas à jour, la détection perd en valeur.

Avant de partir sur EDM, il faut donc valider :

• la qualité du référentiel source,
• sa fraîcheur,
• le processus de mise à jour,
• la capacité à gouverner ce contenu dans la durée.

Licences : ce qui est accessible selon votre abonnement

Le choix technique est aussi un choix de licence. D'après les éléments fournis, Business Premium couvre la DLP de base avec les SITs intégrés et personnalisés, tandis que les fonctionnalités avancées comme Trainable Classifiers et EDM nécessitent Purview Suite Add-On ou Microsoft 365 E5.

Ce tableau donne une règle simple :

• si la donnée a un format stable, commencez par SITs,
• si la sensibilité dépend du type de document, regardez Trainable Classifiers,
• si vous devez détecter uniquement des valeurs réelles, orientez-vous vers EDM.

Comment décider entre SITs, Trainable Classifiers et EDM

Dans la pratique, le bon choix repose sur quelques questions simples.

1. La donnée suit-elle un motif fiable ?

Si oui, SITs est souvent l'option la plus rapide et la plus rentable.

Exemples :

• référence interne normalisée,
• numéro de compte à structure fixe,
• identifiant réglementaire connu.

2. La sensibilité dépend-elle du contexte documentaire ?

Si oui, Trainable Classifiers est généralement plus adapté.

Exemples :

• un contrat sans identifiant particulier,
• un document RH contenant peu de marqueurs formels,
• un dépôt de code ou un extrait technique sensible.

3. Faut-il détecter uniquement des données existantes dans votre organisation ?

Si oui, EDM est la meilleure réponse.

Exemples :

• liste de clients actifs,
• base d'employés,
• référentiel de patients,
• ensemble d'identifiants métiers validés.

Pièges fréquents dans une stratégie DLP Purview

Plusieurs erreurs reviennent souvent lors de la conception des politiques DLP.

Utiliser un SIT là où un document doit être compris globalement

C'est l'erreur la plus fréquente. Une organisation tente de détecter des contrats ou des dossiers RH à coups de mots-clés. Le résultat est rarement stable.

Vouloir tout faire avec EDM

EDM est précis, mais plus exigeant en gouvernance. Il n'a de sens que si un référentiel fiable existe déjà.

Ignorer l'impact licence dès la phase de design

Construire une stratégie fondée sur Trainable Classifiers ou EDM sans disposer de Purview Suite Add-On ou de Microsoft 365 E5 bloque rapidement le projet.

Ne pas distinguer précision et couverture

Un SIT couvre large. EDM couvre plus finement. L'un n'est pas meilleur que l'autre dans l'absolu. Tout dépend du compromis recherché entre couverture, précision et effort de maintenance.

En résumé : quoi faire lundi matin

Pour avancer concrètement, l'équipe sécurité ou conformité peut suivre cette séquence :

• inventorier les données réellement sensibles par catégorie,
• séparer les données structurées, les documents non structurés et les référentiels métiers,
• associer chaque catégorie au bon mécanisme : SITs, Trainable Classifiers ou EDM,
• vérifier immédiatement le périmètre de licence disponible,
• tester les politiques sur un périmètre restreint avant généralisation.

Si l'organisation démarre avec une licence Business Premium, le plus efficace est de commencer par les Sensitive Information Types intégrés et personnalisés. Si elle dispose de Microsoft 365 E5 ou de Purview Suite Add-On, elle peut ensuite affiner la détection avec Trainable Classifiers et Exact Data Match sur les cas où la précision devient critique.

Le point clé n'est pas de choisir le classifieur le plus avancé. C'est de choisir celui qui correspond réellement à la forme de la donnée à protéger.