Stratégie de contrôle des opérations sur les fichiers

Le contrôle des opérations limite les opérations locales sur les fichiers selon leur chemin. Il se configure séparément de Flow Trace, qui collecte des indices d’activité. Activer cette stratégie n’active pas automatiquement le suivi ; un enregistrement réussi ne prouve pas qu’un terminal a bloqué une opération. La description ci-dessous prend les terminaux Windows comme exemple ; vérifiez séparément les autres plateformes, applications et méthodes d’opération.

Avant la configuration

• Utilisez un compte autorisé à gérer les stratégies Data Loss Prevention. Vérifiez que les terminaux pilotes sont inscrits et disposent des licences nécessaires.
• Confirmez les chemins, les opérations et les conséquences avec les responsables métier. Préparez des fichiers de test non sensibles, des terminaux pilotes restaurables et un plan de retour arrière. Des chemins ou restrictions trop larges peuvent perturber l’activité ; ne les appliquez pas à tous les terminaux sans test.
• Pour consulter des indices d’activité des fichiers, configurez séparément la stratégie Flow Trace applicable. Un blocage et la présence d’un enregistrement sont deux résultats différents.

Configurer les règles

1. Dans Data Loss Prevention, ouvrez Policy. Créez ou modifiez une stratégie pilote et vérifiez son nom, les terminaux ciblés et la période d’application.
2. Activez File operation control, choisissez Configure, puis Add rule. Configurez au moins une règle complète. Même si la page permet d’enregistrer une liste vide, cela ne signifie pas qu’une restriction effective existe.
3. Renseignez Rule name et File path. Le chemin est obligatoire et doit se terminer par * ; les doublons sont interdits dans une même stratégie, sans distinction de casse. C:\TestDocs\* est un exemple de test ; renseignez et vérifiez le chemin réel du terminal.
4. Dans Operation restrictions, sélectionnez au moins une option : Read-only, Copy denied, Delete denied, Move denied ou Rename denied. Choisissez selon les besoins métier et vérifiez chaque restriction séparément.
5. Activez Creation time check si nécessaire. Dans ce cas, Maximum creation time (seconds) doit être un entier positif. Par exemple, 60 ne correspond qu’aux fichiers créés il y a moins de 60 secondes. L’heure de création, l’horloge du terminal et la lecture des attributs peuvent influencer la correspondance ; cette option ne garantit pas la restriction de tous les fichiers.
6. Vérifiez le chemin, les restrictions et l’ordre de chaque règle, confirmez la fenêtre et enregistrez toute la stratégie. L’ordre est modifiable. Dans le contrôle des opérations sur fichiers sous Windows, si des chemins se chevauchent, les restrictions de la première règle correspondante s’appliquent sans fusion automatique des règles suivantes. Vérifiez ce chevauchement et l’ordre en test pilote.

Vérifier et dépanner

1. Attendez la réception et l’application de la stratégie par le terminal pilote. Avec des chemins et fichiers contrôlés, testez les opérations correspondantes et non correspondantes ; si la vérification temporelle est active, testez aussi des fichiers respectant et ne respectant pas la condition.
2. Testez copie, suppression, déplacement, renommage ou lecture seule en comparant chaque restriction choisie au résultat réel. Vérifiez séparément les applications et méthodes d’opération ; ne supposez pas que toute opération sera bloquée.
3. En cas d’écart, vérifiez licence, portée et période de la stratégie, état du terminal, ordre des règles, chemin, heure de création, opérations sélectionnées et autres stratégies applicables. Un enregistrement réussi ne prouve pas l’exécution sur le terminal.
4. En cas d’impact métier, ajustez ou désactivez la règle selon la procédure de l’organisation, puis vérifiez le rétablissement sur le terminal pilote. Ne supposez pas que tous les terminaux seront rétablis immédiatement après l’enregistrement.

• Stratégie de suivi des activités des fichiers