Home > Blog Sécurité et Conformité > Gestion des risques liés à la cybersécurité > DSPM pour le secteur public : gestion des données classifiées et sensibles à grande échelle

DSPM pour le secteur public : gestion des données classifiées et sensibles à grande échelle

par Bob Ertl updated septembre 15, 2025 Gestion des risques liés à la cybersécurité

temps de lecture: 10 minutes

Les agences gouvernementales font face à des défis uniques pour gérer les informations classifiées et les informations non classifiées contrôlées (CUI) dans des environnements cloud et hybrides de plus en plus complexes. Avec un coût moyen de 2,86 millions de dollars par violation de données dans le secteur public et le risque pour les sous-traitants fédéraux de perdre leurs contrats en cas de non-conformité à la FISMA, les approches de sécurité traditionnelles ne répondent plus aux exigences strictes de la protection des données gouvernementales.

Ce guide détaille comment la gestion de la posture de sécurité des données (DSPM) répond aux défis spécifiques rencontrés par les organismes gouvernementaux pour sécuriser les données classifiées et sensibles dans des infrastructures multi-cloud. Vous découvrirez comment la DSPM permet d’assurer une conformité continue avec FISMA, FedRAMP et CMMC, tout en soutenant les initiatives de transformation numérique sécurisée qui améliorent les services aux citoyens et l’efficacité opérationnelle.

Vous pensez que votre organisation est sécurisée. Mais pouvez-vous le prouver ?

Pour en savoir plus :

Table of Contents

Résumé Exécutif

Idée principale : La DSPM gouvernementale automatise la découverte, la classification et la protection des données classifiées et CUI dans les environnements cloud, tout en assurant une conformité continue avec FISMA, FedRAMP et CMMC grâce à une gestion intégrée des risques et à l’application des politiques de sécurité.

Pourquoi c’est important : Les violations dans le secteur public coûtent en moyenne 2,86 millions de dollars, et la non-conformité à la FISMA peut entraîner la résiliation de contrats et des sanctions réglementaires. L’automatisation du suivi de la conformité et la protection des données classifiées par la DSPM sont donc essentielles pour préserver les habilitations de sécurité et la continuité des opérations gouvernementales.

Points Clés à Retenir

La découverte des données classifiées et CUI est obligatoire pour la conformité FISMA. Les agences gouvernementales doivent tenir un inventaire exhaustif des données classifiées et CUI sur tous leurs systèmes pour répondre aux exigences de la FISMA et à l’obligation de surveillance continue.
L’autorisation FedRAMP exige une surveillance continue de la sécurité des données. Les fournisseurs de services cloud doivent démontrer leurs capacités de protection des données via une surveillance et une évaluation automatisées, rendant la DSPM indispensable pour conserver le statut d’Autorité d’Exploitation FedRAMP.
La certification CMMC Niveau 2 impose la protection automatisée des CUI. Les sous-traitants de la défense doivent mettre en place des contrôles automatisés d’identification et de protection des CUI pour obtenir la certification CMMC Niveau 2, la DSPM offrant la visibilité et les fonctions de contrôle requises.
Les violations gouvernementales entraînent des coûts, dont la résiliation de contrats et la perte d’habilitation. Au-delà du coût moyen de 2,86 millions de dollars, une violation peut entraîner l’annulation de contrats, le retrait d’habilitations de sécurité et l’exclusion de futurs marchés publics.
Les environnements multi-cloud exigent une gestion unifiée de la posture de sécurité. Les agences utilisant plusieurs plateformes cloud ont besoin d’une visibilité et d’un contrôle centralisés pour garantir l’application cohérente des politiques de protection sur tous les environnements traitant des données classifiées ou sensibles.

Exigences en matière de sécurité des données gouvernementales

Les agences gouvernementales évoluent dans un cadre complexe d’exigences de sécurité qui vont bien au-delà de la conformité classique des entreprises. L’intersection entre les informations classifiées, les informations non classifiées contrôlées (CUI) et la confiance du public crée des défis spécifiques nécessitant des approches de sécurité adaptées.

Comprendre les classifications des données gouvernementales

Les données gouvernementales comportent plusieurs niveaux de classification, chacun imposant des modalités précises de gestion, de stockage et de transmission à respecter tout au long du cycle de vie de la donnée.

Informations classifiées

Les informations classifiées comprennent les données désignées comme Confidentiel, Secret ou Top Secret selon l’Executive Order 13526. Leur gestion requiert des systèmes spécialisés, du personnel habilité et des contrôles d’accès stricts que les outils de sécurité commerciaux classiques ne peuvent pas garantir.

Les opérations gouvernementales modernes exigent de plus en plus le traitement de données classifiées dans le cloud, ce qui pose de nouveaux défis pour maintenir des frontières de sécurité adaptées tout en permettant la collaboration et l’analyse nécessaires.

Informations non classifiées contrôlées (CUI)

Les informations non classifiées contrôlées (CUI) nécessitent une protection ou des restrictions de diffusion conformément à la législation, aux réglementations et aux politiques gouvernementales, sans pour autant relever de l’Executive Order 13526 ou de l’Atomic Energy Act.

Le programme CUI, instauré par l’Executive Order 13556, vise à uniformiser la gestion de ces informations non classifiées nécessitant une protection ou des restrictions de diffusion. Cette standardisation a remplacé plus de 100 marquages propres à chaque agence par une approche unifiée.

Cadre réglementaire de conformité

La sécurité des données gouvernementales s’inscrit dans un ensemble de réglementations et de normes interconnectées, générant des exigences croisées et une obligation de surveillance continue.

Exigences FISMA

Le Federal Information Security Modernization Act (FISMA) impose aux agences fédérales de mettre en place des programmes de sécurité de l’information. Il met l’accent sur la confidentialité, l’intégrité et la disponibilité, impose des audits annuels et confie la supervision au DHS et à l’OMB.

La conformité FISMA requiert des évaluations de risques continues, la mise en œuvre de contrôles de sécurité et des capacités de surveillance permanente, ce que les solutions ponctuelles traditionnelles ne peuvent garantir dans des environnements IT gouvernementaux complexes et distribués.

Autorisation FedRAMP

FedRAMP transpose la FISMA au cloud. FedRAMP et FISMA s’appuient sur les contrôles de sécurité NIST SP 800-53. Les contrôles FedRAMP reprennent les bases du NIST SP 800-53 et ajoutent des paramètres et recommandations spécifiques au cloud.

L’autorisation FedRAMP permet à plusieurs agences de s’appuyer sur la même évaluation de sécurité, mais chacune doit s’assurer que le service cloud répond à ses exigences propres en matière de gestion des risques et de protection des données.

Mise en œuvre du CMMC

Le programme Cybersecurity Maturity Model Certification (CMMC) impose aux sous-traitants de la défense de prouver qu’ils ont mis en place les mesures de sécurité nécessaires pour protéger les informations contractuelles fédérales (FCI) et les informations CUI.

Les sous-traitants doivent obtenir le niveau de certification CMMC adapté à la sensibilité des informations traitées, le Niveau 2 imposant l’application de tous les contrôles NIST 800-171 ainsi que des pratiques complémentaires.

Fonctions DSPM pour la protection des données gouvernementales

Les solutions DSPM pour le secteur public doivent répondre à des exigences spécifiques dépassant la protection des données commerciales, incluant la gestion des données classifiées, des CUI et la surveillance continue de la conformité dans des cadres réglementaires complexes.

Fonction	Outils de sécurité traditionnels	DSPM gouvernemental	Impact sur la conformité	Bénéfice pour la mission
Découverte des données classifiées	Limitées aux frontières réseau	Analyse automatisée multi-environnements	Surveillance continue FISMA	Réduction des risques
Classification des CUI	Processus manuels	Identification automatisée des catégories CUI	Certification CMMC Niveau 2	Efficacité opérationnelle
Visibilité multi-cloud	Surveillance fragmentée	Vue unifiée de la posture de sécurité	Surveillance continue FedRAMP	Supervision centralisée
Évaluation des risques	Évaluations ponctuelles	Analyse des risques en continu	Mise en œuvre NIST 800-53	Sécurité proactive
Reporting d’audit	Compilation manuelle	Documentation automatisée de conformité	Support multi-cadre	Allègement de la charge d’audit

Classification et découverte automatisées

Les agences gouvernementales ont besoin d’une visibilité totale sur les données classifiées et sensibles dans tous les systèmes autorisés, y compris les plateformes cloud qui soutiennent leurs opérations.

Intégration multi-niveaux de sécurité

Les solutions DSPM destinées au secteur public doivent s’intégrer à l’infrastructure de sécurité existante, notamment les systèmes de gestion des événements et informations de sécurité (SIEM), les plateformes de gestion des identités et les systèmes de classification.

Les plateformes DSPM avancées peuvent identifier et classifier les informations via l’analyse de contenu, l’inspection des métadonnées et l’intégration avec des sources officielles de classification, garantissant ainsi une gestion précise des données tout au long de leur cycle de vie.

Reconnaissance des catégories CUI

Les fonctions automatisées d’identification des CUI aident les organisations à répondre aux exigences du CMMC en analysant les types de données définis dans le registre CUI. Grâce aux règles de classification des données prêtes à l’emploi ou personnalisées de la DSPM, les organisations identifient rapidement les CUI dans leurs environnements cloud et cartographient les connexions entre ressources cloud.

Cette visibilité automatisée permet d’établir et de justifier plus rapidement le périmètre d’audit CMMC, de réduire le champ de l’audit et d’accélérer la documentation pour obtenir la certification.

Surveillance continue de la conformité

Les exigences de conformité gouvernementales imposent une évaluation et une documentation permanentes, rendant les capacités de surveillance continue indispensables.

Surveillance continue FISMA

Les plateformes DSPM offrent des fonctions automatisées pour la surveillance continue exigée par la FISMA, détectant les changements de configuration, les anomalies d’accès et les défaillances potentielles des contrôles de sécurité avant qu’elles ne provoquent des violations de conformité.

L’intégration avec les processus de gestion du changement garantit que toutes les modifications sont documentées et évaluées pour leur impact sur la sécurité, maintenant la documentation requise pour la conformité FISMA.

Évaluation continue FedRAMP

Les fournisseurs cloud doivent prouver la sécurité continue de leurs services via des capacités de surveillance en temps réel de l’efficacité des contrôles de sécurité et des changements susceptibles d’impacter le statut d’autorisation.

Les solutions DSPM répondent aux exigences de surveillance continue FedRAMP en automatisant l’évaluation des contrôles, la détection des changements non autorisés et la journalisation complète de tous les accès et modifications de données.

Stratégie de mise en œuvre DSPM pour le secteur public

La réussite d’un projet DSPM gouvernemental repose sur une coordination étroite avec l’infrastructure de sécurité existante, les exigences de conformité et les procédures opérationnelles propres au secteur public.

Phase	Durée	Activités clés	Jalon de conformité	Résultat sécurité
Évaluation	4-6 semaines	Analyse de l’existant, identification des écarts	Mise à jour de l’évaluation des risques FISMA	Établissement de la base de référence
Classification	6-8 semaines	Découverte des données classifiées et CUI	Inventaire des données finalisé	Visibilité atteinte
Intégration	8-12 semaines	Intégration des outils de sécurité, cartographie des politiques	Activation de la surveillance continue	Supervision unifiée
Automatisation	10-16 semaines	Contrôles automatisés, intégration des workflows	Validation de la mise en œuvre des contrôles	Efficacité opérationnelle
Optimisation	En continu	Optimisation des performances, élargissement du périmètre	Préparation à l’audit annuel	Amélioration continue

Approches de déploiement adaptées à chaque agence

Chaque agence gouvernementale a des missions, des niveaux de sensibilité et des exigences opérationnelles différents, influençant la stratégie de mise en œuvre de la DSPM.

Agences de défense et de renseignement

Les agences traitant des informations classifiées nécessitent des solutions DSPM intégrées à leur infrastructure de sécurité, notamment les Cross Domain Solutions (CDS), les réseaux HAIPE (High Assurance Internet Protocol Encryptor) et les systèmes de gestion des identités spécialisés.

L’implémentation doit prendre en compte la gestion compartimentée des informations, le principe du besoin d’en connaître (contrôles d’accès) et l’intégration avec les guides techniques de mise en œuvre de la sécurité (STIGs) et les overlays de contrôle.

Agences civiles

Les agences civiles se concentrent généralement sur la protection des CUI, la conformité à la FISMA et la prestation de services publics, ce qui implique de concilier sécurité, accessibilité et qualité de service aux citoyens.

Les projets DSPM doivent s’intégrer à l’architecture d’entreprise existante, soutenir les initiatives de services partagés et permettre le partage sécurisé d’informations avec les partenaires étatiques et locaux.

Intégration à l’infrastructure IT gouvernementale

Les solutions DSPM doivent s’intégrer efficacement aux investissements existants, incluant les systèmes hérités, outils de sécurité spécialisés et plateformes technologiques imposées.

Alignement sur l’architecture d’entreprise

Le déploiement DSPM doit respecter les principes d’architecture d’entreprise de l’agence, notamment l’utilisation de services partagés, de plateformes communes et d’interfaces standardisées favorisant l’interopérabilité à l’échelle gouvernementale.

L’intégration avec les plateformes de gestion des services IT garantit que les résultats DSPM sont pris en compte dans la gestion du changement, la gestion des incidents et les processus de gestion des risques.

Intégration gestion des identités et des accès

Les systèmes IAM gouvernementaux intègrent généralement les cartes PIV, les exigences FICAM et des systèmes de contrôle d’accès spécialisés pour les opérations classifiées et non classifiées.

Les solutions DSPM doivent s’intégrer à ces systèmes pour permettre des décisions d’accès contextuelles, basées à la fois sur les attributs utilisateurs et le niveau de sensibilité des données.

Surmonter les défis spécifiques à la DSPM gouvernementale

Les agences gouvernementales rencontrent des défis opérationnels et de sécurité spécifiques nécessitant des approches adaptées pour la mise en œuvre et la gestion continue de la DSPM.

Environnements multi-niveaux de sécurité

Les opérations gouvernementales impliquent souvent le traitement d’informations à plusieurs niveaux de classification, générant des exigences de sécurité complexes que les solutions commerciales ne peuvent pas adresser pleinement.

Partage d’informations entre domaines

Les agences doivent partager des informations entre différents niveaux de classification et domaines de sécurité tout en maintenant des contrôles d’accès et des traces d’audit pour chaque transaction.

Les solutions DSPM doivent permettre ce partage inter-domaine en préservant l’intégrité de la classification, en prenant en charge les technologies de filtrage et en fournissant des capacités d’audit répondant aux exigences de supervision de la sécurité.

Gestion compartimentée de l’information

Certains programmes et informations compartimentées exigent des contrôles d’accès et des procédures de gestion supplémentaires, au-delà des niveaux de classification standard.

Les projets DSPM gouvernementaux doivent intégrer les programmes d’accès spéciaux, les restrictions de divulgation à l’étranger et d’autres exigences de compartimentation qui impactent la gestion et le partage des données.

Exigences de collaboration inter-agences

Les opérations gouvernementales impliquent fréquemment le partage d’informations entre agences ayant des politiques de sécurité, des infrastructures techniques et des procédures opérationnelles différentes.

Gestion fédérée des identités et des accès

La collaboration inter-agences nécessite des fonctions de fédération d’identités compatibles avec différents systèmes d’authentification, tout en maintenant les contrôles de sécurité et les capacités d’audit appropriés.

Les solutions DSPM doivent prendre en charge ces scénarios d’accès fédéré tout en garantissant l’application des politiques de protection des données, quel que soit l’organisme d’origine ou le niveau d’habilitation de l’utilisateur.

Intégration des partenaires de mission

Les agences travaillent souvent avec des sous-traitants, des gouvernements locaux, étatiques ou internationaux qui ont besoin d’accéder à des informations spécifiques tout en respectant des frontières de sécurité strictes.

Les fonctions avancées de la DSPM doivent permettre la collaboration externe tout en assurant la protection des informations sensibles et la traçabilité de tous les accès.

Mesurer l’efficacité de la DSPM gouvernementale

Les agences gouvernementales ont besoin d’indicateurs précis pour démontrer la maturité de leur programme de conformité et soutenir l’amélioration continue.

Indicateurs de conformité

Des indicateurs quantifiables aident les agences à prouver leur conformité à plusieurs cadres réglementaires et à identifier les axes d’amélioration.

Exhaustivité de l’inventaire des données

Les agences doivent mesurer le pourcentage d’environnements IT où les données classifiées et CUI ont été identifiées et correctement catégorisées, l’objectif étant d’obtenir une visibilité totale sur tous les systèmes autorisés.

Le reporting régulier sur les nouveaux dépôts de données sensibles permet de suivre la dispersion des données et de s’assurer que les politiques de sécurité évoluent avec les changements de systèmes et de missions.

Statut de mise en œuvre des contrôles

Le suivi du déploiement des contrôles de sécurité requis sur tous les systèmes et plateformes donne une vision de la posture de conformité globale et aide à prioriser les actions correctives.

L’évaluation automatisée de l’efficacité des contrôles permet de maintenir la surveillance continue exigée par la FISMA tout en réduisant la charge manuelle liée au reporting de conformité.

Évaluation de l’impact opérationnel

La DSPM doit améliorer, et non entraver, les opérations gouvernementales. Il est donc essentiel de mesurer son impact opérationnel pour garantir le succès à long terme du programme.

Amélioration du soutien à la mission

Les agences doivent mesurer les progrès en matière de partage d’informations, de rapidité de prise de décision et d’efficacité globale de la mission, rendus possibles par une meilleure visibilité et protection des données.

Le suivi de la réduction des retards opérationnels liés à la sécurité prouve qu’une protection optimale des données peut soutenir la mission plutôt que la freiner.

Sécurisez les données gouvernementales avec la DSPM

Les agences gouvernementales ne peuvent plus s’appuyer sur les approches traditionnelles pour gérer les données classifiées et sensibles dans des environnements cloud modernes. La DSPM offre la découverte, la classification et la protection nécessaires pour répondre aux exigences FISMA, FedRAMP et CMMC, tout en soutenant la transformation numérique au service des citoyens et de l’efficacité opérationnelle.

Les conséquences d’une protection insuffisante des données gouvernementales vont bien au-delà des pertes financières : résiliation de contrats, retrait d’habilitations de sécurité, impact sur la mission pouvant affecter la sécurité nationale et la sûreté publique. La DSPM permet une gestion proactive des risques pour prévenir les incidents de sécurité plutôt que d’y réagir.

Les agences qui déploient avec succès la DSPM bénéficient d’une posture de sécurité renforcée, de processus de conformité rationalisés et d’une capacité accrue à collaborer en toute sécurité avec leurs partenaires tout en maintenant la confiance du public et la conformité réglementaire.

Renforcez votre investissement DSPM avec Kiteworks

Si les solutions DSPM excellent dans la découverte des données classifiées et CUI sur les systèmes gouvernementaux, elles ne protègent pas ces informations lorsqu’elles sont partagées avec des sous-traitants, des partenaires de mission ou lors de collaborations inter-agences—c’est précisément là que surviennent 40 % des violations.

Kiteworks comble ce vide critique qui expose les agences malgré leurs investissements DSPM. Le Private Data Network de Kiteworks, certifié FedRAMP High, exploite automatiquement les classifications DSPM et applique des politiques de protection conformes à la FISMA dès que des données sensibles sortent du périmètre de l’agence, assurant ainsi une protection continue tout au long des processus gouvernementaux.

Les agences gouvernementales obtiennent des résultats de sécurité transformants en combinant la découverte DSPM avec l’application des politiques Kiteworks. Les données classées « CUI » par la DSPM bénéficient automatiquement du chiffrement et des contrôles d’accès conformes au CMMC lors du partage avec des sous-traitants de la défense, tandis que les informations classifiées conservent leur niveau de protection lors des échanges inter-domaines autorisés.

Avec un coût moyen de 2,86 millions de dollars par violation dans le secteur public et le risque de résiliation de contrat en cas de non-conformité, Kiteworks transforme l’investissement DSPM en une stratégie de sécurité globale au service de la mission. L’application automatisée des politiques, basée sur les classifications DSPM, garantit la conformité sur tous les canaux de collaboration externe, comme l’e-mail, le transfert sécurisé de fichiers et les formulaires web. Les fonctions de communication inter-agences sécurisées permettent le partage protégé des données sans compromettre la sécurité opérationnelle. La surveillance continue de la conformité répond aux exigences FISMA, et les protocoles d’accès d’urgence assurent la continuité de la mission lors d’opérations critiques tout en maintenant les frontières de sécurité.

Pour en savoir plus sur la façon dont les gouvernements fédéraux et centraux, les gouvernements d’États et de provinces et les collectivités locales protègent les CUI, CJI et autres données sensibles en complément de la DSPM, réservez une démo personnalisée dès aujourd’hui.

Foire aux questions

Vous pouvez utiliser la DSPM pour renforcer la conformité FISMA en automatisant la découverte des données sur tous les systèmes, l’évaluation continue des risques et la validation des contrôles de sécurité. La DSPM offre la visibilité et la documentation nécessaires pour prouver la conformité continue aux exigences NIST 800-53, tout en réduisant la préparation manuelle des audits et en assurant l’application cohérente des politiques sur les environnements cloud et hybrides.

Pour intégrer la DSPM à votre infrastructure dans l’optique de la certification CMMC Niveau 2, privilégiez l’identification automatisée des CUI, l’intégration avec les outils de sécurité existants et la génération d’audits détaillés. La solution doit découvrir et classifier automatiquement les CUI dans tous les environnements, répondre aux 110 exigences de sécurité NIST 800-171 et fournir la documentation requise pour les évaluations C3PAO.

La DSPM propose des fonctions d’évaluation automatisée qui répondent simultanément aux exigences FISMA, FedRAMP et CMMC. La plateforme génère des rapports de conformité, suit le statut de mise en œuvre des contrôles de sécurité et conserve des traces d’audit détaillées répondant à plusieurs cadres réglementaires. Cette automatisation réduit la charge manuelle tout en garantissant le respect constant des exigences de surveillance continue.

La DSPM offre un retour sur investissement grâce à la réduction des coûts de violation (2,86 millions de dollars en moyenne dans le secteur public), à l’évitement des sanctions pour résiliation de contrat et à des gains d’efficacité opérationnelle. La DSPM prévient la perte de contrats fédéraux liée à la non-conformité, diminue les coûts de préparation des audits et permet des initiatives de transformation numérique sécurisées qui améliorent les services aux citoyens tout en respectant les exigences de sécurité.

Vous pouvez utiliser la DSPM pour sécuriser la collaboration inter-agences en automatisant la classification des données, en appliquant des contrôles d’accès fédérés et en assurant une traçabilité complète. La DSPM garantit que les informations sensibles partagées entre agences conservent leur niveau de protection, tout en offrant une visibilité sur les flux de données inter-agences et en facilitant l’intégration des partenaires de mission sans compromettre les frontières de sécurité.

Ressources complémentaires