Prévenez les fuites de données avec le guide de configuration complet de ManageEngine DLP
Une clé USB, un onglet Gmail personnel et une copie négligée : c'est ainsi que la plupart des données de bureau partent. Les modules DLP et Device Control de ManageEngine Endpoint Central ferment ces portes à partir d'une seule console. Ce guide le configure étape par étape, et le configure de manière équitable : auditez d'abord, bloquez ensuite et informez votre personnel avant d'allumer quoi que ce soit.
🎥 Regardez la configuration complète du DLP dans la vidéo : chaque écran de stratégie, étape par étape
Chaque bureau a le même problème de silence. La feuille de salaire est envoyée à la maison sur une clé USB. La liste des clients est téléchargée sur un compte cloud personnel "juste pour travailler à domicile". Un fichier de dessin est envoyé sous forme de pièce jointe à un e-mail à un identifiant personnel. Personne ne veut faire de mal, mais les données ont disparu et vous ne pouvez pas prouver où elles sont allées. La Data Loss Prevention (DLP) dans ManageEngine Endpoint Central surveille exactement ces sorties : USB et autres périphériques, transferts de fichiers, domaines de messagerie, téléchargements dans le cloud et impression. Vous trouverez ci-dessous la configuration complète dans l'ordre qu'un administrateur prudent devrait effectuer : l'inventaire en premier, l'audit en second, le blocage en dernier.
Endpoint Central — Where the Data Exits Are (overview)
USB and removable storageDevice Control
15+ peripheral device typesControlled centrally
Email to outside domainsDLP policy rules
Uploads to cloud storage and web appsDLP policy rules
Printing sensitive filesPrint control + logs
Every file copied to a deviceFile tracing report
Panneau de présentation basé sur la liste officielle des fonctionnalités de ManageEngine. Les écrans exacts dépendent de votre édition et de votre version d'Endpoint Central.
1
Étape 1 — Confirmez votre édition avant de planifier
DLP et Device Control sont des modules complémentaires dans Endpoint Central ; ils sont également regroupés dans l'Édition Sécurité. Les menus diffèrent légèrement entre la console sur site, la console cloud et le produit Endpoint DLP Plus autonome. Ne copiez donc pas aveuglément une capture d'écran d'Internet.
Ouvrez votre console Endpoint Central et vérifiez quels modules complémentaires de sécurité votre licence inclut
Vérifiez que les sections Contrôle des appareils et Endpoint DLP sont visibles. Si elles sont manquantes, il s'agit d'une question de licence et non d'un paramètre que vous avez violé.
Assurez-vous que les agents sont déployés et génèrent des rapports sur chaque ordinateur que vous envisagez de protéger : un PC sans agent est en dehors de toute stratégie que vous écrivez.
2
Étape 2 - Faites d'abord un inventaire des appareils
Bloquer des appareils que vous n'avez jamais comptés est la façon dont les administrateurs bloquent l'équipe des comptes hors de sa propre imprimante le jour du salaire. Commencez par voir ce qui est réellement connecté à votre réseau.
Exécutez les rapports sur les actions des appareils et des fichiers en mode d'audit uniquement pendant quelques jours : chaque appareil est autorisé, mais chaque connexion et action sur les fichiers est enregistrée.
Notez les habitués : imprimantes de bureau, scanners, clés USB de l'équipe comptable, traceurs de dessins, dongles bancaires.
Cette liste devient la base de votre liste des appareils de confiance : politique rédigée à partir de données réelles et non de suppositions.
3
Étape 3 - Créez la liste des appareils de confiance
La liste de confiance est au cœur du contrôle des appareils. Les appareils dessus fonctionnent normalement ; tout le reste suit des règles strictes. Endpoint Central peut également ajouter des familles entières d'appareils avec des modèles génériques.
Ajoutez chaque appareil approuvé par son identité (instance d'appareil/ID matériel), pas seulement par nom de modèle
Conservez une liste par besoin : un périphérique approuvé sur le PC de conception ne l'est pas automatiquement sur le serveur.
Révisez la liste mensuellement. Les gens partent, les clés USB se perdent et l'appareil de confiance d'hier est le trou d'aujourd'hui
4
Étape 4 — Définir les règles USB et périphériques par département
Une règle pour l’ensemble du bureau est soit trop souple pour les comptes, soit trop stricte pour tout le monde. Endpoint Central contrôle plus de 15 types d'appareils (stockage USB, CD/DVD, Bluetooth, appareils portables, imprimantes et bien plus encore) et les politiques peuvent différer selon le groupe d'utilisateurs ou le groupe d'ordinateurs.
Comptes et systèmes RH : stockage USB bloqué ou en lecture seule, car les salaires et les données personnelles y résident
Équipes de conception et de chantier : transferts autorisés vers des appareils de confiance, avec traçage des fichiers activé
Réception et PC partagés : le profil le plus strict — la clé USB personnelle de personne n'y appartient
5
Étape 5 — Ajouter des règles de fichier : type, taille et destination
Les règles relatives aux appareils déterminent où un fichier peut aller. Les règles de fichiers décident de ce qui peut être déplacé. Utilisés ensemble, ils stoppent les accidents classiques sans arrêter le travail réel.
Définissez une taille maximale de fichier pour les transferts vers des périphériques amovibles : une sauvegarde de base de données de 2 Go n'a rien à voir avec une clé USB.
Limitez les types de fichiers et les extensions sensibles que votre bureau craint réellement de perdre : dessins, feuilles de calcul de comptes, exportations de bases de données.
Utilisez la stratégie DLP pour autoriser les e-mails avec pièces jointes uniquement aux domaines autorisés et pour arrêter les téléchargements de fichiers Office vers le stockage cloud personnel et les applications Web.
Activez le contrôle d'impression pour les données sensibles et conservez des journaux d'activité d'impression : le papier est également un canal de fuite.
6
Étape 6 - Activez le traçage, l'observation et les alertes
Le blocage arrête la copie. Le Traçage des fichiers vous indique ce qui a déjà été déplacé : quel fichier, vers quel appareil, par quel utilisateur, depuis quel ordinateur, à quelle heure. Le File shadowing va encore plus loin et conserve une copie miroir des fichiers transférés dans un emplacement sécurisé, de sorte qu'une enquête ne dépend jamais du retour de la clé USB.
Activez le traçage des fichiers sur tous les systèmes gérés dès le premier jour : il s'agit d'une preuve en lecture seule et non d'une restriction.
Activez l'observation de fichiers pour vos partages les plus sensibles, avec des filtres de taille et d'extension pour que le stockage reste sain
Définissez des alertes en temps réel pour les tentatives bloquées et pour les remplacements d'utilisateurs, afin que les exceptions vous parviennent le jour même, et non dans un rapport mensuel.
7
Étape 7 — Déployer équitablement : auditer, annoncer, puis bloquer
La configuration techniquement parfaite échoue toujours si le personnel la considère comme un piège. L’ordre honnête est celui utilisé dans ce guide :
Exécutez un audit uniquement pendant deux à quatre semaines et étudiez les rapports.
Annoncez la politique par écrit : ce qui est bloqué, ce qui est enregistré et la raison : les données des clients et l'obligation légale de l'entreprise de les protéger.
Ouvrir un itinéraire d'exception clair : accès temporaire pour un besoin réel, approuvé et limité dans le temps
Ensuite seulement, passez département par département de l'audit au blocage, en commençant par les données les plus à risque.
🎥 Regardez la configuration complète dans la vidéo
La présentation complète à l'écran (contrôle des appareils, liste de confiance, politiques et rapports DLP) se trouve dans la vidéo. Regardez-le avant votre réunion de déploiement.
DLP est-il inclus dans chaque édition d'Endpoint Central ?
Non. Device Control et Endpoint DLP sont des modules complémentaires, et ils sont également regroupés dans Security Edition. Les écrans de console que vous voyez dépendent de votre licence et si vous utilisez la console sur site ou dans le cloud : vérifiez d'abord votre licence, exactement comme l'indique l'étape 1.
Le DLP empêchera-t-il un employé déterminé de voler des données ?
Aucun outil ne peut promettre cela, et ce guide ne prétendra pas le contraire. DLP ferme les sorties faciles du quotidien (clés USB, courrier électronique personnel, téléchargements cloud occasionnels) et enregistre ce qui bouge. Un initié déterminé avec une caméra de téléphone est un problème de gestion et juridique, pas un paramètre logiciel.
Devons-nous activer le blocage dès le premier jour ?
C'est le moyen le plus rapide d'interrompre le travail réel et de perdre la confiance du personnel. Exécutez d’abord le mode audit uniquement, annoncez la politique par écrit, ouvrez une route d’exception, puis bloquez, département par département. Les réglages prennent quelques minutes ; l'équité est ce qui les fait durer.
Ce guide est basé sur la vidéo ManageEngine DLP de Technical Anshu • Vous êtes bloqué sur une étape ? Demandez dans les commentaires vidéo – les réponses s’y trouvent.