Fuite de données Google Drive : détecter les partages et téléchargements à risque

En bref : Dans Google Workspace, Google Drive peut être l’un des principaux vecteurs de fuite ou d’exposition de données : document rendu public, partage vers une adresse personnelle ou téléchargements inhabituels. Les journaux d’audit Drive enregistrent ces événements. En définissant vos espaces sensibles, vos domaines partenaires et quelques règles simples, vous pouvez être alerté sans installer de logiciel sur les postes. Ces alertes signalent un risque ; elles ne bloquent rien et doivent être vérifiées avant toute conclusion.

Une fuite de données n’est pas toujours malveillante. Un collaborateur pressé partage un dossier avec son adresse personnelle pour travailler le week-end, un lien public reste ouvert après une mission, ou une personne sur le départ récupère « ses » fichiers. Dans tous les cas, l’entreprise a besoin de le savoir rapidement pour réagir de manière proportionnée.

Les signaux à surveiller dans Google Drive

Quelques événements méritent une attention particulière :

Les journaux Google ne couvrent pas nécessairement toutes les formes de copie ou d’extraction de données ; certaines actions disposent d’événements spécifiques ou ne sont pas journalisées de la même manière. La détection ne peut donc pas être considérée comme exhaustive.

Pris isolément, aucun de ces signaux ne prouve une fuite. C’est leur contexte qui compte : le contenu concerné, la personne, la période et le besoin métier.

Où Google enregistre ces événements

Google Workspace consigne l’activité Drive dans les journaux d’audit : téléchargement, modification des droits de partage, copie, déplacement, etc. Un super-administrateur peut les consulter dans la console d’administration ; Google décrit ces événements dans l’aide sur les journaux d’audit Drive.

Deux limites sont à connaître :

• les événements sont publiés avec un délai, de quelques minutes à quelques heures ;
• toutes les éditions Google Workspace n’exposent pas l’ensemble des événements Drive.

La console permet des recherches ponctuelles, mais elle ne corrèle pas d’elle-même plusieurs événements (par exemple des téléchargements suivis d’un partage externe) et n’envoie pas d’alerte adaptée à votre organisation sans configuration.

DLP traditionnel ou détection par les journaux

Les solutions de prévention des fuites de données peuvent fonctionner de différentes manières. Certaines DLP endpoint reposent sur un agent installé sur les postes, tandis que Google Workspace propose également une DLP cloud capable d’analyser le contenu des fichiers et d’appliquer des règles de prévention sur les éditions compatibles.

• DLP Google Workspace : analyse du contenu et règles de prévention, sur les éditions compatibles ;
• DLP endpoint : contrôle des actions réalisées sur le poste ;
• MOZAYK Workspace : détection et alerte à partir des événements Google Workspace.

L’approche de MOZAYK Workspace est différente d’une DLP de blocage : elle s’appuie sur les journaux d’audit pour détecter des comportements ou événements à risque, puis alerter l’administrateur sans bloquer automatiquement l’utilisateur. Elle observe ce qui se passe réellement dans Google Drive, sans logiciel à installer. Pour une PME, une association ou un prestataire qui gère plusieurs organisations, c’est souvent un bon point de départ : on voit les comportements à risque, puis on décide des règles de partage à durcir.

Mettre en place une surveillance simple

1. Définir les espaces sensibles. Commencez par quelques Drive partagés clairement identifiés : finance, RH, clients, direction. Un Drive partagé est plus facile à surveiller qu’un dossier isolé, car Google n’indique pas toujours le dossier parent d’un fichier dans les événements.
2. Lister les domaines partenaires. Les partages avec un cabinet comptable ou une agence habituelle sont légitimes : les déclarer évite les fausses alertes.
3. Traiter à part les adresses personnelles. Un partage vers une adresse Gmail personnelle ne devrait pas être considéré comme un partage partenaire.
4. Choisir des seuils réalistes. Par exemple, une alerte critique si une même personne télécharge de nombreux fichiers et réalise au moins un partage externe sur 24 heures.
5. Désigner les destinataires. Les alertes doivent arriver chez les personnes capables d’agir : direction, responsable sécurité, administrateur.
6. Prévoir le traitement. Chaque alerte doit être examinée, puis classée (traitée, faux positif) pour améliorer les règles.

Le cas du départ d’un collaborateur

Les semaines qui précèdent un départ sont une période sensible. Un pic de téléchargements ou un partage vers une adresse personnelle peut être anodin — récupérer des documents personnels — ou problématique.

Restez factuel : vérifiez les fichiers concernés, échangez avec le manager et, si nécessaire, retirez les accès. Le jour du départ, appliquez une procédure complète : notre guide sur le départ d’un collaborateur dans Google Workspace détaille les étapes, et celui sur le transfert de propriété Google Drive explique comment conserver les fichiers.

Ce que fait MOZAYK Workspace

Le module Protection des données de MOZAYK Workspace s’appuie sur les journaux d’audit Drive, avec l’autorisation accordée par un administrateur :

• surveillance des Drive partagés ou dossiers que vous désignez comme sensibles ;
• alertes sur les partages publics ou externes, avec une détection spécifique des adresses Gmail personnelles et une liste de domaines partenaires ;
• règles combinées (téléchargements + partage externe sur 24 h) et détection des volumes inhabituels par rapport aux 30 derniers jours ;
• e-mails d’alerte avec le collaborateur, le fichier et le lien vers le document, jusqu’à 20 destinataires ;
• score de risque de 0 à 100 et historique des incidents.

L’analyse tourne automatiquement toutes les 15 minutes. Le module détecte et alerte : il ne bloque automatiquement aucun téléchargement ni partage.

Réagir immédiatement : la suspension conservatoire réversible

Quand une alerte critique se confirme, l’administrateur peut suspendre le compte concerné directement depuis MOZAYK Workspace. La suspension ferme les sessions de l’utilisateur et bloque son accès au compte, sans supprimer ses fichiers, e-mails ni agendas.

• Décision humaine : la suspension n’est jamais automatique.
• Conservation des données existantes : les fichiers, e-mails et agendas restent associés au compte pendant la suspension.
• Reprovisionnement en un clic si l’alerte était un faux positif.
• Garde-fous : impossible de suspendre un super-administrateur ou son propre compte.

Pour comprendre tous les effets d’une suspension, lisez notre guide : suspendre un compte Google Workspace en urgence.

Questions fréquentes

Faut-il installer un logiciel sur les ordinateurs ?

Non. La détection repose sur les journaux d’audit fournis par Google Workspace. Rien n’est installé sur les postes.

Les alertes sont-elles en temps réel ?

Pas strictement. Google publie les événements Drive avec un délai de quelques minutes à quelques heures, puis l’analyse s’exécute à intervalles réguliers.

Un partage vers un partenaire va-t-il déclencher une alerte ?

Pas si son domaine est déclaré comme partenaire de confiance. Les adresses Gmail personnelles restent signalées.

Une alerte prouve-t-elle une fuite de données ?

Non. Elle signale un comportement à vérifier. La décision doit tenir compte du contenu, de la personne et du besoin métier.

Cela fonctionne-t-il avec toutes les éditions Google Workspace ?

Certaines éditions n’exposent pas tous les événements Drive dans les journaux d’audit. Vérifiez ce que votre édition fournit avant de vous appuyer sur une règle précise.

Que faire si j’ai suspendu un compte et que l’alerte était un faux positif ?

Réactivez-le avec « Reprovisionner le compte ». L’utilisateur retrouve ses fichiers, e-mails et agendas : la suspension ne supprime aucune donnée.

Pour une vue plus large, consultez les priorités d’un audit Google Workspace et notre guide sur les partages Google Drive et liens publics.

Soyez alerté des partages et téléchargements à risque. Essayez MOZAYK Workspace pendant 30 jours gratuitement, sans carte bancaire.