9/11/2026 • 7 min de lecture
Les entreprises disposent aujourd’hui d’outils pour savoir où se trouvent leurs données, qui peut y accéder et comment leurs systèmes sont protégés. En revanche, une fois qu’un utilisateur légitime accède à une donnée, elles perdent souvent en visibilité sur ce qu’il en est fait.
Un collaborateur peut avoir parfaitement le droit de consulter un fichier contenant des données clients. Mais doit-il pour autant télécharger plusieurs milliers de fiches clients ? Peut-il les copier sur son poste personnel ? Les transmettre à un prestataire ? Les intégrer dans un outil d’intelligence artificielle générative ?
La Data Usage Visibility vise à combler cet angle mort en donnant aux entreprises et aux métiers une vision précise de la manière dont leurs données sont réellement utilisées.
Par Data Usage Visibility, on entend ici la capacité à observer et à contextualiser l’usage réel des données dans le système d’information. Elle vise à apporter de la visibilité sur des éléments essentiels mais souvent difficiles à relier entre eux : qui utilise quelle donnée, à quel moment, depuis quel environnement et, surtout, dans quel but.
Ce manque de visibilité est loin d’être marginal. Selon Salesforce, plus de six responsables Data, Analytics et IT sur dix déclarent manquer de visibilité sur des métriques clés, parmi lesquelles l’utilisation des données.
Les mécanismes traditionnels de gestion des accès permettent par exemple de savoir qu’un utilisateur appartient au service financier et qu’il est autorisé à consulter certains documents. La visibilité sur les usages va plus loin en permettant d’observer qu’il vient de télécharger 3 000 fichiers, de les copier vers un espace externe ou encore de manipuler un volume inhabituel d’informations sensibles.
Autrement dit, il existe une différence entre l’accès théorique et l’usage réel.
À retenir : La Data Usage Visibility ne consiste pas seulement à savoir qui peut accéder aux données. Elle vise à comprendre ce que les utilisateurs et les applications font réellement avec celles-ci une fois l’accès accordé.
IAM, RBAC, PAM, politiques de moindre privilège : la gestion des identités et des habilitations constitue l’un des piliers de la cybersécurité moderne.
Ces mécanismes répondent principalement à une question : cet utilisateur est-il autorisé à accéder à cette ressource ?
Mais une action peut être parfaitement autorisée techniquement tout en présentant un risque.
Prenons le cas d’un commercial disposant légitimement d’un accès au CRM. La consultation quotidienne de quelques dizaines de fiches clients correspond à son activité normale. L’extraction de l’intégralité de la base quelques jours avant son départ de l'entreprise utilise pourtant exactement le même compte et les mêmes autorisations.
Du point de vue du contrôle d’accès, aucune règle n’a nécessairement été enfreinte.
Du point de vue du risque lié à la donnée, la situation est radicalement différente.
C’est l’une des limites d’une sécurité exclusivement centrée sur les habilitations : une identité légitime peut produire un usage illégitime ou simplement dangereux de la donnée.
Le problème devient encore plus complexe avec les comptes à privilèges, les prestataires, les applications SaaS et les identités machines, dont les accès peuvent concerner des volumes considérables d’informations.
Pendant longtemps, la sécurité des systèmes d’information s’est principalement construite autour des infrastructures : postes de travail, réseaux, serveurs, applications et identités.
La généralisation du cloud, du SaaS, du travail hybride et désormais de l’IA générative rend cette approche moins suffisante.
Une même donnée peut aujourd’hui être créée dans une application métier, synchronisée vers un service cloud, téléchargée sur un poste, envoyée par messagerie, partagée avec un prestataire puis copiée dans un autre environnement.
Le périmètre technique change. La donnée, elle, continue de circuler.
Cette circulation rend son usage plus difficile à suivre : 72 % des organisations déclarent manquer de visibilité sur la manière dont les utilisateurs interagissent avec les données sensibles à travers les endpoints, le cloud et les environnements SaaS. (Cybersecurity Insiders, 2025)
Cette visibilité sur les usages complète les contrôles d’accès et répond à un enjeu plus large : s’assurer que les données sont utilisées de manière maîtrisée et conforme aux règles de l’organisation.
L’adoption rapide des outils d’intelligence artificielle illustre particulièrement bien cette problématique.
Un collaborateur peut transférer un contrat, un extrait de code source, un fichier client ou un document stratégique dans un outil d’IA afin de gagner du temps.
L’intention n’est pas nécessairement malveillante. Au contraire, l’utilisateur cherche souvent simplement à travailler plus efficacement.
Interdire systématiquement les nouveaux outils apporte rarement une réponse durable. Les usages numériques évoluent plus vite que les politiques internes, et le développement du Shadow AI reproduit à grande échelle un problème déjà observé avec le Shadow IT.
La capacité à comprendre les usages devient alors indispensable pour arbitrer entre innovation et maîtrise du risque.
Sans visibilité, l’entreprise se retrouve face à deux options imparfaites : autoriser sans réellement savoir ce qui circule, ou bloquer largement par précaution.
Cette approche soulève néanmoins une question importante : jusqu’où observer les usages sans transformer la cybersécurité en surveillance permanente des collaborateurs ?
La réponse passe notamment par le niveau de risque. L’objectif n’est pas de traiter chaque action observée avec le même niveau d’attention, mais de concentrer les efforts sur les usages qui présentent un risque ou un caractère inhabituel au regard de la donnée, de l’utilisateur et du contexte.
Cette visibilité permet aussi de mieux partager la responsabilité de la sécurité avec les métiers. Le CISO n’a pas vocation à décider seul de ce qui constitue un usage légitime ou risqué : les équipes métiers connaissent leurs données, leur valeur et la manière dont elles doivent être utilisées. En leur donnant davantage de visibilité sur ces usages, elles peuvent être impliquées dans l’identification et le traitement des risques qui les concernent.
La visibilité doit donc être construite en fonction du niveau de sensibilité des données et du risque associé à leur utilisation. Une action sur une documentation publique n’a pas besoin du même niveau de contrôle qu’une extraction de données de santé, de données financières ou de propriété intellectuelle.
Autrement dit, la valeur ne réside pas seulement dans la capacité à voir les usages, mais dans celle à distinguer les événements qui méritent réellement une attention et à les porter au bon niveau de responsabilité.
Cette logique permet également de réduire le bruit pour les équipes sécurité. L’enjeu n’est pas de générer davantage d’alertes mais de concentrer l’analyse sur les événements impliquant les données qui comptent le plus pour l’organisation.
À retenir : L’objectif n’est pas de surveiller tous les usages de la même manière, mais de mettre en évidence ceux qui présentent un risque pour les données les plus sensibles. La Data Usage Visibility prend tout son sens lorsqu’elle permet de contextualiser les actions observées et d’orienter l’attention des équipes sécurité et métiers vers les situations qui comptent réellement.
Les utilisateurs travaillent partout. Les applications communiquent entre elles. Les données circulent en permanence entre des infrastructures qui n’appartiennent parfois même pas à l’entreprise.
Dans cet environnement fragmenté, raisonner uniquement à partir du système, de l’application ou de l’identité montre rapidement ses limites. Une donnée sensible ne cesse pas de l’être lorsqu’elle quitte le CRM pour être téléchargée sur un poste. Ce qui change, c’est son contexte d’utilisation et donc, potentiellement, le niveau de risque associé.
La donnée devient ainsi un point de référence particulièrement utile pour relier des événements qui, pris séparément, peuvent sembler parfaitement légitimes. Lorsqu’ils concernent un volume inhabituel de données sensibles, interviennent dans un contexte inattendu ou aboutissent à un transfert vers un environnement externe, leur signification change.
Adopter une approche davantage data-centric consiste donc à conserver le contexte de la donnée tout au long de son parcours : savoir ce qui est sensible, où cela se trouve, qui y accède et, surtout, ce qui en est réellement fait.
Pendant longtemps, savoir où se trouvait une donnée et qui pouvait y accéder constituait un niveau de maîtrise satisfaisant. Ce n'est plus suffisant parce que l'autorisation d'accès et l'usage réel sont deux choses différentes, et l'écart entre les deux s'est creusé avec les dernières innovations comme l'IA générative.
La Data Usage Visibility n'est pas une couche de sécurité supplémentaire à empiler sur les autres. C'est un changement de point de référence : passer du système à la donnée, de l'accès à l'usage, de la politique à l'observation du réel.
Envie d'en savoir plus ? Contactez-nous dès aujourd'hui pour discutez de vos enjeux.
