Trouver les PII que la recherche de motifs manque

Ce que la recherche de motifs fait extrêmement bien

Les expressions régulières excellent à trouver les données personnelles dont la forme est prévisible. Un numéro de sécurité sociale a un groupement de chiffres fixe. Une carte de paiement a une longueur fixe et passe un contrôle de somme. Les adresses e-mail, les numéros de téléphone, les adresses IP, les références de compte et les codes postaux suivent des formats rigides qu'une expression régulière reconnaît en quelques microsecondes.

Pour celles-ci, la recherche de motifs est rapide, déterministe, auditable et pratiquement gratuite, et le déterminisme compte autant que la vitesse. Il n'y a aucune raison de dépenser un appel de modèle pour établir qu'une chaîne au format d'un numéro de sécurité sociale en est un, et toutes les raisons de préférer un contrôle dont on peut raisonner exactement sur le comportement.

Où elle échoue sans prévenir

La plupart des données personnelles réelles n'arrivent pas déjà formatées. Un nom n'est que des mots. Un lieu n'est qu'un lieu. Prenez deux expressions qui identifient une personne précise avec une fiabilité totale et ne contiennent aucun motif reconnaissable : « Maria, chambre 4B » et « la directrice financière arrivée de l'agence de Reno au printemps dernier ».

Une expression régulière ne raisonne pas sur le sens, donc elle laisse passer tout ce qui est contextuel : les noms qu'on ne lui a pas fournis, les intitulés de poste liés à une personne, les identifiants indirects, les références de compte reformulées et les identifiants reconstitués sur toute une phrase au lieu de tenir dans un seul élément. Elle produit aussi des faux positifs dans l'autre sens, en signalant tout nombre à neuf chiffres comme un identifiant, et elle casse dès que des données arrivent dans un format que personne n'avait prévu.

L'échec est silencieux, ce qui est la pire propriété pour un contrôle de confidentialité. Rien n'est signalé, rien n'est journalisé, et le pipeline annonce un succès.

Ce qu'ajoute une passe contextuelle

Un détecteur fondé sur un modèle lit le texte comme le ferait une personne. Il peut reconnaître que « le patient », « chambre 4B » et un prénom constituent ensemble une information de santé identifiable, même si aucun élément pris seul ne correspond à rien. Il repère des noms qu'il n'a jamais rencontrés, remarque qu'une phrase décrit un individu précis plutôt qu'une catégorie, et s'adapte à des formulations qu'aucune règle n'avait anticipées.

Le coût : il est plus lent et probabiliste. Il raisonne au lieu de comparer, donc on ne voudrait pas l'exécuter sur chaque octet de chaque requête quand une règle déterministe peu coûteuse a déjà tranché. Sa sortie est aussi un jugement, qu'il faut traiter comme tel.

La réponse, c'est les deux, dans l'ordre

Les deux approches échouent à des endroits opposés, et c'est justement pourquoi elles doivent se suivre plutôt que se concurrencer. Une passe déterministe rapide s'exécute d'abord et retire les identifiants structurés à faible coût et de façon prévisible. Une passe contextuelle examine ensuite ce qui reste et attrape les noms, les lieux et les références reformulées que les motifs ne pouvaient pas voir.

La recherche de motifs apporte le volume et la précision ; la passe contextuelle apporte la nuance et le rappel. En couches, elles comblent une lacune qu'aucune ne comble seule, et les deux s'exécutent avant qu'un seul élément sensible ne quitte vos systèmes, seul ordre qui serve à quelque chose, car une expurgation appliquée après l'appel au modèle a déjà échoué.

La détection n'est que la moitié du contrôle ; l'autre moitié, c'est la suite

Un détecteur qui trouve quelque chose et n'y donne aucune suite cohérente n'est pas un contrôle. La seconde décision est une politique : en cas de correspondance, la valeur est-elle masquée, remplacée par un jeton stable pour que la phrase reste lisible, supprimée, ou toute la requête est-elle refusée ? Les bonnes réponses diffèrent selon les usages, d'où l'intérêt de configurer par workflow plutôt que globalement.

Deux contrôles voisins comptent plus qu'il n'y paraît. D'abord, la possibilité de définir ce qui est sensible dans votre domaine, car un terme anodin dans un secteur est un identifiant dans un autre. Ensuite, tenir les identifiants et les secrets de connexion entièrement hors du trafic vers les modèles, car si une clé peut arriver dans un prompt, elle peut arriver dans un journal, et le journal est le document qu'on remet à un auditeur.

Et comme chaque détection et chaque action sont enregistrées, l'affirmation change de nature. « Nous pensons que nos données sont en sécurité » devient un enregistrement qui montre ce qui a été détecté, ce qui a été fait et quand.