Classification et habilitation

Scrydon classifie l'information sur une échelle Bell–LaPadula et applique la règle pas de lecture vers le haut (no-read-up) : vous ne pouvez pas lire un élément classifié au-dessus de votre habilitation. Le contrôle est activé par défaut pour chaque organisation — il n'y a rien à activer.

Il est aligné sur ISO 27001:2022 A.5.12 (Classification des informations) et NIST SP 800-171 3.1.3.

L'échelle par défaut

Chaque organisation démarre avec le schéma à quatre niveaux scrydon.default.

Les données d'ontologie créées avant que l'ontologie n'adopte les identifiants de schéma de la plateforme sont marquées avec l'identifiant de schéma default. Il s'agit du même schéma que scrydon.default, et les habilitations s'y appliquent de manière identique. C'est pourquoi default est réservé : un schéma personnalisé ne peut pas l'utiliser comme identifiant.

Un membre sans habilitation explicite détient INTERNAL. Ce sont des employés internes : ils peuvent donc lire le contenu ordinaire de leur organisation sans qu'un administrateur n'ait à accorder quoi que ce soit. CONFIDENTIAL et au-delà exigent toujours une attribution explicite — le niveau de base est un plancher, pas un chèque en blanc.

Ce que l'application des règles refuse réellement

Uniquement le contenu que quelqu'un a délibérément classifié. Un téléversement que personne ne classifie est stocké sans étiquette et reste lisible par toute personne ayant accès à sa base de connaissances.

Lorsqu'un document est classifié, une lecture ou une écriture est refusée si votre habilitation est inférieure à son rang. Les résultats de recherche sont filtrés de la même manière, dans tous les modes — une recherche ne fait jamais apparaître un document que vous n'êtes pas habilité à voir.

C'est la moitié pas de lecture vers le haut. L'autre moitié est pas d'écriture vers le bas (no write-down) : une exécution de workflow qui a lu du contenu classifié ne peut pas l'envoyer vers une destination de niveau inférieur. L'exécution porte le rang le plus élevé qu'elle a lu — à travers les workflows enfants et à travers les outils qu'un bloc Agent appelle — et un appel d'outil vers un point de terminaison dont le niveau est inférieur est refusé en mode Enforce avec CLEARANCE_EGRESS_VIOLATION.

La même règle « uniquement ce que quelqu'un a classifié » s'applique : une exécution qui n'a rien lu de classifié ne porte aucune marque et rien n'est refusé. Le niveau qui compte de l'autre côté est celui du point de terminaison, défini sous Paramètres → Gouvernance → Identité → Points de terminaison. Un point de terminaison que personne n'a évalué compte comme le niveau que votre organisation a choisi sous Les points de terminaison non évalués comptent comme (voir Points de terminaison non évalués). L'onglet Points de terminaison affiche ce niveau au-dessus de la liste. Évaluez les points de terminaison qui exigent un autre niveau avant d'activer Enforce, ou exécutez d'abord en mode Audit et lisez les refus qui auraient eu lieu, tels qu'enregistrés.

Consultez Sécurité → DLP pour la forme de la réponse et la couverture actuelle.

Votre habilitation décide aussi quel modèle vous répond. Lorsque Wand rédige pour vous, ou qu'une base de connaissances répond à votre question, la connexion de modèle est choisie selon votre habilitation : une connexion qui exige une habilitation plus élevée n'est pas utilisée, une connexion à votre niveau ou en dessous l'est. Un workflow lié à un compte de service utilise l'habilitation du compte — voir Run As.

Accorder une habilitation à un membre

Paramètres → Gouvernance → Identité → Membres. Choisissez le membre, définissez son habilitation, enregistrez. La modification est auditée.

Vous ne pouvez pas accorder une habilitation supérieure à la vôtre. Les rangs au-dessus du vôtre apparaissent dans le sélecteur mais sont désactivés, avec la raison affichée.

Modifier le mode d'application

Paramètres → Gouvernance → Identité. Le sélecteur Mode d'application se trouve dans l'en-tête de la page et s'applique à toutes les surfaces d'habilitation.

La recherche reste stricte vis-à-vis des habilitations dans les trois modes. Abaisser le mode assouplit uniquement les décisions de lecture, d'écriture et de suppression par document.

Adopter le schéma comme politique de référence

Tant que vous ne modifiez rien, l'onglet Habilitation affiche « Valeur par défaut du produit · pas encore adoptée » — vous utilisez le schéma fourni par Scrydon, et ses améliorations vous parviennent automatiquement.

La première modification que vous effectuez vous enregistre, vous, comme approbateur, avec une date. À partir de là, le schéma appartient à votre organisation et Scrydon ne le modifiera pas. Si un auditeur demande qui a approuvé votre politique de classification et quand, c'est cet enregistrement qui fait foi.

Modifier les valeurs par défaut

L'onglet Habilitation expose trois valeurs par défaut à l'échelle de l'organisation :

• Habilitation par défaut des membres — ce que détient un membre sans habilitation explicite.
• Données non étiquetées — la manière dont un téléversement non classifié est traité.
• Les points de terminaison non évalués comptent comme — le niveau auquel un point de terminaison que personne n'a évalué est traité. Voir Points de terminaison non évalués pour ce que cela couvre.

L'habilitation des membres ne peut pas être inférieure au niveau des données non étiquetées. Cette combinaison refuserait à chaque membre l'accès à chaque document non étiqueté de sa propre organisation ; elle est donc rejetée à l'enregistrement.

Points de terminaison non évalués

Le réglage couvre trois sortes de points de terminaison :

• un compte que personne n'a évalué, jusqu'à ce que quelqu'un l'évalue ;
• un serveur MCP que personne n'a évalué, jusqu'à ce que quelqu'un l'évalue ;
• une connexion sans compte — connexions par clé d'API, authentification basique, jeton de bot ou sans authentification. Elles ne peuvent pas être évaluées et comptent donc toujours à ce niveau.

Une nouvelle organisation démarre avec ce réglage à INTERNAL. Ces points de terminaison peuvent alors recevoir des données internes, et un salon ou une exécution classifié CONFIDENTIAL ou au-delà reste refusé tant que personne n'a évalué le point de terminaison à ce niveau. Une organisation qui existait avant l'ajout de ce réglage conserve le niveau qu'elle avait, soit PUBLIC sauf si un administrateur l'a modifié : chaque point de terminaison non évalué est alors refusé pour tout ce qui est classifié au-dessus de PUBLIC.

Relever ce niveau est un compromis. Chaque compte, serveur MCP et connexion sans compte configuré à partir de ce moment peut recevoir des données jusqu'à ce niveau sans que personne ne l'ait examiné au préalable. Choisissez le niveau le plus élevé que vous acceptez d'envoyer vers un point de terminaison que personne n'a examiné, et évaluez les comptes et serveurs MCP qui exigent davantage.

Les destinations des requêtes HTTP et des webhooks ne suivent pas ce réglage. Une étape HTTP Request ou Webhook peut envoyer vers n'importe quel hôte, sa destination ne peut donc pas être évaluée : elle garde le rang 0, le plus bas de tout schéma, quel que soit votre choix ici, et se voit refuser toute donnée classifiée au-dessus du rang 0. Sur le schéma par défaut, cela couvre tout ce qui dépasse PUBLIC ; sur le schéma UE, dont le niveau le plus bas est RESTREINT UE, cela couvre tous les niveaux.

Si vous passez à un autre schéma de classification, le niveau enregistré est conservé sous forme de nombre. Lorsque le nouveau schéma n'a aucun niveau à ce rang, le sélecteur affiche Rang personnalisé N jusqu'à ce que vous choisissiez l'un des niveaux du nouveau schéma.