Il est difficile de développer une entreprise axée sur les données. Mais en développer une tout en respectant les exigences du RGPD, en gérant des milliers de clients, en donnant les moyens d’agir aux équipes d’analyse et en mettant en place une nouvelle infrastructure en moins de deux semaines ? C’est un tout autre niveau de complexité.
Dans un épisode récent de STRIVE, j’ai rencontré Asif Dromi de monday.com et Ben Herzberg de Commvault pour décortiquer ce qu’il faut réellement pour mettre en œuvre la sécurité des données à grande échelle – non pas en théorie, mais dans la pratique. Il ne s’agit pas d’une conversation théorique sur les meilleures pratiques. C’est un aperçu concret de la manière dont les décisions en matière de sécurité, de conformité, d’automatisation et d’infrastructure s’entrecroisent lorsque le temps presse.
Regardez l’épisode dans son intégralité. Que vous soyez RSSI, responsable des données, architecte ou responsable de la conformité, cet épisode vous apporte bien plus qu’une simple théorie. Il vous montre comment :
- Une entreprise en pleine croissance a su répondre aux exigences du RGPD sans freiner l’innovation.
- L’approche « Infrastructure as Code » peut simplifier les audits.
- L’automatisation réduit les risques au lieu d’accroître la complexité.
- La sécurité et l’agilité opérationnelle ne sont pas nécessairement incompatibles.
Il est rare d’entendre directement le témoignage d’opérateurs ayant mené ce type de projet en conditions réelles. C’est ce qui fait toute la différence de cette discussion STRIVE.
Points clés : mise en œuvre de la sécurité des données à grande échelle
- Conformité et croissance ne sont pas nécessairement incompatibles. Monday.com montre comment les exigences du RGPD et une expansion rapide peuvent coexister lorsque la sécurité est intégrée dès le départ dans l’architecture.
- Les autorisations manuelles ne sont pas évolutives. L’automatisation, oui. L’infrastructure en tant que code et les contrôles d’accès pilotés par API peuvent transformer la gouvernance, qui passe alors d’un goulot d’étranglement à un multiplicateur de force.
- Les droits d’accès basés sur les rôles doivent évoluer au rythme de l’utilisation des données. À mesure que de plus en plus d’équipes s’appuient sur l’analyse des données, la visibilité et les contrôles précis deviennent essentiels pour éviter la prolifération des autorisations.
- La sécurité opérationnelle est avant tout une question de visibilité. Il ne s’agit pas seulement de définir des politiques, mais aussi de surveiller, d’auditer et d’adapter les contrôles de manière dynamique à mesure que les environnements évoluent.
- La rapidité est possible lorsque l’architecture est mûrement réfléchie. Un entrepôt de données conforme aux normes européennes a pu être mis en place en moins de deux semaines, car la gouvernance, l’automatisation et les outils avaient été conçus pour s’adapter à une évolutivité croissante.
- La maturité en matière de sécurité favorise l’innovation. Lorsque les autorisations, l’infrastructure et la conformité sont programmables, les entreprises peuvent agir plus rapidement.
Le véritable défi : croissance, conformité et rapidité
Pour monday.com, le défi ne consistait pas seulement à stocker les données européennes en Europe. Il s’agissait plutôt de :
- Garantir la conformité au RGPD et la résidence régionale des données.
- Veiller à ce que les employés n’accèdent qu’aux données pertinentes.
- Garantir la transparence et la traçabilité.
- Accompagner les analystes et les développeurs qui avaient besoin d’un accès rapide.
- Tout cela dans le cadre de délais très serrés.
Comme l’explique Asif dans cet épisode, devenir une organisation axée sur les données implique une expansion rapide des accès en interne. Plus les équipes s’appuient sur l’analyse des données, plus la gestion des autorisations devient complexe. Et c’est là que de nombreuses organisations se heurtent à un mur. La sécurité devient manuelle, les autorisations perdent de leur solidité et la conformité devient réactive. Ce n’est pas de la sécurité opérationnelle. C’est un château de cartes.
Intégrer la sécurité dès la conception de l’architecture
L’un des aspects les plus intéressants de cet épisode réside dans la manière dont monday.com a abordé le problème d’un point de vue architectural. Au lieu d’intégrer la conformité a posteriori, l’entreprise a développé :
- Un entrepôt de données européen dédié.
- Des contrôles d’accès clairs, basés sur les rôles.
- Des modèles d’autorisation très détaillés.
- Des niveaux de gouvernance automatisés.
Ben décrit ce qui se passe dans de nombreuses grandes entreprises : au fil du temps, les autorisations s’accumulent en couches, souvent sans visibilité centralisée. Au final, plus personne ne sait vraiment qui a accès à quoi. Rendre la sécurité opérationnelle, c’est éviter cette dérive. Cela implique de mettre en place des systèmes où la gouvernance s’adapte automatiquement à mesure que l’utilisation augmente.
L’automatisation est un multiplicateur de force
S’il y a un thème récurrent dans cet épisode, c’est bien l’automatisation. Au lieu de traiter les autorisations comme des tickets et des mises à jour manuelles, monday.com a intégré son infrastructure dans du code. Les bases de données, les rôles et les politiques d’accès pouvaient être créés et modifiés par programmation.
Le résultat ? Un environnement conforme et évolutif a été mis en place en moins de deux semaines. Ce n’est pas une question de chance. C’est une question d’architecture. Et cela nous rappelle avec force que la sécurité ne vous ralentit pas lorsqu’elle est correctement mise en place. Elle favorise la rapidité.
Ce que signifie réellement la mise en œuvre de la sécurité des données
On utilise beaucoup le terme « opérationnalisation ». Dans cet épisode, il est défini comme suit :
- Une visibilité permanente sur les données sensibles.
- Une gestion centralisée et automatisée des autorisations.
- Suivi des accès.
- Intégration avec des outils de collaboration.
- Des politiques qui s’adaptent à mesure que le nombre d’utilisateurs et le volume de données augmentent.
Les contrôles statiques ne sont pas évolutifs. Les workflows manuels ne sont pas évolutifs. La sécurité doit devenir dynamique et s’intégrer au cœur même du fonctionnement de l’organisation. Et c’est précisément cette transition qui pose aujourd’hui problème à de nombreuses entreprises.
Regardez l’épisode complet de STRIVE
Au cours de cette discussion, vous en apprendrez davantage sur :
- Comment monday.com a structuré son entrepôt de données européen.
- Les principaux enseignements tirés de cette mise en œuvre rapide.
- Pourquoi l’automatisation était une condition sine qua non.
- Ce que les entreprises sous-estiment souvent concernant la prolifération des autorisations.
- Comment envisager la mise en place d’une gouvernance avant que les initiatives en matière d’IA ne prennent de l’ampleur.
FAQ
Q : Comment les petites équipes peuvent-elles mettre en place une sécurité des données évolutive ?
R : Commencez par mettre en place un modèle d’autorisations clair et des outils d’« infrastructure as code ». Automatisez dès le départ la gestion des autorisations afin d’éviter les goulots d’étranglement liés aux opérations manuelles à mesure que votre entreprise se développe.
Q : Quel rôle joue l’automatisation dans la conformité ?
R : L’automatisation permet d’assurer la cohérence, de réduire les erreurs et de simplifier les audits. Grâce aux API et aux scripts, vous pouvez surveiller et ajuster les autorisations de manière dynamique.
Q : Combien de temps faut-il généralement pour mettre en place un environnement de données conforme et évolutif ?
R : Grâce à une bonne planification et à des outils adaptés, des entreprises comme monday.com y sont parvenues en moins de deux semaines. La rapidité dépend de l’ampleur du projet et de l’infrastructure existante.
Q : Quelles sont les bonnes pratiques pour mettre en œuvre la sécurité des données ?
R : Mettez en place des contrôles d’accès basés sur les rôles, automatisez la gestion des autorisations, surveillez régulièrement les journaux d’accès et intégrez des outils de sécurité aux plateformes de collaboration afin d’assurer une surveillance en temps réel.
Chris Mierzwa est directeur principal du marketing de portefeuille chez Commvault.
