How to Operationalize Data Security at Scale (Without Slowing Down Growth)

Il est difficile de développer une entreprise axée sur les données. Mais en développer une tout en respectant les exigences du RGPD, en gérant des milliers de clients, en donnant les moyens d’agir aux équipes d’analyse et en mettant en place une nouvelle infrastructure en moins de deux semaines ? C’est un tout autre niveau de complexité.

Dans un récent épisode de STRIVE, j’ai discuté avec Asif Dromi, de monday.com, et Ben Herzberg, de Commvault, pour décortiquer ce qu’il faut réellement pour mettre en œuvre la sécurité des données à grande échelle — non pas en théorie, mais dans la pratique. Il ne s’agit pas d’une discussion théorique sur les meilleures pratiques. C’est un regard concret sur la manière dont les décisions en matière de sécurité, de conformité, d’automatisation et d’infrastructure s’entrecroisent lorsque le temps presse.

Regardez laépisodedans son intégralité

• . Si vous êtes RSSI, responsable des données, architecte ou responsable de la conformité, cet épisode vous apporte bien plus qu’une simple théorie. Il vous montre comment :
• Une entreprise en pleine croissance a su faire face aux exigences du RGPD sans freiner l’innovation.
• L’approche « Infrastructure as Code » peut simplifier les audits.
• L’automatisation réduit les risques au lieu d’accroître la complexité.

La sécurité et l’agilité opérationnelle ne sont pas nécessairement incompatibles.

Il est rare d’entendre directement le témoignage d’opérateurs qui ont mené ce type de projet dans des conditions réelles. C’est ce qui fait toute la différence de cette discussion STRIVE.

• La conformité et la croissance ne sont pas nécessairement incompatibles. Monday.com montre comment les exigences du RGPD et une expansion rapide peuvent coexister lorsque la sécurité est intégrée dès le départ dans l’architecture.
• Les autorisations manuelles ne sont pas évolutives. L’automatisation, en revanche, l’est. L’infrastructure en tant que code et les contrôles d’accès pilotés par API peuvent transformer la gouvernance, qui est actuellement un goulot d’étranglement, en un multiplicateur de force.
• Les droits d’accès basés sur les rôles doivent évoluer au rythme de l’utilisation des données. À mesure que de plus en plus d’équipes s’appuient sur l’analyse de données, la visibilité et les contrôles précis deviennent essentiels pour éviter la prolifération des autorisations.
• Une sécurité opérationnelle, c’est avant tout une question de visibilité. Il ne s’agit pas seulement de définir des politiques – mais aussi de surveiller, d’auditer et d’adapter les contrôles de manière dynamique à mesure que les environnements évoluent.
• La rapidité est possible lorsque l’architecture est mûrement réfléchie. Un entrepôt de données conforme aux normes européennes a pu être mis en place en moins de deux semaines, car la gouvernance, l’automatisation et les outils avaient été conçus pour s’adapter à une évolutivité croissante.
• La maturité en matière de sécurité favorise l’innovation. Lorsque les autorisations, l’infrastructure et la conformité sont programmables, les entreprises peuvent agir plus rapidement.

Lorsque les autorisations, l’infrastructure et la conformité sont programmables, les entreprises peuvent agir plus rapidement.

Le véritable défi : croissance, conformité et rapidité

• Pour monday.com, le défi ne consistait pas seulement à stocker les données européennes en Europe. Il s’agissait plutôt de :
• Assurer la conformité au RGPD et la résidence régionale des données.
• Veiller à ce que les employés n’accèdent qu’aux données pertinentes.
• Garantir la transparence et la traçabilité.
• Accompagner les analystes et les développeurs qui avaient besoin d’un accès rapide.

Tout cela dans le cadre de délais très serrés.

Intégrer la sécurité dès la conception de l’architecture 

L’un des aspects les plus intéressants de cet épisode réside dans la manière dont monday.com a abordé le problème d’un point de vue architectural. Au lieu d’intégrer la conformité a posteriori, l’entreprise a développé :

• Un entrepôt de données européen dédié.
• Des contrôles d’accès clairs, basés sur les rôles.
• Modèles d’autorisation très détaillés.
• Niveaux de gouvernance automatisés.

Ben décrit ce qui se passe dans de nombreuses grandes entreprises : au fil du temps, les autorisations s’accumulent en couches, souvent sans visibilité centrale. Au final, plus personne ne sait vraiment qui a accès à quoi. Rendre la sécurité opérationnelle, c’est éviter cette dérive. Cela implique de mettre en place des systèmes où la gouvernance s’adapte automatiquement à mesure que l’utilisation augmente.

L’automatisation est un multiplicateur de force

S’il y a un thème récurrent dans cet épisode, c’est bien l’automatisation. Au lieu de traiter les autorisations comme des tickets et des mises à jour manuelles, monday.com a intégré son infrastructure dans du code. Les bases de données, les rôles et les politiques d’accès pouvaient être créés et modifiés par programmation.

Le résultat ? Un environnement conforme et évolutif a été mis en place en moins de deux semaines. Ce n’est pas de la chance. C’est une question d’architecture. Et cela nous rappelle avec force que la sécurité ne vous ralentit pas lorsqu’elle est correctement mise en place. Elle favorise la rapidité.

Ce que signifie réellement la mise en œuvre de la sécurité des données

On utilise beaucoup le terme « opérationnalisation ». Dans cet épisode, il est défini comme suit :

• Une visibilité permanente sur les données sensibles.
• Gestion centralisée et automatisée des autorisations.
• Suivi des accès.
• Intégration avec des outils de collaboration.
• Des politiques qui s’adaptent à mesure que le nombre d’utilisateurs et le volume de données augmentent.

Les contrôles statiques ne sont pas évolutifs. Les workflows manuels ne sont pas évolutifs. La sécurité doit devenir dynamique et s’intégrer au cœur même du fonctionnement de l’organisation. Et c’est précisément cette transition qui pose aujourd’hui problème à de nombreuses entreprises.

Regardez l’épisode complet de STRIVE

Au cours de cette discussion, vous en apprendrez davantage sur :

• Comment monday.com a structuré son entrepôt de données européen.
• Les principaux enseignements tirés de cette mise en œuvre rapide.
• Pourquoi l’automatisation était une condition sine qua non.
• Ce que les entreprises sous-estiment souvent à propos de la prolifération des autorisations.
• Comment envisager la mise en œuvre de la gouvernance avant que les initiatives en matière d’IA ne prennent de l’ampleur.

Regardez-le dès maintenant.

Foire aux questions 

Q : Comment les petites équipes peuvent-elles mettre en place une sécurité des données évolutive ?

R : Commencez par mettre en place un modèle d’autorisations clair et des outils d’« infrastructure as code ». Automatisez dès le départ la gestion des autorisations afin d’éviter les goulots d’étranglement liés aux opérations manuelles à mesure que votre entreprise se développe.

Q : Quel rôle joue l’automatisation dans la conformité ?

R : L’automatisation permet d’assurer la cohérence, de réduire les erreurs et de simplifier les audits. Grâce aux API et aux scripts, vous pouvez surveiller et ajuster les autorisations de manière dynamique.

Q : Combien de temps faut-il généralement pour mettre en place un environnement de données conforme et évolutif ?

R : Grâce à une bonne planification et à des outils adaptés, des entreprises comme monday.com y sont parvenues en moins de deux semaines. La rapidité dépend de l’ampleur du projet et de l’infrastructure existante.

Q : Quelles sont les meilleures pratiques pour mettre en œuvre la sécurité des données ?

R : Mettez en place des contrôles d’accès basés sur les rôles, automatisez la gestion des autorisations, surveillez régulièrement les journaux d’accès et intégrez des outils de sécurité aux plateformes de collaboration afin d’assurer une surveillance en temps réel.

Chris Mierzwa occupe le poste de directeur principal du marketing de portefeuille chez Commvault.