La Journée mondiale de la protection de la vie privée, célébrée chaque année le 28 janvier, nous rappelle l’importance de la protection des données à caractère personnel à l’ère numérique. À mesure que la technologie progresse et que de plus en plus d’informations personnelles sont partagées en ligne, les particuliers et les organisations doivent prendre des mesures pour protéger leurs données.
De nouvelles réglementations, telles que la loi DORA (Digital Operational Resiliency Act), imposent aux organisations d’élaborer des plans de gestion des risques, de signalement des incidents et de tests de résilience. Ces réglementations définissent des politiques en matière de gestion des données, notamment en ce qui concerne le chiffrement, la localisation des données et leur cycle de vie. Gartner prévoit que « d’ici 2023, les données personnelles de 65 % de la population mondiale seront soumises à diverses réglementations en matière de protection de la vie privée, et les entreprises auront besoin de solutions flexibles capables de s’adapter à la multitude de législations ». S’y retrouver dans cet environnement complexe peut s’avérer difficile, tant pour les particuliers que pour les entreprises.
La confidentialité des données consiste à protéger les informations personnelles et à permettre aux individus de contrôler la manière dont leurs données sont collectées, utilisées et stockées. En revanche, la protection des données désigne les mesures techniques et organisationnelles mises en place pour protéger les données (y compris les données à caractère personnel) contre tout accès, utilisation, modification ou destruction non autorisés. La protection des données englobe la confidentialité des données ainsi que d’autres domaines, notamment Backup and Recovery, la reprise après sinistre, la sécurité des données et bien d’autres encore.
Pour vous aider à faire face à cette complexité, prenons le temps de passer en revue les 10 principaux aspects à prendre en compte dans la gestion de la confidentialité et de la protection des données.
1. Stratégie
de protection des données 2. Chiffrement
3. Authentification
multifactorielle 4. Stockage
immuable 5. Souveraineté
des données 6. Gouvernance et découverte
des données 7. Classification des données
8. Conservation
des données 9. Tests du plan de résilience et réponse
aux incidents 10. Évaluation des risques
1. Stratégie en matière de protection des données
Les organisations devraient commencer par élaborer ou mettre à jour un plan de confidentialité des données, de Backup and Recovery, ainsi qu’un plan de reprise après sinistre, dans le cadre d’une stratégie globale de protection des données. Un plan de protection des données fiable comporte de nombreuses facettes et doit notamment porter sur la manière dont il s’applique concrètement à la protection des données à caractère personnel que vos clients ont partagées avec votre organisation.
2. Chiffrement
Le chiffrement est un élément essentiel de la protection des données et de la protection des données à caractère personnel. Le chiffrement des données au repos et en transit permet d’empêcher tout accès non autorisé aux informations personnelles. Cela revêt une importance particulière pour les organisations qui traitent de grandes quantités de données à caractère personnel, telles que les prestataires de soins de santé et les établissements financiers. Les données ne résident plus uniquement dans nos centres de données d’entreprise, car la plupart des organisations disposent d’un ou plusieurs clouds publics dans lesquels sont stockées leurs charges de travail et leurs données. Sécuriser les données par le chiffrement tout au long de leur cycle de vie permet de limiter les risques liés à d’éventuels attaquants.
3. Authentification multi-utilisateurs
Au-delà de la protection des données par chiffrement, les organisations doivent protéger leurs systèmes contre les attaques malveillantes. Le recours à l’authentification à plusieurs niveaux (MPA) pour vos systèmes de protection des données garantit que les tâches critiques nécessitent plusieurs validations de la part d’utilisateurs préalablement autorisés. Souvent négligée, cette méthode constitue l’un des moyens les plus simples d’empêcher des actions telles que l’exfiltration ou la suppression de données.
4. Stockage immuable
Le stockage immuable permet d’enregistrer des données, qu’elles soient privées ou non, sans qu’il soit possible de les modifier ou de les supprimer par la suite. Le fait que ces données ne puissent être ni falsifiées ni altérées garantit le maintien de leur intégrité. Les exigences en matière de stockage immuable s’imposent rapidement comme une norme dans les réglementations relatives à la gouvernance des données, telles que le RGPD, la loi HIPAA et d’autres. Associé à la MPA, ce stockage permet de créer des niveaux de stockage hautement sécurisés, parfaitement adaptés à la conservation de données confidentielles et privées.
5. Souveraineté des données
Les organisations doivent tenir compte des réglementations relatives au stockage des données à caractère personnel lorsqu’elles élaborent une stratégie de protection des données. Cela inclut le lieu de stockage des données et le respect des réglementations en matière de souveraineté des données. Par exemple, une charge de travail hébergée dans le cloud sur GCP en Europe ou contenant des données de citoyens de l’UE doit se conformer à la réglementation européenne. Quel que soit l’endroit où résident les données à caractère personnel, même à titre temporaire, celles-ci peuvent être tenues de se trouver dans une région spécifique en vertu des exigences réglementaires. Commvault répond à cette préoccupation dans sa dernière version, en permettant aux clients de choisir la région spécifique qu’ils utiliseront pour le stockage des instantanés et la protection des données, plutôt que de recourir à plusieurs régions, ce qui coûte plus cher et peut impliquer des exigences réglementaires différentes.
6. Gouvernance et exploration des données
Dans une récente enquête, 57 % des RSSI admettent ne pas savoir où se trouvent tout ou partie de leurs données, ni comment celles-ci sont protégées ! Alors que le volume de données à caractère personnel ne cesse d’augmenter et que le nombre de réglementations croît de manière exponentielle, nous ne savons plus très bien quelles données nous devons protéger ni comment le faire. Par conséquent, les organisations doivent comprendre leurs données, savoir où elles se trouvent et identifier les risques auxquels elles sont exposées. Être capable de hiérarchiser les données en fonction des politiques, des priorités et des réglementations applicables à votre entreprise est essentiel pour assurer leur protection. On ne peut pas protéger ce que l’on ignore !
7. Classification des données
Savoir quelles données existent et où elles se trouvent ne constitue qu’une partie de la solution. Les entreprises doivent déterminer quelles données sont des données personnelles de clients, essentielles à l’activité, etc., en fonction de leur importance pour votre entreprise et vos clients. Se contenter de protéger les données sur site peut vous faire passer à côté de certaines données clients critiques hébergées dans votre solution CRM basée sur le SaaS. À ce propos, vous ne devez pas compter uniquement sur votre fournisseur SaaS, ni même sur vos fournisseurs de cloud IaaS, pour assurer la protection de vos données. Ces derniers peuvent proposer des accords de niveau de service (SLA) et un certain niveau de redondance, mais cela ne remplace pas un plan de protection des données solide. La gestion de la classification des données n’est pas une opération ponctuelle, car le volume de données augmente de manière exponentielle chaque année.
8. Fidélisation
Il est essentiel de savoir quelles données existent et quelle est leur importance, mais pendant combien de temps restent-elles pertinentes ? C’est une question à laquelle il est difficile de répondre pour la plupart des organisations, et qui se pose chaque année lors de l’achat de systèmes de stockage toujours plus volumineux destinés à héberger les données d’entreprise. La capacité à attribuer une durée de vie prévue aux données peut avoir un impact significatif sur les résultats financiers de votre entreprise ET protéger les données privées de vos clients. La mise en place de systèmes permettant d’identifier, de classer et de définir automatiquement les durées de conservation réduira le risque de prolifération des données, raccourcira le temps nécessaire à la récupération des données inutilisées et réduira les coûts. Si vous recherchez un excellent point de départ pour gérer efficacement votre gouvernance, vos risques et votre conformité, découvrez l’approche unique de Commvault en matière de gestion unifiée des données.
9. Tests du plan de résilience et gestion des incidents
Les tests des plans de résilience, souvent appelés « runbooks », constituent un aspect souvent négligé d’une stratégie de protection des données. La création ou la mise à jour d’un plan obsolète peut demander du temps et des efforts. S’associer à des fournisseurs de solutions ou à des entreprises spécialisées dans la protection stratégique des données, qui possèdent une expérience dans l’élaboration de tels plans, peut réduire considérablement le temps nécessaire à leur mise à jour. Même s’il peut sembler anodin de considérer les « runbooks » comme dépassés, j’ai constaté que lorsqu’un incident de reprise après sinistre ou une attaque par ransomware survient, ils constituent l’atout incontournable à avoir dans votre arsenal d’outils. Des mises à jour régulières permettent à l’organisation d’être prête à faire face de front aux menaces pesant sur la sécurité des données.
10. Évaluation des risques
Comme indiqué dans le guide opérationnel, envisagez de collaborer avec des prestataires stratégiques pour réaliser une évaluation des risques deux fois par an ou une fois par an. Ces examens programmés peuvent contribuer à ancrer dans les esprits une culture solide en matière de protection et de confidentialité des données. L’avantage de travailler avec des prestataires reconnus dans le domaine de la protection et de la confidentialité des données réside dans le fait qu’ils sont au fait des dernières menaces de sécurité et des stratégies d’atténuation correspondantes.
En mettant en œuvre cette liste de points à prendre en compte et en actualisant régulièrement votre plan de résilience, vous aurez l’assurance que vos données à caractère personnel sont sécurisées et conformes aux dernières réglementations en matière de protection de la vie privée. Si vous ne savez pas par où commencer et que vous avez besoin de l’aide d’une entreprise capable de répondre à toutes ces questions,
Commvault est là pour vous aider ! Nous ajoutons sans cesse de nouvelles fonctionnalités, notamment nos dernières améliorations en matière de souveraineté régionale des données pour les instantanés de sauvegarde, les certifications sectorielles, les capacités de stockage immuable, et bien plus encore.
Rendez-vous sur notre communauté pour en savoir plus ou essayez-le dès aujourd’hui : https://www.commvault.com/request-demo
