La Semaine de la protection des données est un événement annuel qui vise à sensibiliser le public à l’importance de la protection et de la sécurité des données. L’objectif de cette semaine est d’informer les particuliers et les organisations sur l’importance de la protection des données à caractère personnel et de leur fournir les outils et les ressources nécessaires pour y parvenir efficacement.

We’ve brought together three opinion leaders to discuss the key data privacy challenges that face businesses around the world and how to overcome them.

Bill Mew, Data Privacy Champion and CEO of the Crisis Team is joined by Jakub Lewandowski – Global Data Governance Officer, Commvault and Thomas Bryant – Product Marketing Director, Commvault as they discuss;

• Tendances et enjeux actuels en matière de confidentialité et de sécurité des données
• Législations et réglementations relatives à la protection des données, telles que le Règlement général sur la protection des données (RGPD) dans l’Union européenne et la Loi californienne sur la protection de la vie privée des consommateurs (CCPA) aux États-Unis, ainsi que les directives DORA et NIS2
• Best Practices for protecting data – including a modern (and tested) data protection strategy and conducting regular risk assessments
• The current state of Data Privacy policy and legislation compliance/ enforcement  

Pour en savoir plus sur ces sujets, consultez notre série d’articles de blog consacrée à la Semaine de la protection des données, désormais disponible

• 5 réglementations essentielles en matière de confidentialité des données
• Les 10 principales priorités des organisations en matière de confidentialité et de protection des données en 2023
• Un signal d’alarme : le problème de l’application de la réglementation en matière de sécurité et de confidentialité des données

La Journée mondiale de la protection de la vie privée, célébrée chaque année le 28 janvier, nous rappelle l’importance de la protection des données personnelles à l’ère numérique. À mesure que la technologie progresse et que de plus en plus d’informations personnelles sont partagées en ligne, les particuliers et les organisations doivent prendre des mesures pour protéger leurs données.

New regulations, such as DORA (Digital Operational Resiliency ACT), mandate that organizations create plans for risk management, incident reporting, and resilience testing. These regulations outline policies for data management, including encryption, data locality, and data lifecycles. Gartner prévoit, “by 2023, 65% of the world’s population will have its personal data covered under various privacy regulations, and companies need flexible solutions that can adapt to the multitude of legislation.” Navigating this complex environment can be challenging for both individuals and companies.

Data Privacy is protecting personal information and giving individuals control over how their data is collected, used, and stored.  On the other hand, data protection refers to the technical and organizational measures put in place to protect data (including personal data) from unauthorized access, use, alteration, or destruction. Data protection encompasses Data Privacy and other areas, including backup & recovery, disaster recovery, data security, and a host of other areas.

To help address that complexity, let’s spend some time reviewing the Top 10 topics to consider when managing Data Privacy and Data Protection.

1.Data Protection Strategy
2.Chiffrement
3.Multi-Person Authentication
4.Stockage immuable
5.Souveraineté des données
6.Data Governance & Discovery
7.Classification of data
8.Conservation des données
9.Resilience plan testing & incident response
10.Risk Assessment

1. Data Protection Strategy

Organizations should start by creating or updating a Data Privacy, Backup & Recovery, and Disaster Recovery plan as part of an overall data protection strategy. There are many facets to a reliable data protection plan and how it specifically relates to protecting the private data your customers have shared with your organization.

2. Encryption

Le chiffrement est un élément essentiel de la protection des données et de la protection des données à caractère personnel. Le chiffrement des données au repos et en transit permet d’empêcher tout accès non autorisé aux informations personnelles. Cela revêt une importance particulière pour les organisations qui traitent de grandes quantités de données à caractère personnel, telles que les prestataires de soins de santé et les établissements financiers. Les données ne résident plus uniquement dans nos centres de données d’entreprise, car la plupart des organisations disposent d’un ou plusieurs clouds publics dans lesquels sont stockées leurs charges de travail et leurs données. Sécuriser les données par le chiffrement tout au long de leur cycle de vie permet de limiter les risques liés à d’éventuels attaquants.

3. Multi-person authentication

Au-delà de la protection des données par cryptage, les organisations doivent protéger leurs systèmes contre les attaques malveillantes. Le recours à l’authentification à plusieurs niveaux (MPA) pour vos systèmes de protection des données garantit que les tâches critiques nécessitent plusieurs validations de la part d’utilisateurs préalablement autorisés. Souvent négligée, cette méthode constitue l’un des moyens les plus simples d’empêcher des actions telles que l’exfiltration ou la suppression de données.

4. Immutable Storage

Le stockage immuable permet d’enregistrer des données, qu’elles soient privées ou non, sans qu’il soit possible de les modifier ou de les supprimer par la suite. Le fait que ces données ne puissent être ni falsifiées ni altérées garantit le maintien de leur intégrité. Les exigences en matière de stockage immuable s’imposent rapidement comme une norme dans les réglementations relatives à la gouvernance des données, telles que le RGPD, la loi HIPAA et d’autres. Associé à la MPA, ce stockage permet de créer des niveaux de stockage hautement sécurisés, parfaitement adaptés à la conservation de données confidentielles et privées.

5. Data Sovereignty

Organizations should consider regulations surrounding private data storage when developing a data protection strategy. This includes the location of data storage and compliance with regulations regarding data sovereignty. For example, a cloud-based workload on GCP in Europe or containing EU citizens’ data must comply with EU regulations. Anywhere that private data may reside, even if temporary, may be required to be in a specific region under regulatory requirements. Commvault helps to address this concern in its latest release, allowing customers to select which specific region they will leverage for snapshot & data protection storage vs. multiple regions that cost more and may have different regulatory requirements.

6. Data Governance & Discovery

In a recent survey, 57 % des RSSI admit they don’t know where some or all their data is or how it is protected! As this amount of private data continues to grow, the sheer number of regulations expands exponentially, and we are confused about what and how we should protect our data.  As a result, organizations need to understand their data, where it is, and what is at risk.  Being able to prioritize data based on your organization’s policies, priorities, and applicable regulations is critical to protecting the data. You cannot protect what you don’t know about!

7. Classification of data

Savoir quelles données existent et où elles se trouvent ne constitue qu’une partie de la solution. Les entreprises doivent déterminer quelles données sont des données privées de clients, essentielles à l’activité, etc., en fonction de leur importance pour votre entreprise et vos clients. Se contenter de protéger les données sur site peut vous faire passer à côté de certaines données clients critiques hébergées dans votre solution CRM basée sur le SaaS. À ce propos, vous ne devez pas compter uniquement sur votre fournisseur SaaS, ni même sur vos fournisseurs de cloud IaaS, pour assurer la protection de vos données. Ceux-ci peuvent proposer des accords de niveau de service (SLA) et un certain niveau de redondance, mais cela ne remplace pas un plan de protection des données solide. La gestion de la classification des données n’est pas une opération ponctuelle, car le volume de données augmente de manière exponentielle chaque année.

8. Retention

It is paramount to know what data exists and how important it is, but how long does it stay relevant? This is a hard question to answer for most organizations and one that can be seen every year when buying ever-increasing storage systems to house corporate data. The ability to assign an expected lifespan to data can significantly impact your organization’s bottom line AND protect your customers’ private data. Having systems in place to automatically find, classify, and set retention will reduce the likelihood of data sprawl, reduce the amount of time to recover unused data, and reduce costs. If you are looking for a great place to start efficiently managing your governance, risk, and compliance, read through Commvault’s unique approach to gestion unifiée des données.

9. Resilience plan testing & incident response

Resilience plan testing often referred to as a runbook, is an often-overlooked area of a data protection strategy. Creating or updating an outdated plan can take time and effort. Partnering with solution providers or strategic data protection companies with experience in creating a plan can significantly reduce the time it takes to get current. While it may be trivial to think runbooks are passe, I’ve found that when an actual DR event or ransomware attack hits, they are the GO-TO asset you want in your arsenal of tools. A regular cadence of updates creates an organizational posture that is ready to face data security threats head-on.

10.  Risk Assessment

As mentioned with runbook, consider working with strategic vendors to perform a risk assessment semi-annually or annually. Scheduled reviews can help build the muscle memory for a solid data protection and data privacy mindset. The benefit of working with well establish data protection & data privacy vendors is they are up to date on the latest security threats and mitigation strategies.

By implementing this list of considerations and routinely refreshing your resilience plan, you can be confident that personal information is secure and compliant with the latest privacy regulations. If you aren’t sure where to start but need help from a company that can answer all these questions.

Commvault est là pour vous aider ! Nous ajoutons sans cesse de nouvelles fonctionnalités, notamment nos dernières améliorations en matière de souveraineté régionale des données pour les instantanés de sauvegarde, les certifications sectorielles, les capacités de stockage immuable, et bien plus encore.

Head over to our community to En savoir plus or take a test drive today https://www.commvault.com/request-demo

Happy 2023 Data Privacy Week!

Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!

2023 is the perfect moment to start internalizing new acronyms (get ready for #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) and legislative acts they stand for.

L’objectif sous-jacent des changements à venir est de renforcer et d’améliorer les dispositifs de cybersécurité des différentes organisations et de gérer plus efficacement les cyberrisques en constante évolution.

Voici un aperçu général de certaines évolutions juridiques observées à travers le monde :

• EU – Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)
• EU – Regulation on digital operational resilience for the financial sector (DORA)
• US – State & Federal privacy laws
• India – Digital Personal Data Protection Bill (DPDPB)
• Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988

NIS2

According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.

La directive NIS2 a été publiée juste avant la fin de l’année, et les États membres de l’UE disposent désormais de 21 mois pour transposer les exigences et les mécanismes qu’elle décrit dans leur législation nationale. La directive NIS de 2016, malgré ses lacunes, a constitué une pierre angulaire du renforcement des capacités des États membres en matière de cybersécurité. Désormais, la directive NIS 2 élargira le champ d’application et la liste des organisations concernées. On estime que jusqu’à 160 000 organisations seront soumises à cette nouvelle législation, notamment les fournisseurs de services numériques (plateformes et services de centres de données), les fournisseurs de réseaux et de services de communications électroniques, ainsi que les secteurs de l’industrie manufacturière, de l’agroalimentaire et du secteur public.

NIS2 aims to strengthen cybersecurity postures by, amongst other: improving cybersecurity governance, addressing the security of supply chains, streamlining reporting obligations (early warnings/shortened notification periods), and introducing more stringent supervisory measures and stricter enforcement requirements.

Que pouvez-vous faire dès maintenant ?

• First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
• Ensuite, voyez si vous pouvez créer des synergies et tirer parti des mesures techniques et organisationnelles existantes mises en œuvre lors de précédentes initiatives de mise en conformité (par exemple, le RGPD, la directive NIS1, etc.)
• Commencez à rechercher les partenaires adéquats, capables de soutenir efficacement vos efforts de mise en conformité. Discutez avec vos fournisseurs de l’approche la mieux adaptée à votre organisation.
• Enfin, commencez à prévoir une augmentation des dépenses afin de combler les lacunes restantes. Le non-respect de la conformité pourrait entraîner des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’organisation.

DORA

DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.

Les nouvelles exigences imposées par la DORA se traduiront concrètement par une révision et une mise à jour des pratiques de gestion des risques. Les clients du secteur financier devront transférer autant de risques réglementaires que possible à leurs prestataires TIC ou mettre en œuvre différentes stratégies d’atténuation des risques. Dans tous les cas, les prestataires TIC devront être en mesure de garantir le respect des exigences de la DORA. L’ensemble du secteur devra également réévaluer ses relations contractuelles avec ses fournisseurs. La DORA intégrera des exigences relatives aux contrats entre les entreprises financières et leurs prestataires TIC essentiels, notamment en ce qui concerne le lieu de traitement des données, la description des accords de niveau de service, les obligations de déclaration, les droits d’accès et les circonstances pouvant entraîner la résiliation du contrat.

In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).

US data privacy laws – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA

As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.

2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.

India – DPDPB

Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.

Australia – Privacy Penalty Bill & overhaul of the Privacy Act

Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”

Entre-temps, toujours en 2022, l’Australie a adopté la loi sur les sanctions en matière de protection de la vie privée (Privacy Penalty Bill), qui a relevé les sanctions liées à la protection de la vie privée à des niveaux comparables à ceux instaurés par le RGPD (jusqu’à 50 millions de dollars australiens) et a élargi les pouvoirs réglementaires du Bureau du commissaire australien à l’information (OAIC) et de l’Autorité australienne des communications et des médias (ACMA).

Summary

Le compte à rebours incessant de la conformité vient de recommencer. Des équipes pluridisciplinaires, composées de professionnels de l’informatique, de la conformité, de la protection des données, du droit et d’analystes métier, consacreront un temps considérable à analyser l’impact de la vague de changements législatifs apparue à la fin de l’année dernière et qui se concrétisera tout au long de l’année 2023.

Sachez que les évolutions législatives présentées ici pourraient être plus complètes. Vous pouvez toutefois être certain qu’elles deviendront des thèmes de discussion incontournables, non seulement en 2023, mais aussi dans les années à venir.

Dans le cadre d’une série de trois articles publiés à l’occasion de la Journée de la protection des données 2023 (voir les articles deJakub LewandowskietThomas Bryant ), Bill Mew argues that there is a real enforcement problem – it’s like the ‘Wild West’ out there.

Les politiques, les cadres et les règles ne sont utiles que si elles sont respectées, tout comme les réglementations et les lois n’ont aucun sens si elles ne sont pas appliquées. Le problème dans le domaine de la protection des données et de la cybersécurité est que, là où des règles devraient être appliquées, elles sont souvent ignorées, et là où des lois ont été adoptées, leur application doit être renforcée.

Les RSSI (responsables de la sécurité des systèmes d’information) ont une tâche ingrate. Le personnel est généralement réticent à respecter les mesures de cyberhygiène que le RSSI cherche à mettre en place, mais lorsque leur manque de discipline entraîne une violation de sécurité, ces collègues s’empressent de rejeter la faute sur le RSSI. De plus, alors qu’il existe des réglementations coûteuses et complexes à respecter ainsi que des règles strictes en matière de signalement des violations, les autorités, loin d’aider à gérer les incidents ou à appréhender les véritables coupables, se contentent d’utiliser ces signalements pour déterminer le montant des amendes.

Functional, Cultural Mismatch

Si on leur posait la question, la plupart des collaborateurs s’accorderaient à dire que les cybermenaces constituent un enjeu majeur, mais dans leur travail quotidien, ils se concentrent sur des indicateurs axés sur le chiffre d’affaires ou le retour sur investissement (ROI). Ce sont ces indicateurs qui servent à évaluer leurs performances individuelles et celles de leur service, et sur lesquels s’appuient les politiques d’incitation mises en place à l’échelle de l’entreprise.

The CISO is instead focused on return on risk (ROR). Based on the allocated budget and the organisation’s risk appetite, the CISO focuses on maximising security and minimising risk.

The mismatch between the CISO’s ROR orientation and just about everyone else’s ROI orientation can put the CISO at odds with the rest of the management team. They may not only become isolated (what I term CISOlation) but can also be a scapegoat when things go wrong – even when warnings are ignored.

Perverse regulatory incentives

In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is that regulation without enforcement is not just pointless but counter-productive. After all, only responsible companies will comply with these regulations, and for them, it represents a cost or compliance tax. Meanwhile, irresponsible ones often choose not to abide by the rules. If they believe that there is little or no risk of enforcement, then this is a cost-saving and risk-free source of competitive advantage.

Le non-respect des réglementations est généralisé et émane des plus hautes sphères, comme en témoignent les nombreux articles de presse faisant état d’incidents liés aux données ou d’amendes infligées aux géants de la technologie. Ces amendes ne semblent pas avoir d’effet dissuasif ; elles sont au contraire considérées comme un coût supplémentaire par les géants de la technologie et par de nombreuses autres entreprises qui ont eu la malchance d’être victimes d’un incident lié aux données.

Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of a indicateur tardif des déboires subis par les entreprises responsables rather than of misbehaviour by irresponsible ones.

Record of Regulatory Inaction

Most BigTech firms, attracted by a favourable tax regime, have opted to base their European headquarters in Ireland. The local regulator, DPC Ireland, is therefore responsible for ensuring that they comply with GDPR and other such regulations. Whether down to inadequate funding, reluctance to rock the boat, or simply out-gunned and out-lobbied by the BigTech firms, DPC Ireland has been seen as ineffective in holding them to account.

In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in a vote de 451 voix contre 1. Lorsque de nouvelles pressions exercées par les régulateurs du reste de l’Europe l’ont finalement contrainte à agir après deux ans de retard, l’amende qu’elle a infligée à Facebook était si faible qu’elle a dû être multipliée par dix sous la pression des autres régulateurs.

The EU Ombudsman Emily O’Reilly eventually opened an inquiry into the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, the Irish Council of Civil Liberties (ICCL) criticised the EU for its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.

Ineffective Global Policing

Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of cybersecurity ‘fire drills’ to test cybersecurity and incident response capabilities but is also championing the need for global rules to crack down on cybercrime.

On estime que les pertes causées par toutes les formes de cybercriminalité, y compris les coûts de Recovery et de réparation, se sont élevées à 3 000 milliards de dollars en 2015 et à 6 000 milliards de dollars en 2021, et qu’elles pourraient atteindre jusqu’à 10 500 milliards de dollars par an d’ici 2025.

Cyber insurance isn’t the answer. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’s not worth it. At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect of potentially making bad problems even worse.

While almost all nations have signed up for United Nations agreements on combatting crime, including la cybercriminalité, some nations turn a blind eye and instead provide safe havens for cybercriminals to operate from. While most la cybercriminalité originates from countries like Russia, Iran, or North Korea, such activities are not confined to these rogue nations and continue closer to home. In addition, countries like China have significant espionage operations, and the United States is responsible for a great deal of global mass surveillance – all of which contravenes GDPR and a host of other laws.

We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’s Cyber Incident Reporting for Critical Infrastructure Act and in the EU with 2018’s Directive on Security Network and Information Systems. Still, there are also a host of other regulations that mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.

Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. The United Nations Office on Drugs and Crime is promoting a Cybercrime Programme which has the following aims:

• Renforcer l’efficacité et l’efficience des enquêtes, des poursuites et des procédures judiciaires relatives à la cybercriminalité, en particulier l’exploitation sexuelle des enfants en ligne et les abus sexuels à leur encontre, dans le respect d’un cadre solide en matière de droits de l’homme.
• Une réponse efficace et performante à long terme de l’ensemble des pouvoirs publics face à la cybercriminalité, comprenant notamment une coordination nationale, la collecte de données et des cadres juridiques efficaces, débouchant sur une réponse durable et un renforcement de l’effet dissuasif.
• Un renforcement de la communication, tant au niveau national qu’international, entre les pouvoirs publics, les forces de l’ordre et le secteur privé, ainsi qu’une meilleure sensibilisation du public aux risques liés à la cybercriminalité.

These are laudable goals. However, we are a long way from victims of crime being able to pick up the phone to police at the local, national, or international level with any expectation of getting either practical assistance or justice. The reality is that when it comes to cybercrime, aside from private sector incident response specialists, you’re on your own.

• Le personnel fait rarement preuve d’une discipline suffisante en matière de cyberhygiène
• Les autorités de régulation ne font pas preuve d’initiative pour repérer et lutter contre les cas de non-conformité
• Les criminels gagnent en assurance, en agressivité et en sophistication
• La police est dans l’impossibilité d’intervenir contre les criminels qui opèrent depuis des refuges sûrs
• Et les RSSI sont systématiquement désignés comme boucs émissaires lorsque les choses tournent mal

In this ‘Wild West’ environment, there isn’t any cavalry going to the rescue, so you are expected to be adequately armed and ready to defend yourself. Take hints from Thomas Bryant’s article and learn how to deal with it best. There is no substitute for getting your cybersecurity and incident response right.