La conformité réglementaire simplifiée

Plusieurs lois et réglementations considèrent que la sauvegarde, la restauration et la résilience constituent des éléments essentiels d’un programme de cybersécurité efficace. Il s’agit notamment du Règlement général sur la protection des données (RGPD), de la loi américaine sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA), des normes de sécurité des données du secteur des cartes de paiement (PCI DSS), de la directive relative à la sécurité des réseaux et des systèmes d’information (NIS2), de la loi de l’État de New York sur la cybersécurité (NYCRR 500), de la loi californienne sur la protection de la vie privée des consommateurs (CCPA) et de la loi sur la résilience opérationnelle numérique (DORA). Nous vous recommandons de consulter vos équipes chargées de la conformité et des affaires juridiques afin de déterminer celles qui s’appliquent à votre entreprise.

Parmi les réglementations les plus connues, on peut citer le Règlement général sur la protection des données (RGPD), la Loi californienne sur la protection de la vie privée des consommateurs (CCPA) et la Loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA).

Chaque organisation devrait consulter des juristes et des auditeurs au sujet des réglementations spécifiques. Toutefois, un bon point de départ pour un programme consisterait à réaliser régulièrement des évaluations et des audits des pratiques en matière de protection des données, à mettre en œuvre et à surveiller des contrôles de sécurité, et à faire appel à des professionnels de l’informatique et de la sécurité (au sein du personnel ou par l’intermédiaire de prestataires de services) pour vérifier que les mesures de sécurité sont bien appliquées et fonctionnent correctement. Une approche fondée sur les risques, dans laquelle les organisations évaluent les exigences réglementaires et le risque éventuel de perte en cas de violation ou de non-conformité par rapport à l’effort nécessaire pour mettre en œuvre les contrôles, peut également être recommandée.

La loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act, ou DORA) est un règlement de l’Union européenne destiné aux banques et aux entités financières, qui a été adopté afin de contribuer à l’établissement de normes en matière de cybersécurité et de cyber-résilience. Nous avons constaté que de nombreuses équipes chargées de la conformité s’appuient sur la DORA comme référence, quel que soit leur secteur d’activité ; toutefois, nous vous recommandons de consulter vos services juridiques et de conformité afin d’obtenir des conseils adaptés à votre organisation.

Commencez par identifier les types de données et les risques au sein de votre organisation, en accordant une attention particulière aux données sensibles et réglementées. Vous pourrez ensuite définir des objectifs de sécurité clairs et mesurables, susceptibles de contribuer à atténuer et à minimiser ces risques. À partir de là, vous pouvez élaborer et mettre en œuvre des politiques de gouvernance des données portant sur la propriété, le traitement et le cycle de vie des données. Cela peut notamment inclure des contrôles d’accès pour des personnes ou des groupes, les modalités de protection, de partage et de sauvegarde des données, ainsi que les procédures d’élimination des données lorsqu’elles ne sont plus pertinentes ou nécessaires.

L’e-discovery consiste à identifier, préserver, collecter, traiter, examiner et produire des informations stockées sous forme électronique (ESI) dans le cadre de litiges, d’enquêtes ou d’autres demandes judiciaires. Ce processus implique la recherche, l’analyse et l’extraction de données pertinentes à partir de sources de données actives et de sauvegardes, ainsi que le contrôle de ces données afin d’empêcher qu’elles ne soient modifiées ou supprimées.