La conformité réglementaire simplifiée

Plusieurs lois et réglementations considèrent la sauvegarde, la restauration et la résilience comme des éléments essentiels d’un programme de cybersécurité efficace. Il s’agit notamment du Règlement général sur la protection des données (RGPD), de la loi HIPAA (Health Insurance Portability and Accountability Act), des normes PCI DSS (Payment Card Industry Data Security Standards), de la directive NIS2 (Network and Information Systems 2), de la loi sur la cybersécurité de l’État de New York (NYCRR 500), de la loi californienne sur la protection de la vie privée des consommateurs (CCPA) et de la loi DORA (Digital Operational Resilience Act). Nous vous recommandons de consulter vos équipes chargées de la conformité et des affaires juridiques afin de déterminer celles qui s’appliquent à votre entreprise.

Parmi les réglementations les plus connues figurent le Règlement général sur la protection des données (RGPD), la loi californienne sur la protection de la vie privée des consommateurs (CCPA) et la loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA).

Chaque organisation devrait consulter des avocats et des auditeurs au sujet des réglementations spécifiques. Toutefois, un bon point de départ pour un programme consisterait à mener régulièrement des évaluations et des audits des pratiques en matière de protection des données, à mettre en œuvre et à surveiller des contrôles de sécurité, et à faire appel à des professionnels de l’informatique et de la sécurité (au sein du personnel ou par l’intermédiaire de prestataires de services) pour vérifier que les mesures de sécurité sont bien appliquées et fonctionnent correctement. Une approche fondée sur les risques, dans laquelle les organisations évaluent les exigences réglementaires et le risque potentiel de perte en cas de violation ou de non-conformité par rapport à l’effort nécessaire pour mettre en œuvre les contrôles, peut également être recommandée.

La loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act, ou DORA) est un règlement de l’Union européenne destiné aux banques et aux entités financières, qui a été adopté pour contribuer à établir des normes en matière de cybersécurité et de cyber-résilience. Nous avons constaté que de nombreuses équipes chargées de la conformité s’appuient sur la DORA comme référence, quel que soit leur secteur d’activité ; toutefois, nous vous recommandons de consulter vos équipes juridiques et de conformité afin d’obtenir des conseils adaptés à votre organisation.

Commencez par identifier les types de données et les risques au sein de votre organisation, en accordant une attention particulière aux données sensibles et réglementées. Vous pourrez ensuite définir des objectifs de sécurité clairs et mesurables, susceptibles de contribuer à atténuer et à minimiser ces risques. À partir de là, vous pouvez élaborer et appliquer des politiques de gouvernance des données portant sur la propriété, le traitement et le cycle de vie des données. Cela peut inclure des éléments tels que les contrôles d’accès pour les personnes ou les groupes, la manière dont les données sont protégées, partagées et sauvegardées, ainsi que la manière de les éliminer lorsqu’elles ne sont plus pertinentes ou nécessaires.

L’e-discovery consiste à identifier, préserver, collecter, traiter, examiner et produire des informations stockées électroniquement (ESI) dans le cadre de litiges, d’enquêtes ou d’autres demandes juridiques. Cela implique de rechercher, d’analyser et d’extraire les données pertinentes à partir de sources de données actives et de sauvegarde, ainsi que de contrôler ces données pour empêcher qu’elles ne soient modifiées ou supprimées.