Gérer les données en toute sécurité tout au long de leur cycle de vie
7 min read
La gestion sécurisée des données est essentielle pour garantir leur intégrité et donc leur valeur pour l’organisation, ainsi que pour réduire les risques contre les violations et la désinformation.
Bien qu’à première vue, la gestion des données tout au long de leur cycle de vie puisse être un travail colossal, sa décomposition en différents éléments, comme indiqué ci-dessous, la rend moins intimidante.
Création ou collection
Cela peut impliquer une saisie manuelle de données, telles que des données relatives à un nouveau membre de l’organisation ; l’acquisition de données externes produites à l’extérieur de l’organisation ; ou les données générées par les appareils, telles que les habitudes de consommation des clients capturées par les cartes de fidélité des magasins, par exemple.
Le stockage de ces données nécessite d’avoir l’autorisation correcte – le consentement pour informations personnellement identifiables (PII) et l’autorisation de stocker, traiter et transmettre des données organisationnelles.
Identification ou classification
Les organisations devraient viser à classer les informations, potentiellement à l’aide de technologies telles que intelligence artificielle (IA) outils. Cependant, il est important de noter que les labels eux-mêmes (confidentiel, privé, top secret, par exemple) ne protègent pas les données – les gens ont besoin de bien comprendre comment gérer les données en fonction de leur classement.
Classement et gestion des données non structurées, y compris les fichiers Excel, les documents Word et les exportations système, est toujours difficile, mais le classer et le stocker au bon endroit offre une tranquillité d’esprit et une base pour des règles de traitement plus complexes.
Les organisations doivent également conserver un catalogue de toutes les informations, définissant clairement pour chaque niveau de classification :
Cela est particulièrement pertinent lorsqu’il existe des exigences en matière d’informations sensibles, telles que le traitement des informations personnelles dans le cadre de la Règlement général sur la protection des données (RGPD).
Gouvernance
Chaque classification ou type de données nécessite un propriétaire clair, qu’il s’agisse du chef d’un département ou d’une équipe, ou de la personne qui les soumet. Dans certains cas, cela sera déterminé par la législation (le RGPD définit les propriétaires des données par rapport aux sous-traitants, par exemple) et la réglementation (comme la PCI DSS, qui établit qui est responsable). Les propriétaires s’assurent que les données sont traitées conformément aux principes de gouvernance des données de l’organisation, qui permettent un accès efficace et une utilisation appropriée des données détenues tout en respectant les lois et réglementations locales.
Toutes les personnes entrant en contact avec les données doivent être formées afin qu’elles sachent où elles doivent être stockées, comment elles doivent être traitées et la manière correcte de les transmettre.
Si possible, toutes les données doivent avoir une source de données d’origine identifiée, idéalement dans une application pour un catalogage facile et pour capturer tout changement. Cela fournit une version principale claire si des copies des données sont faites et ensuite manipulées ou modifiées à des fins commerciales.
Manutention
La façon dont les individus gèrent les données est l’une des étapes les plus critiques pour assurer leur sécurité. L’endroit où il doit être stocké (sur les ordinateurs portables, les disques de stockage partagés basés sur le cloud, etc.) doit être clairement défini, ainsi que la manière dont il doit être transmis (jamais par e-mail, toujours crypté, uniquement des versions rédigées, par exemple), et la manière dont il doit être traité (jamais exporté du système maître, uniquement avec approbation, uniquement en utilisant des processus convenus, etc.).
Sans directives claires, un gâchis de données en double peut rapidement s’accumuler, sans que personne ne soit sûr de l’original et des valeurs à utiliser. À partir de là, c’est une étape facile pour les personnes qui partagent du matériel qu’elles ne devraient pas, ce qui ouvre l’organisation à violations de données.
Outre l’élément humain, le cryptage, en tant que contrôle clé pour le stockage et la transmission des données, joue un rôle majeur dans le traitement des données. Il vient avec ses propres défis, mais aussi des développements intéressants. Par exemple, pour être utilisées, les données doivent généralement être décryptées, ce qui les rend vulnérables avant d’être recryptées. Cryptage homomorphe, cependant, en permettant l’interaction avec des données cryptées, pourrait éliminer ce point de risque.
protection
Il n’y a pas de règles strictes en matière de protection des données. Pour empêcher la divulgation (accidentelle ou délibérée), chaque organisation doit effectuer une évaluation des risques pour chaque type de données qu’elle détient afin de comprendre les risques et les façons potentielles dont elles pourraient être copiées, exportées ou enregistrées sans approbation. Forts de ces connaissances, des mesures appropriées peuvent être prises.
Une fois les risques et l’impact des accès non autorisés établis, des outils peuvent être utilisés à la fois pour protéger les données et prévenir les utilisations indésirables de celles-ci. Des outils peuvent être utilisés pour surveiller les données quittant l’organisation (prévention des pertes de données), recherchez des exportations à partir d’applications d’entreprise et surveillez le comportement des utilisateurs pour détecter le partage ou l’envoi de données par e-mail (informations XDR et journal système).
Le moyen le plus efficace d’arrêter l’utilisation non autorisée des données est de empêcher les gens d’y accéder en premier lieu. Les contrôles d’accès doivent être appliqués à tous les niveaux technologiques – l’application elle-même où les gens se connectent régulièrement, les bases de données où elles sont stockées et les interfaces qui transmettent les données d’une application à une autre – bien qu’en réalité, il soit difficile d’identifier tous les domaines.
Quels que soient les outils ou les capacités déployés, il est essentiel qu’ils soient surveillés pour s’assurer que toutes les alertes signalant des anomalies sont détectées. Orchestration, automatisation et réponse de la sécurité (SOAR) des outils et similaires peuvent être utilisés pour bloquer automatiquement les tentatives non autorisées d’exportation ou de partage de données, mais ceux-ci doivent être gérés pour s’assurer que les fausses alarmes sont minimisées et qu’en fin de compte, aucune violation ne se produit.
Des contrôles physiques doivent également être envisagés. Les imprimantes sont un moyen courant de diffuser largement des informations hautement confidentielles, tandis que certaines organisations utilisent des portes de sécurité ou d’autres barrières physiques pour restreindre le flux d’informations.
Les sauvegardes doivent bénéficier de la même protection que les données en direct. Quelle que soit la force des contrôles pour restreindre l’accès aux données, si un fichier de sauvegarde est stocké quelque part de manière centralisée ou dans un centre de reprise après sinistre avec des contrôles plus faibles, la sécurité globale est compromise et un risque est introduit.
Archivage et destruction
Dans l’ensemble, les propriétaires de données spécifieront la durée de conservation de « leurs » données, qui est souvent liée à la législation, bien que la longévité des informations financières pertinentes soit souvent régie par le cycle d’audit.
Des points de révision doivent être définis lorsque des personnes quittent l’organisation ou changent de rôle. À ce stade, leur accès aux données doit être révoqué et un examen de toutes les données auxquelles ils ont accès doit être effectué, car des informations potentiellement obsolètes ou confidentielles peuvent être stockées sur leurs appareils.
Initialement, les « anciennes » données peuvent être archivées en les transférant en dehors de l’environnement de production actif, où leur sécurité continue peut être assurée avec des outils tels que des logiciels antivirus et la sécurité et le cryptage du réseau. Cependant, il n’est pas pratique de stocker les données archivées indéfiniment, et le calendrier de conservation doit être suivi pour s’assurer qu’elles sont éliminées au bon moment.
Suppression automatisée des données, qui peut être implémenté dans la plupart des applications d’entreprise, peut être une perspective effrayante, mais c’est le moyen le plus efficace de purger les informations obsolètes. Les sauvegardes, les copies, les informations partagées avec des tiers de confiance et partout ailleurs où elles ont été copiées doivent être suivies et détruites, avec des processus stricts définis, suivis et audités pour s’assurer que cela se déroule comme prévu.
