Guide du cycle de vie des données : identifier où vos données sont vulnérables

Les données sont l’actif le plus précieux d’une entreprise. Pour que les données conservent leur valeur, il est primordial d’identifier où elles sont vulnérables. D’après le Dr Gemma Galdon Clavell, experte en éthique et données, les données sont les plus vulnérables à cinq moments clés : collecte, stockage, partage, analyse et suppression. Ces points de vulnérabilité augmentent le risque de violation – et nous avons tous entendu parler des coûts subis par une entreprise lorsqu’elle se fait pirater.

Une grande partie de ces points de vulnérabilité s’inscrivent dans un cycle appelé « cycle de vie des données ». Le cycle de vie des données détermine où les données résident : sur site, dans le cloud, chez un fournisseur, etc. Par ailleurs, c’est en comprenant où se trouvent vos données dans le système que vous pourrez prendre des mesures cohérentes permettant de protéger la sécurité ainsi que la confidentialité de ces données.

Qu’est-ce que le cycle de vie des données ?

Ce cycle de vie des données est un processus général de haut niveau qui décrit comment les données peuvent circuler dans une organisation. Le cycle de vie présenté étant tout à fait courant, il peut être adapté à de nombreux scénarios. Le cycle de vie des données est un guide important que les pros de la sécurité et de la confidentialité ne doivent pas négliger lorsqu’ils protègent les données.

Collecte des données – Où débute le cycle de vie des données

Pour comprendre pourquoi le cycle commence dès la collecte, examinons de plus près ce qui se passe à cette étape. Sans collecte des données, il n’y aurait rien à analyser, aucun schéma à découvrir, aucun plan d’entreprise basé sur les données à mettre en œuvre. Bien heureusement, la capacité à collecter les données – et la prise de conscience de l’immense importance de cette opération – ne sont plus un problème. En fait, concevoir des technologies de manière à optimiser la collecte des informations personnelles en vue d’une utilisation commerciale potentielle présente d’énormes avantages.

Kaiser Fung, spécialiste des données et statisticien, tire la sonnette d’alarme dans le cas d’une collecte de données dépourvue de vocation métier particulière : « vous possédez une immense quantité de données coûteuses, mais vous ne mesurez pas ce sur quoi vous voulez avoir un impact. Pour atteindre votre objectif, vous devez fusionner une importante quantité de données et essayer de collecter des données auprès d’autres sources. Et bien souvent, vous ne trouvez pas les données adéquates, alors vous vous retrouvez bloqué dans une boucle où vous ne pouvez rien faire. »

Les régulateurs ont également compris que l’attitude consistant à « collecter d’abord, poser des questions plus tard » favorise des choix de conception qui pourraient marginaliser les intérêts des utilisateurs concernant le respect de leur vie privée, en particulier la façon dont leurs données sont recueillies et utilisées.

Selon l’Article 25 du Règlement général sur la protection des données, de nombreuses entreprises ont désormais l’obligation de protéger les données dès la conception et par défaut. Cela signifie que les entreprises doivent intégrer des principes de protection des données à leurs pratiques métier dès le départ – et tout au long du cycle de vie des données. Basée sur un concept vieux de 20 ans, la Confidentialité dès la conception s’appuie sur sept principes fondamentaux pour garantir un contrôle strict de la confidentialité des informations personnelles ainsi qu’un avantage concurrentiel durable pour les organisations, doublé d’un paradigme à somme positive (gagnant/gagnant).

Obtenir le consentement pour une collecte de données active et passive

Les meilleures pratiques conseillent aux collecteurs, avant qu’ils ne commencent à recueillir des données, d’obtenir le consentement des personnes concernées préalablement à toute collecte active et passive. Ces mesures préventives aident à éviter les problèmes de communication et donnent la possibilité aux utilisateurs d’accepter ou de refuser la collecte.

Les informations des utilisateurs sont collectées de deux manières : passive et active. La collecte est active lorsque l’utilisateur sait que des données sont recueillies, et passive lorsque la collecte et l’analyse s’effectuent en arrière-plan, et que l’activité ou les déplacements de l’utilisateur pourraient révéler un modèle comportemental.

Il y a collecte active lorsqu’un utilisateur remplit un formulaire en ligne. L’utilisateur sait qu’il communiquera son identité en fournissant un nom, une adresse, un numéro de téléphone et d’autres types d’informations à caractère personnel. Si l’utilisateur a activé des services de localisation, ces informations de localisation constituent un exemple de collecte passive de données : le consentement est implicite et supposé en raison de l’utilisation active et de l’engagement vis-à-vis de la plate-forme, du service ou du produit.

Types de collectes de données

Outre l’obtention du consentement, un autre principe de confidentialité dès la conception repose sur la limitation de la collecte des données. Autrement dit, il convient de limiter la collecte des données personnelles et de recueillir uniquement les informations nécessaires à l’opération pour laquelle l’utilisateur a donné son consentement. Ceci limite la vulnérabilité et le risque pour le collecteur de données et la personne concernée.

Prenez particulièrement soin de restreindre/limiter les données lorsque vous collectez les types de données suivants :

1. Collecte de données par la partie principale : lorsque l’utilisateur fournit ses données personnelles directement au collecteur de données.
2. Surveillance : lorsque le collecteur observe les données produites par l’utilisateur sans interférer avec son utilisation.
3. Réutilisation des données : réutilisation de données précédemment collectées à d’autres fins que celles prévues initialement.
   Les meilleures pratiques préconisent d’obtenir un consentement supplémentaire de la part de la personne concernée.
   Selon le secteur, le fait de collecter des données dans un but précis puis de les réutiliser à une fin totalement différente peut constituer une violation des droits de confidentialité et être interdit par certaines réglementations.
4. Collecte par des tiers : lorsque les informations collectées sont transférées à une organisation extérieure à des fins d’analyse.

Donner du sens aux données : traitement, analyse et/ou partage

Une fois les données collectées, tous les membres d’une organisation ont souvent une envie irrésistible d’y accéder. La large disponibilité des données permet d’établir plus rapidement des liens inédits entre les informations et d’accéder à des opportunités et initiatives avantageuses pour l’entreprise. Être le premier sur un marché inexploité fait toute la différence.

C’est un point de vue qui se défend, mais les défenseurs de la sécurité et de la confidentialité tiennent un tout autre discours. Ils ne conseillent pas de supprimer tout accès. Après tout, sans accès aux données, il est difficile de les traiter et de les analyser.

Les partisans de la sécurité et NIST suggèrent que l’équilibre consiste à limiter l’accès aux seules personnes qui ont besoin d’utiliser les données. L’idée est de maintenir un modèle de moindre privilège et des contrôles d’accès basés sur des rôles grâce auxquels les propriétaires de données accordent aux utilisateurs des données seulement l’accès dont ils ont besoin pour faire leur travail – et aucun autre.

Ann Cavoukian, auteure de la Confidentialité dès la conception, a déclaré : « Vous devez limiter l’accès aux seules personnes qui ont besoin de connaître les informations, c’est-à-dire que les raisons pour lesquelles elles accèdent aux données sont justifiées d’un point de vue professionnel. »

Prenant l’exemple d’un hôpital, elle poursuit : « Les personnes qui soignent les patients doivent pouvoir accéder facilement à leurs données. Par contre, l’accès doit être refusé aux personnes qui n’ont pas un rôle de soignant. »

Les défenseurs de la confidentialité ajoutent qu’il est primordial que les données recueillies soient uniquement utilisées aux fins prévues initialement. Si vous envisagez d’utiliser ces données dans un autre but, procurez-vous un consentement supplémentaire auprès de la personne concernée. De la même façon, informez vos utilisateurs lorsque vous prévoyez de partager leurs données avec d’autres entreprises. L’utilisateur est en droit de le savoir.

Les dossiers mal protégés associés à des droits d’accès trop généreux attirent irrésistiblement les hackers. C’est là que Varonis entre en scène : DatAdvantage identifie qui peut accéder aux données, qui y accède réellement, montre à quels niveaux les utilisateurs ont des accès excessifs et aide à automatiser en toute sécurité les modifications à apporter aux listes de contrôle d’accès et aux groupes de sécurité.  Parallèlement, le Moteur d’automatisation aide à tout mettre sur pilote automatique : réparation des listes de contrôle d’accès incohérentes et correction de l’accès de groupe global.

Des politiques de conservation des données pour supprimer les risques

Que les données soient conservées sur site, dans le cloud ou hébergées par une organisation externe, les entreprises doivent s’interroger sur la durée de conservation de leurs données par leur système. Mettre en place des politiques et procédures de conservation des données — déterminer ce qu’il faut conserver et ce qu’il faut archiver — tombe sous le sens.

La conservation des données est abordée dans l’Article 5 du GDPR, qui explique que les données doivent être conservées uniquement pour la durée nécessaire à l’opération pour laquelle elles ont été recueillies et traitées.

L’UE n’est pas la seule à prendre cette procédure informatique au sérieux. Aux États-Unis, les règles de l’HIPAA limitent elles aussi la durée de conservation des données médicales, tandis que d’autres réglementations font de même pour les données financières. Les limites de conservation des données, exprimées en années, indiquent la durée de conservation des documents électroniques.

Le message est clair : réduisez votre exposition aux risques en matière de sécurité des données. Si vous n’avez pas besoin des données, supprimez-les. Moins vous possédez de données, moins une violation des données n’entraînera de dommages. Si les données sont sensibles, veillez à ce qu’elles soient uniquement accessibles aux personnes qui ont besoin d’en avoir connaissance. Les fichiers anciens et obsolètes sont souvent coûteux et risqués, raison pour laquelle nous proposons des politiques de conservation et des solutions logicielles telles que Varonis Data Transport Engine – qui aide à archiver, mettre en quarantaine et supprimer les données obsolètes (et réglementées).

Destruction sécurisée des données

Une fois que vous avez identifié les données à conserver, les données restantes sont soumises à un autre principe de Confidentialité dès la conception : limiter les risques en supprimant ou archivant les données sensibles inutiles ou obsolètes intégrées aux fichiers. C’est une pratique extrêmement pertinente. Les données obsolètes peuvent être des données d’identification collectées initialement dans le cadre de campagnes marketing à court terme mais figurant à présent dans des feuilles de calcul ou des présentations de gestion rarement utilisées. Il est possible que votre organisation n’en ait plus besoin, mais c’est justement le type de données monétisables sur lesquelles les hackers adorent mettre la main.

Pour faire écho à l’importance de limiter les données, Ann Cavoukian attire l’attention sur le fait que « les données inactives attirent les hackers. Elles attirent les personnes malintentionnées à l’intérieur de l’entreprise qui les utiliseront de manière inappropriée, les vendront, ou les exploiteront. »

Si les données obsolètes sont devenues inutiles et sont arrivées au terme de leur cycle de vie, le niveau de destruction est déterminé par leur sensibilité. NIST a publié des recommandations pour nettoyer les dispositifs de stockage et détruire les données, allant de l’écrasement des données à la destruction des supports physiques.

Protéger les données aux endroits où elles sont les plus vulnérables : de leur naissance à leur fin de vie

S’il est vrai que les données sont plus précieuses que le pétrole, il paraît judicieux de les protéger aussi bien que votre argent. De la naissance jusqu’à la fin du cycle de vie des données, il est possible de protéger les données de votre organisation en premier, et non en dernier. Selon Ann Cavoukian, qui a travaillé avec des organismes du gouvernement et des entreprises et qui en connaît un rayon sur les paradigmes à somme positive, « lorsque vous pouvez présenter les choses de cette façon, vous gagnez à tous les coups votre place autour de la table des négociations ».