Au cours des dix années qui ont suivi la première grande violation de données chez un grand détaillant américain, où les informations de 70 millions de clients ont été volées, les cyberattaques majeures et dévastatrices se sont multipliées, affectant entreprises et individus, et entraînant une perte de réputation, de propriété intellectuelle et de confidentialité. Pour améliorer la protection des données sensibles, de nombreuses lois ont été adoptées, notamment le RGPD.
Les assurances cybernétiques accordent également une importance croissante à la protection des données d'une entreprise. Lorsque les responsables de la sécurité des données commencent à identifier et quantifier les données sensibles qu'ils détiennent, ils découvrent généralement plus de données que prévu, souvent à des endroits inattendus. Comment peuvent-ils alors protéger au mieux ces données sensibles et réglementées ? Et comment étendre cette protection à tous les cas d'utilisation, y compris le traitement interne et externe par des tiers ?
Voici cinq approches pour éliminer les risques potentiels des données, chacune avec ses propres défis techniques et organisationnels.
1 - Supprimer les données
La suppression des données est relativement facile à automatiser, notamment pour les données structurées, mais l'élaboration de politiques de conservation peut être complexe. De nombreuses entreprises confient cette tâche à une équipe de gestion des documents et de l'information (RIM), qui n'est pas toujours présente.Les parties prenantes des différents départements, du service juridique, de la conformité et de l'IT doivent être impliquées, ce qui rend les décisions longues à prendre. Une fois la politique de conservation définie, il est crucial de la respecter et de prouver sa mise en œuvre. L'automatisation doit être capable d'identifier les bonnes données, de les supprimer en toute sécurité et de documenter les progrès.
2 - Déplacer les données
Déplacer et mettre en quarantaine les données est techniquement plus complexe que le fait de les supprimer, mais cette décision est plus facile à prendre car les données peuvent être récupérées. Cependant, cela peut nécessiter des configurations supplémentaires pour l'accès aux données, entraînant un surcroît de travail.3 - Limiter l'accès
Limiter l'accès aux données sensibles nécessite une automatisation avancée mais est plus facile à réaliser d'un point de vue organisationnel. Chaque employé ne doit avoir accès qu'aux données nécessaires pour son travail. L'utilisation croissante des outils de collaboration complique et modifie en permanence les règles et les exigences, rendant l'automatisation indispensable. Avec les bonnes solutions, limiter l'accès est une option efficace pour réduire les risques sans supprimer ou modifier les données.4 - Surveiller les mouvements de fichiers
Les entreprises utilisent des solutions de prévention des pertes de données (DLP) pour restreindre les mouvements de données sensibles, en les bloquant ou en les cryptant. Ce concept repose sur un bon étiquetage des fichiers sensibles, une tâche qui doit être automatisée pour être efficace.5 - Obfuscation
Certaines entreprises recourent à l'obfuscation ou la tokenisation des composants sensibles dans les bases de données ou les documents. Cette stratégie nécessite des décisions organisationnelles et une automatisation sophistiquée. L'obfuscation masque les parties sensibles tout en laissant la majorité des données lisibles. Une automatisation est nécessaire pour identifier les données à masquer et pour gérer l'accès sécurisé aux parties sensibles.Quelle est l'approche adéquate ?
Chaque approche est viable pour une entreprise si elle peut être mise en œuvre techniquement et acceptée par les responsables et les employés. Les exigences réglementaires influencent également la stratégie de sécurité des données.La première étape consiste à évaluer la visibilité des équipes de sécurité et IT sur les données sensibles et réglementées. Une évaluation des risques des données peut fournir des réponses et des informations précieuses. Ensuite, il faut inventorier les politiques existantes concernant la conservation des données, le contrôle d'accès, et la taxonomie des données.
La pression sur les responsables de la sécurité augmente avec l'évolution des menaces, les nouvelles réglementations et les exigences des assureurs cyber. Une automatisation intelligente est donc cruciale pour réduire les risques liés aux données. Une compréhension approfondie de l'utilisation des données est essentielle pour éviter de supprimer des données sensibles activement utilisées ou de restreindre l'accès nécessaire. La surveillance des données peut également faciliter la détection des cyberattaques et des comportements malveillants. La solution pour mettre fin à une décennie d'incidents liés aux données ?
Par Jérôme Soyer, Vice-président avant-vente pour l'Europe de l'Ouest chez Varonis
