De nombreuses entreprises dépendent désormais entièrement des données stockées sur leurs serveurs réseau, ordinateurs, ordinateurs portables, appareils mobiles et services cloud. Certaines de ces données sont susceptibles de contenir des informations personnelles et/ou des informations confidentielles de l'entreprise.
Nous examinons ici certains points à prendre en compte lors de l'évaluation de la sécurité de vos systèmes informatiques, notamment en ce qui concerne les contrôles d'accès. Le Règlement général sur la protection des données (RGPD) énonce le principe de sécurité selon lequel vous devez prendre des « mesures techniques et organisationnelles appropriées » pour garantir la sécurité du traitement des données personnelles. Ce principe est également repris dans le sixième principe de la loi britannique sur la protection des données de 2018 (Data Protection Act - DPA 2018), qui renforce le RGPD et stipule également l'« obligation de traiter les données personnelles de manière sécurisée ».
C’est pourquoi la prévention de l’accès non autorisé ou accidentel aux données personnelles que vous traitez constitue une étape importante vers la conformité.
Sécurité d'accès
Un bon contrôle d'accès aux ordinateurs et au réseau minimise le risque de vol ou d'utilisation abusive des données.
Les contrôles d'accès peuvent être divisés en deux domaines principaux :
- accès physique – contrôles sur les personnes autorisées à entrer dans les locaux et à accéder aux données personnelles
- Contrôles d'accès logiques – mesures de sécurité visant à garantir que les employés n'ont accès qu'aux logiciels, données et appareils nécessaires à l'exercice de leurs fonctions.
accès physique
Outre les contrôles d'accès physiques tels que les serrures, les alarmes, l'éclairage de sécurité et la vidéosurveillance, d'autres éléments sont à prendre en compte, comme la manière dont l'accès aux locaux est contrôlé.
Les visiteurs ne devraient pas être autorisés à circuler librement sans surveillance stricte.
Veillez à ce que les écrans d'ordinateur ne soient pas visibles de l'extérieur.
Utilisez des politiques réseau pour vous assurer que les postes de travail et/ou les appareils mobiles sont verrouillés lorsqu'ils sont sans surveillance ou non utilisés.
S'assurer qu'en cas de perte d'un appareil mobile, celui-ci puisse être immobilisé à distance.
Les appareils mobiles étant petits, ils constituent des objets à haut risque ; les données sensibles doivent donc toujours être cryptées et l'accès au service contrôlé par un code PIN ou un mot de passe.
Il peut être nécessaire de désactiver ou de restreindre l'accès aux périphériques USB et aux lecteurs/graveurs optiques.
Il peut être nécessaire de bloquer les ports réseau via des serveurs Radius ou d'autres équipements réseau, afin d'empêcher le branchement par câble d'équipements non autorisés sur le réseau.
Enfin, les documents papier doivent être éliminés en toute sécurité.
Accès logique
Des techniques d'accès logique doivent être utilisées pour garantir que le personnel ne dispose pas de plus d'accès que nécessaire à l'exercice de ses fonctions.
Les données sensibles doivent être chiffrées et l'accès à ces données contrôlé via la sécurité du réseau, les listes de contrôle d'accès et les profils utilisateurs.
L'accès à certaines applications et à certains dossiers peut également devoir être restreint utilisateur par utilisateur.
Enfin, il peut s'avérer nécessaire de verrouiller certains périphériques sur certaines machines, soit via une stratégie de groupe sous Windows, soit via une application de gestion tierce.
Mots de passe
Une politique de mots de passe comprenant un nom d'utilisateur et un mot de passe est une bonne pratique.
Ces éléments permettent d'identifier un utilisateur sur le réseau et d'attribuer les autorisations appropriées.
Pour être efficaces, les mots de passe doivent :
- être relativement long (c'est-à-dire huit caractères ou plus)
- contiennent un mélange de caractères alphanumériques et spéciaux (tels que &^")
- être modifié régulièrement grâce aux options de renouvellement automatique du mot de passe
- être supprimé ou modifié lorsqu'un employé quitte ses fonctions
- être utilisé sur des fichiers individuels tels que des feuilles de calcul ou des documents de traitement de texte contenant des informations personnelles
- être chiffrées au sein de vos systèmes à l'aide d'un algorithme de chiffrement robuste
et ne devrait PAS
- être un mot de passe global (c'est-à-dire le même pour toutes les applications ou pour tous les utilisateurs)
- être écrit sur des post-it collés sur le clavier ou l'écran
- se composent de mots ou d'expressions courantes, ou du nom de l'entreprise.
- être envoyé par courriel, sauf s'il s'agit simplement d'un mot de passe temporaire (sans aucune information supplémentaire telle que sa finalité et le nom d'utilisateur).
- ne pas être stocké sous forme de texte brut dans vos systèmes.
Audit d'accès
Bien que cela ne soit pas une exigence légale du RGPD, l'enregistrement et le suivi des données (et des modifications qui y sont apportées) contribueront grandement à assurer la conformité à l'article 32 du RGPD.
L’audit de votre traitement des données vous permettra d’examiner, de rendre compte et de prouver :
- Qui a accédé aux données et quand ?
- la fréquence d'accès aux données et si ce niveau d'accès est approprié
- En cas de perte accidentelle de données, vérifiez quelles modifications ont été apportées et par qui.
Bien que ni le RGPD ni la loi britannique sur la protection des données de 2018 (DPA 2018) ne précisent les mesures exactes que vous devez prendre, vous devriez envisager d'utiliser une solution technique adaptée à vos besoins et à ceux des données que vous traitez.
