De nombreuses entreprises dépendent désormais entièrement des données stockées sur leurs serveurs réseau, ordinateurs, portables, appareils mobiles ou dans le cloud. Certaines de ces données contiennent probablement des informations personnelles et/ou des informations confidentielles de l'entreprise.
Nous abordons ici certains points à prendre en compte lors de l'évaluation de la sécurité de vos systèmes informatiques et comment minimiser les risques de perte de données. Une fiche d'information complémentaire traite de considérations supplémentaires pour les utilisateurs dont les données sont stockées dans le cloud ou qui ont recours à l'externalisation.
De nombreux incidents de fuite de données très médiatisés ont eu lieu, au cours desquels d'importants volumes d'informations personnelles se sont retrouvés dans le domaine public. Il s'agit notamment de dossiers médicaux, de données financières et d'informations sur les employés.
Une organisation commerciale est également confrontée au risque supplémentaire de voir ses données perdues au profit d'un concurrent.
Bien entendu, les importantes pertes de données survenues dans les administrations et les entreprises ont fait la une des journaux. Cependant, toute entreprise, quelle que soit sa taille, peut subir une perte de données si elle ne prend pas les précautions nécessaires.
En 2021, environ 39 % des entreprises britanniques ont subi une faille de sécurité ou une cyberattaque, selon une étude commandée par le ministère de la Culture, des Médias et du Sport (DCMS). Le rapport est disponible à l’adresse suivante : https://www.gov.uk/government/statistics/cyber-security-breaches-survey-2022 .
Auditer l'utilisation et le stockage des données personnelles
Prenez en compte les données potentiellement sensibles et confidentielles stockées par votre entreprise :
- Dossiers du personnel contenant la date de naissance, les informations médicales, le salaire, les coordonnées bancaires, etc.
- Dossiers clients et fournisseurs contenant les informations bancaires/de carte de crédit, les codes PIN, les mots de passe, les informations de transaction, les informations contractuelles, les remises et les tarifs.
- données financières et de performance et plans d'affaires
- Les données confidentielles ne sont pas toujours stockées de manière pratique dans une base de données « sécurisée ». Souvent, les employés doivent créer et diffuser des rapports ponctuels (à l'aide de tableurs et autres documents) qui sont généralement des extraits d'informations stockées dans une base de données. Ce type d'extraction de données se fait fréquemment au détriment de la sécurité des données, car la base de données elle-même dispose invariablement de contrôles d'accès, contrairement à ces rapports ponctuels.
- Découvrez ce qui arrive aux données et quels contrôles sont en place pour empêcher la perte accidentelle ou délibérée de ces informations.
Analyse et réduction des risques
La question essentielle est la suivante : si tout ou partie de ces données sont perdues, qui pourrait en subir les conséquences et comment ?
Une fois cette question résolue, des mesures doivent être prises pour atténuer les risques de perte de données. Voici quelques étapes à suivre pour réduire ce risque :
- effectuer des sauvegardes régulières et stocker les données de sauvegarde en toute sécurité hors site
- Si des données à haut risque sont stockées dans le cloud, assurez-vous de bien comprendre les mécanismes de sécurité mis en place et comment récupérer ces données si nécessaire.
- Examinez le type d'informations stockées sur tous les appareils (ordinateurs portables, téléphones mobiles, tablettes, etc.) utilisés hors site. Si ces informations contiennent des données personnelles et/ou confidentielles, essayez de les minimiser ou de les anonymiser. Assurez-vous que les niveaux de sécurité et de chiffrement des données les plus appropriés sont appliqués à ces données.
- Si l'utilisation d'appareils mobiles est autorisée dans les locaux de l'entreprise, assurez-vous qu'une politique BYOD (Apportez votre propre appareil) est en vigueur. De plus, mettez en place des contrôles de sécurité appropriés pour limiter le type de données pouvant être stockées sur ces appareils.
- Assurez-vous que les sites web de votre entreprise traitant les paiements en ligne bénéficient des plus hauts niveaux de sécurité disponibles, notamment en utilisant les dernières versions du protocole SSL pour la transmission des données. Si vous ne déléguez pas le traitement des paiements à un service de passerelle de paiement et que vous stockez les informations de carte bancaire sur vos serveurs, que ce soit sur disque ou en mémoire, vous devez vous conformer à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS).
- Examiner l'utilisation et la disponibilité des clés USB et autres supports d'écriture, tels que les lecteurs optiques, au sein de l'entreprise, et envisager de restreindre l'accès à ces périphériques aux seuls utilisateurs autorisés, via des paramètres de sécurité appropriés, le chiffrement des données et des contrôles physiques.
- Assurez-vous que les sites web et les réseaux de l'entreprise sont testés afin de détecter les vulnérabilités liées aux attaques et envisagez de faire appel à des sociétés spécialisées en tests d'intrusion pour réaliser ces tests à votre place.
- Mettre en place une procédure de traitement des informations sensibles et de leur destruction sécurisée une fois les données devenues inutiles ; cette procédure doit également inclure la destruction des documents imprimés.
- Disposer d'une procédure permettant de supprimer ou de restreindre l'accès à toutes les données personnelles/professionnelles stockées sur les appareils mobiles
- Former le personnel à ses responsabilités, aux procédures de sécurité des données de l'entreprise et à la marche à suivre en cas de perte de données.
- Former le personnel à identifier les courriels frauduleux, les rançongiciels, les logiciels malveillants et autres menaces potentielles, ainsi que les procédures à suivre.
Violation de sécurité
Outre la réduction des risques, il est également recommandé de mettre en place des procédures en cas de faille de sécurité. Celles-ci devraient se concentrer sur quatre domaines principaux :
- un plan de rétablissement et des procédures pour gérer la limitation des dommages
- Processus d'examen du rétablissement visant à évaluer les conséquences négatives potentielles pour les personnes, leur gravité et leur ampleur, ainsi que la probabilité qu'elles se reproduisent.
- Procédures de notification – cela implique d'informer non seulement les personnes concernées ou susceptibles de l'être, mais aussi, en cas de perte de données personnelles, le Commissaire à l'information (ICO). D'autres organismes de réglementation et des tiers, tels que la police, les banques et les médias, peuvent également devoir être informés.
- Après une violation de données – veiller à ce que des mesures appropriées soient mises en place pour éviter qu’un incident similaire ne se reproduise, mettre à jour les procédures et former ou recycler le personnel en conséquence.
Ressource utile
Centre national de cybersécurité (Royaume-Uni) – www.ncsc.gov.uk/guidance .
La cybermenace qui pèse sur les entreprises britanniques – www.ncsc.gov.uk/cyberthreat .
