Le changement est la nouvelle réalité pour les leaders actuels de l’information et de la gouvernance, de la gestion des risques et de la conformité (GRC). L’évolution rapide des réglementations de conformité, l’escalade des sanctions financières et une mise en œuvre plus rigoureuse sont le nom du jeu.
Ce nouvel environnement est développé en partie en réponse à la transformation numérique des organisations modernes. Mais la complexité croissante des systèmes technologiques rend la conformité de plus en plus difficile.
Par exemple, First American a été accusée par les régulateurs de l’État de New York d’avoir exposé des centaines de millions de documents clients contenant des informations personnellement identifiables (PII) pendant plus de 15 ans. Cet incident majeur de confidentialité a été causé par une erreur de conception de base sur son site Web.
Cet incident montre que les organisations subissent une pression croissante pour comprendre quelles données sensibles elles possèdent, où elles se trouvent et comment elles sont sécurisées. Mais ce n’est qu’une pièce du puzzle.
Comment améliorer votre stratégie de risque et de confidentialité des données
Examinons sept façons d’améliorer votre stratégie de risque et de confidentialité des données pour minimiser les risques commerciaux et optimiser les efforts de conformité.
1. Visibilité partout
Dans une entreprise moderne, les données sont partout. Cela crée des défis de visibilité, étant donné que l’environnement des endpoints est hétérogène. Il peut traverser les actifs Linux, Mac et Windows existants et actuels, ainsi que les machines virtuelles, les conteneurs et l’infrastructure cloud de nombreuses variétés différentes. Comprendre quelles données existent sur ces endpoints est fondamental : si les régulateurs pensent que vous n’avez pas cette connaissance, vous pouvez subir des amendes plus importantes en cas d’incident.
Vous devez donc créer un inventaire précis et actuel, puis identifier les contrôles nécessaires pour protéger ces endpoints et données. La possibilité de rechercher rapidement, facilement et de manière rentable dans cet inventaire est essentielle pour trouver des données non conformes et une propriété intellectuelle (PI) sensible. Cela vous aidera non seulement à gérer les risques plus efficacement, mais pourrait également réduire les coûts tiers associés aux certificats de destruction des données pendant les projets de départ.
2. Chiffrer toutes les données au repos
Une fois que vous avez compilé un inventaire précis comme ci-dessus, il est temps de réfléchir plus holistiquement aux contrôles que vous pouvez placer sur les données et les endpoints. Les outils de prévention des pertes de données (DLP) sont acceptables dans certaines circonstances. Mais ils ne peuvent pas aider si des voleurs déconnectent des ordinateurs portables/appareils volés ou retirent le disque dur. C’est pourquoi un chiffrement robuste de tous les disques durs des appareils est un bon contrôle de niveau de base pour atténuer les risques liés aux données. De nombreux systèmes d’exploitation disposent de la fonctionnalité intégrée aujourd’hui, il n’est donc pas nécessaire de payer pour des outils tiers. Mais ils doivent être gérés à grande échelle.
3. La minimisation des données commence par les politiques
La minimisation des données est un pilier déterminant du RGPD de l’UE et est de plus en plus considérée comme une meilleure pratique par les régulateurs du monde entier. Elle est basée sur l’idée que les organisations ne doivent collecter et traiter que des données adéquates et pertinentes pour l’objectif en question, et non plus. En d’autres termes : si vous n’en avez pas besoin, supprimez-le. Outre des mesures plus techniques telles que le chiffrement et la DLP, elle peut être considérée comme un contrôle hautement efficace en soi, car elle minimise les risques de vol ou d’utilisation abusive des données sensibles.
Bien que la technologie soit essentielle pour vous aider à trouver et à effacer toutes les données inutiles, votre travail doit toujours commencer par élaborer des politiques administratives. Cela ne concerne pas seulement la minimisation des données, mais aussi tout ce qui concerne la gestion des mots de passe et l’obtention du consentement éclairé des clients. Ensuite, trouvez un moyen de communiquer efficacement cette politique à vos employés. De simples politiques comme celle-ci peuvent être très utiles, même si elles n’empêchent pas finalement un incident. Si les régulateurs constatent que les contrôles n’ont pas été effectivement mis en œuvre, le fait que vous ayez réfléchi et communiqué des politiques aux employés peut toujours limiter toute action punitive.
4. Mener des évaluations d’impact sur la confidentialité
Les évaluations des risques de confidentialité ou de l’impact sur la protection des données sont également des principes clés du RGPD et du CCPA. Bien qu’il soit essentiel de comprendre les flux de données concernant les applications et les endpoints existants, il est également important que vous abordiez de manière proactive les mêmes risques dans de nouvelles applications ou de nouveaux projets. Prenez le temps de documenter quelles données seront collectées et où elles circuleront. Élaborez ensuite des politiques administratives régissant ces données. Appliquez la lentille de minimisation des données pour voir si des données spécifiques doivent même être collectées ou si elles ajouteront des risques supplémentaires inutiles et exposeront potentiellement l’entreprise à des amendes de conformité majeures.
5. Comprendre le risque géographique
Plus de 120 lois mondiales régissent la protection et la confidentialité des données, et le nombre augmente constamment. Rien qu’aux États-Unis, certains États individuels ont commencé à mettre en œuvre leur propre législation. Cela crée une grande complexité pour les responsables GRC. Mais une chose sur laquelle la plupart s’accordent, c’est que les données doivent être stockées localement. En fait, le RGPD a des règles strictes régissant les transferts internationaux vers des « pays tiers ».
Une partie du processus de découverte doit donc être de comprendre où les données sont stockées géographiquement dans votre organisation et où elles doivent être placées pour se conformer aux réglementations locales. Les contrôles technologiques et administratifs doivent être conçus de manière appropriée. Malheureusement, certains outils de risque et de confidentialité des données peuvent aggraver le problème en copiant les données et en les renvoyant vers un serveur centralisé, qui peut se trouver dans une autre juridiction. La minimisation et la localisation doivent être les mots d’ordre ici.
6. Diligence raisonnable sur les fournisseurs de cloud
Il existe un éventail impressionnant de choix sur le marché du cloud pour les responsables informatiques d’aujourd’hui. Mais il existe également des risques cachés. Bien que les petits fournisseurs puissent proposer des offres à des prix attractifs, la maturité de leurs processus de gestion des données et de confidentialité peut ne pas répondre à vos exigences. Le déploiement d’outils tiers peut entraîner des factures importantes, car l’extraction de données des environnements cloud est généralement coûteuse. Déterminez également si le fournisseur dispose de centres de données dans les régions concernées, afin de pouvoir remplir les obligations concernant la localisation.
7. Rassembler une équipe
Enfin, n’oubliez pas que le risque et la confidentialité des données ne sont pas principalement un défi technique, c’est un problème commercial et réglementaire que la technologie peut aider à résoudre. C’est pourquoi il est essentiel d’inclure non seulement les responsables techniques, mais également juridiques, de conformité et commerciaux dans le développement d’une stratégie. Ce n’est pas quelque chose que l’une de ces parties prenantes peut résoudre par elle-même. Vous aurez peut-être besoin d’une grande équipe pour cartographier les différentes lois mondiales auxquelles votre organisation est soumise, concevoir des politiques administratives appropriées, puis appliquer les contrôles techniques pertinents.
Il est également important de repousser l’opinion de certains conseils d’administration selon laquelle il s’agit d’un centre de coûts prêt pour la réduction des effectifs. En fait, les hommes et les femmes que vous choisissez de soutenir la stratégie de votre organisation en matière de risque et de confidentialité des données se paieront plusieurs fois en prévenant des amendes réglementaires potentiellement importantes et une atteinte à la réputation. Un investissement dans ceux-ci est un investissement à l’avenir.
Pour plus d’informations sur la solution Tanium Data Risk and Privacy, lisez notre article de blog 10 Ways Tanium Improves Data Risk and Privacy.
Si vous êtes prêt à le voir en action, inscrivez-vous à une démo dès aujourd’hui.
