Si vous n’avez pas entendu parler de « motifs sombres », il vous suffit de Google. En janvier, quatre procureurs généraux d’État ont poursuivi le géant de la technologie, affirmant qu’il avait utilisé la pratique pour tromper les consommateurs en suivant leurs emplacements même après avoir désactivé cette fonction.
Les « modèles sombres » sont des choix de conception trompeurs que les entreprises déploient dans les applications et sur les sites Web pour manipuler les utilisateurs afin qu’ils choisissent des options contraires ou préjudiciables à leur intention.
Alors que les réglementations sur la confidentialité des données se propagent (souvent dans une prolifération désordonnée), de nombreuses organisations font de leur mieux pour suivre, surveiller et sécuriser les données sensibles qu’elles collectent et stockent. Malheureusement, déclare Safia Kazi, directrice des pratiques professionnelles de protection de la vie privée à l’ ISACA, l’association internationale de gouvernance informatique, les organisations échouent souvent.
Kazi a récemment parlé avec Endpoint des tendances sombres et de leur cousin, des « données sombres », ainsi que des éléments que les entreprises doivent prendre en compte lors de la collecte d’informations et, avant la Journée internationale de la femme le 8 mars, de la manière dont la confidentialité des données pourrait bénéficier d’un plus grand nombre de femmes entrant sur le terrain.
(L’entretien suivant a été condensé et modifié pour plus de clarté.)
Commençons par les bases. Comment et pourquoi les organisations utilisent-elles les « modèles sombres » et les « données sombres » ?
Les modèles sombres sont des moyens par lesquels les entreprises vous incitent à donner votre consentement pour l’utilisation de vos informations. L’une des choses que je vois parfois est : je vais sur un site Web. Ils auront cet avis de cookie, et le bouton « Accepter tout » est d’une couleur bleu vif et le bouton « Refuser » est grisé. Vous pensez ne pas pouvoir cliquer dessus. Mais si vous passez le curseur dessus, vous le pouvez en fait. Oui, je leur ai donné leur consentement pour les cookies, mais c’est uniquement parce que je pensais que je n’avais pas le choix. C’est sournois et frustrant aussi.
« Je leur ai donné leur consentement pour les cookies, mais ce n’est que parce que je pensais que je n’avais pas le choix. »
D’autres fois, un site Web vous fait donner votre adresse e-mail simplement pour pouvoir examiner les produits qu’ils vendent. Eh bien, ils n’ont pas besoin de ces informations. Ils le veulent simplement pour pouvoir vous envoyer un e-mail promotionnel. Il est incorrect d’obtenir les informations des gens lorsqu’ils ne savent pas qu’ils ont le choix et qu’ils n’ont pas vraiment à les fournir. J’espère que nous verrons davantage de répression sur ces motifs sombres.
La collecte de données personnelles est une préoccupation majeure de nos jours, car les entreprises en stockent une grande quantité. Pourquoi est-ce un problème et comment ces données sensibles pourraient-elles être compromises ?
Imaginons que je soumette un CV pour un emploi. L’entreprise dit : « Nous conserverons votre CV dans nos dossiers. » Eh bien, ce CV a mon nom, mon adresse, mon numéro de téléphone, mon adresse e-mail, mon historique de travail et peut-être mes références professionnelles. Ensuite, comme les coûts de stockage dans le cloud sont si bon marché, ce qui permet aux entreprises de conserver et de stocker des informations qu’elles n’utiliseront jamais, ces « données sombres » s’accumulent. Maintenant, toutes ces données sensibles me concernant pourraient se retrouver entre de mauvaises mains, me font-elles beaucoup de mal. Quelqu’un pourrait vendre ces données, ou même dire à mon patron actuel : « Hé, elle a postulé pour un [autre] emploi. Vous ne devriez probablement pas la promouvoir. »
C’est pourquoi il est si important pour les organisations d’identifier les données sensibles dont elles disposent et de les protéger. Ou posez-vous la question suivante : Pourquoi sommes-nous accrochés à cela ? Devrions-nous l’être ? Avons-nous de bons contrôles en place pour le maintenir sécurisé et privé ? Si vous ne savez pas ce que vous avez, vous ne pouvez pas le protéger. Vous ne comprenez pas sa sensibilité.
Comment les organisations peuvent-elles faire l’inventaire, surveiller et sécuriser les données sensibles ?
Tout d’abord, ils doivent savoir quelles données ils collectent. Qu’est-ce que la collecte des ressources humaines ? Qu’est-ce que la collecte marketing ? Qu’est-ce que la collecte comptable ? Ils doivent demander : Qu’avons-nous ? Pourquoi l’avons-nous ? Où est-il stocké ? À quelle fréquence nos professionnels de la confidentialité des données et des ressources humaines se réunissent-ils et parlent-ils des données qu’ils collectent ? Ou demandez : « Ces données sont-elles toujours nécessaires ? »
« Les organisations [doivent] comprendre comment les informations qu’elles collectent pourraient potentiellement être utilisées pour causer un préjudice. »
L’autre chose que je recommande est que les organisations comprennent comment les informations qu’elles collectent pourraient potentiellement être utilisées pour causer des dommages. Pour certaines données, vous devez peut-être les avoir à portée de main pendant un certain temps. Vous développez des politiques sur la durée pendant laquelle vous conservez certaines informations. Si vous dites : « Tous les deux ans, nous purgerons les candidatures que nous n’avons pas suivies », le fait d’avoir une politique comme celle-ci en place rend la gestion beaucoup plus facile à l’avenir.
De cette manière, vous connaissez les données que vous avez et vous avez mis en place la politique, et cela peut être vraiment utile pour lutter contre les données obscures. Mais c’est une tâche difficile. Je m’attendrais à ce que la plupart des organisations n’aient pas vraiment d’excellentes politiques. Cela dit, je pense qu’avec l’ évolution très rapide du paysage de la confidentialité, juridique et réglementaire, cela pourrait changer.
Avons-nous besoin d’une législation pour persuader les entreprises de développer des politiques de confidentialité des données solides, ou une mauvaise publicité due aux violations de données les incitera-t-elle à agir ?
Cela dépend de l’organisation. Vous savez qu’une entreprise comme Facebook pourrait facilement absorber une amende importante, voire une mauvaise presse, tandis que pour une plus petite organisation, cela pourrait être beaucoup plus préjudiciable. Avoir l’élément juridique en place peut être utile, car cela pousse les organisations vers la bonne chose.
En ce moment, nous avons des États qui prennent l’initiative de confidentialité des données parce que nous n’avons rien au niveau fédéral. La Californie dit donc que nous voulons protéger les données de nos résidents, et ils le font avec la loi California Consumer Privacy Act. D’autres États ont suivi. Cela dit, je ne peux imaginer à quel point le travail d’un professionnel de la protection de la vie privée sera difficile que s’il existe 50 réglementations différentes au niveau de l’État auxquelles il doit se conformer. Réalistement, ce serait bien mieux si nous avions quelque chose au niveau fédéral. Cela dit, je ne sais pas quand cela se produirait.
Comment la pandémie a-t-elle affecté la confidentialité des données et la manière dont les entreprises gèrent la sécurité des données ?
Les gens travaillent à distance maintenant, nous leur donnons donc des ordinateurs portables. Ou ils utilisent leurs propres ordinateurs portables. S’ils utilisent leurs propres ordinateurs portables, quel type de protection avons-nous autour des données de l’entreprise ? Et si j’avais un colocataire qui travaillait pour un rival de l’ISACA et que je venais de laisser des fichiers en place ? Ou que se passe-t-il si j’ai laissé mon ordinateur portable déverrouillé pendant que je déjeune ?
[Lire également : 3 façons d’aider les employés à lutter contre le stress lié à la pandémie]
En revanche, je suis désormais beaucoup plus vulnérable dans mon espace. Si nous avions cette conversation en 2019, je serais au bureau et je ne me soucierais pas de ce qui m’entoure. Alors que, maintenant, toute personne avec qui je discute en vidéo sera chez moi.
Parlons des femmes dans la technologie. Vous avez dit que nous devions attirer plus de femmes dans les domaines de la confidentialité des données et de la sécurité, ce qui pourrait avoir un impact considérable sur le secteur. Pouvez-vous expliquer cela un peu ?
Les données personnelles volées ou utilisées à mauvais escient affectent de manière disproportionnée les femmes. Considérez que près d’une femme sur six a connu le harcèlement, par rapport à un homme sur 17 . Et le traque commence ou se déroule de plus en plus en ligne et via des enregistrements numériques.
« Les femmes ont l’occasion d’aider à créer une technologie beaucoup plus amicale pour toute personne qui pourrait être discriminée ou blessée. »
Les femmes ont l’opportunité d’aider à développer une technologie beaucoup plus amicale pour les femmes, pour toute personne qui pourrait être discriminée ou blessée.
Quels sont les défis pour les femmes intéressées par les domaines de la confidentialité des données et de la cybersécurité ?
La culture technologique est un problème énorme. Vous voyez parfois cela sur les forums Reddit, où les femmes diront quelque chose, puis toutes ces personnes iront la voir, et c’est directement un problème de confidentialité.
Nous avons toujours cette perception que les personnes qui travaillent dans le domaine de la cybersécurité portent des sweats à capuche et boivent Gatorade. Et ce n’est pas vraiment la réalité. Vous savez, la cyber est pour tout le monde. La protection de la vie privée s’adresse à tout le monde.
Nous devons changer cette perception de hoodie et de gatorade pour rendre le terrain plus inclusif et accueillant pour les femmes. Nous devons également combler l’écart salarial, ce qui est un moyen d’aider les femmes à rester dans
ces carrières. Nous avons une culture où nous ne parlons pas d’argent, mais c’est ce qui permet aux inégalités salariales de persister. Avec la COVID, nous avons
vu beaucoup de femmes quitter la main-d’œuvre parce que leur conjoint
gagnait plus.
Quelles sont vos préoccupations pour l’avenir des données sensibles, de la confidentialité et de la sécurité ?
Je suis très curieux de savoir quelles sont les implications pour les enfants qui grandissent avec les réseaux sociaux et partagent chaque aspect de leur vie en ligne. Quelles en sont les implications en matière de confidentialité ? À quoi cela
ressemblera-t-il lorsque vous chercherez un emploi dans votre 20s, ou dans votre 30s,
mais les souvenirs croquants de la huitième année sont immortalisés sur
le Web ?
Les gens ont tendance à surpartager en ligne et via des applications, et ils ne voient pas nécessairement l’impact éthique de cela. J’ai beaucoup d’amis qui ont des enfants maintenant et qui partagent beaucoup trop sur leurs enfants. Je veux dire, Facebook existait lorsque j’étais au lycée, mais c’était très différent de ce qu’il est maintenant.
