Passer au contenu principal
Qu'est-ce que la surveillance des données sensibles ?
Explications

Qu'est-ce que la surveillance des données sensibles ?

Alors que les cybercriminels tentent d'accéder aux données personnelles et sensibles des organisations, il est devenu essentiel pour ces dernières de protéger les données qui leur sont confiées.

La surveillance des données sensibles désigne le processus consistant à identifier, classer et sécuriser les données personnelles ou professionnelles. Alors que les cybercriminels tentent de plus en plus souvent d’accéder aux données de cartes de crédit, aux numéros de Sécurité sociale et aux données sensibles des organisations afin de les utiliser, de les vendre ou d’en tirer profit d’une autre manière, il est devenu essentiel pour les organisations de protéger les données qui leur sont confiées.

Qu'entend-on par « données sensibles » ? Quels sont les différents types de données sensibles ?

On entend par « données sensibles » toute donnée dont la divulgation au grand public pourrait entraîner un préjudice quelconque pour l'organisation qui les détient. Ces coûts peuvent inclure les frais liés à la notification des violations (notamment l'alerte des consommateurs et des autorités de régulation), la perte de chiffre d'affaires due à l'indisponibilité du système, les amendes réglementaires, la perte de clientèle due à une atteinte à la réputation, voire des poursuites judiciaires et des dommages-intérêts. Selon le rapport « Cost of a Data Breach Report 2021 » de l’Institut Ponemon, le coût moyen d’une fuite de données est passé de 3,86 millions de dollars à 4,24 millions de dollars, soit le niveau le plus élevé jamais enregistré en 17 ans d’existence de ce rapport.

Il existe de nombreux types de données sensibles, et il est essentiel de déterminer quelles sont celles qui revêtent une importance particulière pour votre organisation. Cela dit, les données sensibles peuvent généralement être regroupées en quelques grandes catégories :

  • Informations commerciales : Toutes les données essentielles au fonctionnement d'une organisation, notamment les comptes et états financiers, les informations relatives aux salariés, la propriété intellectuelle, les secrets d'affaires, etc.
  • Données à caractère personnel : Toute information relative à une personne physique permettant de l'identifier directement ou en combinaison avec d'autres informations. Ce type de données comprend notamment le nom, la date de naissance, l'adresse, le numéro de Sécurité sociale, l'origine ethnique, l'orientation sexuelle, la religion, les opinions politiques, etc.
  • Données de santé : Informations relatives à la santé d'une personne, notamment ses antécédents médicaux, les données relatives à son handicap, ses diagnostics médicaux, les données issues d'applications de remise en forme, etc.
  • Données financières : Les coordonnées bancaires d'une personne, les informations relatives à sa carte de crédit, ainsi que ses codes de sécurité et ses codes PIN.
  • Données biométriques : Données relatives au corps humain, telles que les traits du visage, les empreintes digitales, les scans de l'iris, les empreintes vocales et toute autre donnée utilisée à des fins d'identification biométrique.
  • Données génétiques : Caractéristiques génétiques d'un individu obtenues grâce à l'analyse de l'ADN et de l'ARN, telles que les informations chromosomiques.

Il n'est pas toujours facile de déterminer quelles données sensibles doivent être protégées. En effet, les données sensibles se répartissent en deux catégories : celles qui sont soumises à une réglementation et celles qui ne le sont pas.

  • L' s relatives aux données réglementées sont toujours considérées comme sensibles au regard des lois et réglementations en matière de protection des données qui les régissent. La loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA), par exemple, harmonise les règles régissant l'accès à plus d'une douzaine de types d'informations figurant dans le dossier médical d'une personne, notamment ses coordonnées, son numéro de Sécurité sociale, ses données financières, ses résultats d'examens diagnostiques et ses traitements. Ces types de données sont toujours considérés comme sensibles, ce qui permet aux établissements de santé de déterminer facilement quelles informations doivent rester confidentielles.
  • L' de données non réglementées englobe l'ensemble des informations connues du grand public. La plupart des données créées entrent dans cette catégorie. Bien qu'ils ne soient pas directement visés par les lois et réglementations relatives à la protection des données, certains fichiers et documents de cette catégorie, tels que les contrats de travail et les enquêtes auprès des clients, peuvent contenir des informations susceptibles d'être qualifiées de données sensibles. Cela souligne la nécessité pour les organisations de bien comprendre quelles données elles stockent afin de les protéger de manière adéquate.

Comment les données sensibles peuvent-elles faire l'objet d'une utilisation abusive ? Quels sont les risques liés à une fuite de données sensibles ?

Lorsque la plupart des gens entendent l'expression « fuite de données », ils pensent sans doute au vol de données de cartes de crédit. En effet, les piratages informatiques ayant entraîné la divulgation d'une multitude de données de cartes bancaires ont de plus en plus souvent fait la une de l'actualité au cours de la dernière décennie.

L'une des plus importantes a été la fuite de données chez Target, survenue le 2013 . Des pirates informatiques ont mis en œuvre une campagne de hameçonnage sophistiquée afin de dérober les identifiants de connexion de l'un des prestataires tiers de l'entreprise. Ils ont utilisé ces identifiants pour s'introduire dans le réseau interne de Target et, au final, accéder à ses systèmes de point de vente (POS).

Ils ont ensuite installé des logiciels malveillants sur ces systèmes afin de dérober les informations relatives aux cartes de crédit et de débit stockées dans la mémoire des terminaux de paiement lorsque les clients passaient leur carte.

Les pirates ont ensuite récupéré et vendu les données volées sur le marché noir numérique. Target a estimé que les informations relatives à concernant jusqu'à 110 millions de clients avaient été volées, ce qui en fait l'une des plus importantes fuites de données de l'histoire. Dans le cadre de l'accord conclu suite à la fuite de données, l'entreprise a versé 18,5 millions de dollars à à 47 États et au District de Columbia (en plus des 202 millions de dollars qu'elle a dépensés en frais juridiques et autres coûts à la suite de cette fuite).

«Les données sensibles compromises peuvent être utilisées de toutes sortes de façons non prévues, ce qui peut avoir de graves répercussions pour l’entreprise à laquelle ces données ont été confiées. »

Même si les fuites de données relatives aux cartes de crédit font la une des journaux, elles ne constituent pas le seul exemple d'utilisation abusive des données. Les données sensibles compromises peuvent être utilisées de toutes sortes de façons non prévues, ce qui peut avoir de graves répercussions pour l’entreprise à laquelle ces données ont été confiées.
L’un des exemples récents les plus tristement célèbres d’utilisation abusive de données a impliqué le géant des réseaux sociaux Facebook et le cabinet de conseil britannique Cambridge Analytica. Les développeurs d'une application intitulée « This Is Your Digital Life » (TIYDL) ont collecté des s provenant de près de 87 millions de profils Facebook.

L'application avait été conçue comme un quiz de personnalité et servait à établir des profils psychologiques des utilisateurs et à collecter les données personnelles de leurs amis Facebook. Les développeurs de l'application ont ensuite vendu ces données à Cambridge Analytica, qui les a utilisées pour cibler des électeurs dans le cadre des campagnes électorales de Donald Trump et de Ted Cruz. Au final, Facebook a dû s'acquitter d'une amende de 5 milliards de dollars pour la divulgation et l'utilisation abusive des données de ses utilisateurs.

Des incidents tels que le scandale Facebook-Cambridge ont attiré davantage l'attention sur la manière dont les entreprises du secteur de l'AdTech utilisent les données. Cela a conduit à la mise en place de réglementations plus strictes en matière de collecte et d'utilisation des données, telles que le Règlement général sur la protection des données (RGPD) de l'Union européenne et la Loi californienne sur la protection de la vie privée des consommateurs (CCPA).

Quelles sont les réglementations en vigueur concernant les données sensibles ?

Il existe de nombreuses exigences réglementaires qui régissent la manière dont les entreprises mènent leurs activités, et la plupart d'entre elles définissent les modalités de traitement des données sensibles. Certaines réglementations visent des secteurs d'activité spécifiques. La loi HIPAA, par exemple, s'applique au secteur de la santé, tandis que la norme PCI DSS s'applique au secteur financier. D'autres réglementations, telles que la CCPA et le RGPD, s'appliquent à tous les secteurs d'activité au sein d'une région géographique donnée.

[Pour en savoir plus : La « prolifération des réglementations » en matière de sécurité des données met les multinationales sous pression]

Les réglementations peuvent également varier d'un endroit à l'autre, de sorte que les exigences en matière de traitement des données, même au sein d'un même secteur d'activité, peuvent différer entre l'Europe et les États-Unis, voire d'un État à l'autre. Mais la quasi-totalité des réglementations et des normes ont une incidence sur l'informatique et la sécurité des données. Parmi celles-ci, les plus courantes sont les suivantes :

RGPD (Règlement général sur la protection des données). Adopté par l'Union européenne en 2016, il s'agit de la loi fondamentale régissant la protection et la confidentialité des données des citoyens. Le RGPD a instauré plusieurs obligations pour toutes les transactions effectuées au sein des États membres de l'UE, notamment :

  • Les clients doivent donner leur consentement au traitement de leurs données.
  • Toute information permettant d'identifier une personne doit être anonymisée ou pseudonymisée (l'identité du consommateur étant remplacée par un pseudonyme).
  • Les consommateurs doivent être informés d'une violation de données dans un délai de 72 heures.
  • Les données transférées en dehors de l'UE doivent bénéficier, de la part du destinataire, d'un niveau de protection équivalent à celui assuré par l'UE.
  • Certaines entreprises doivent désigner un délégué à la protection des données (DPO) chargé de veiller au respect du RGPD.

Toutes les organisations situées au sein de l'UE sont soumises au RGPD, tout comme celles établies à l'étranger qui exercent des activités ou comptent des clients dans l'UE.

La loi californienne sur la protection de la vie privée des consommateurs (CCPA, « »), promulguée en 2018, accorde plusieurs droits aux résidents californiens, notamment :

  • Le droit de savoir quelles données à caractère personnel sont collectées, utilisées, partagées ou vendues.
  • Le droit de faire supprimer les données à caractère personnel détenues par les entreprises et leurs prestataires de services.
  • Le droit de s'opposer à la vente de données à caractère personnel.
  • Le droit à la non-discrimination en matière de prix ou de service lorsqu'un consommateur exerce un droit à la vie privée en vertu de la CCPA.

La CCPA a également instauré plusieurs nouvelles obligations pour les entreprises. Plus important encore, les entreprises soumises à la réglementation du CCPA doivent informer les consommateurs au moment de la collecte des données ou avant celle-ci. Elles doivent également mettre en place des procédures pour répondre aux consommateurs qui souhaitent refuser la collecte de données, savoir quelles données sont collectées ou demander la suppression des données collectées les concernant — et doivent répondre à ces demandes dans des délais précis.

[En savoir plus : Qu'est-ce qu'un score de cyber-risque et pourquoi est-il important ?]

La CCPA s'applique à toute entreprise à but lucratif qui fournit des services aux résidents californiens et qui répond à l'un des critères suivants :

  • Génère plus de 25 millions de dollars de chiffre d'affaires annuel brut.
  • Achete, reçoit ou vend chaque année les données à caractère personnel d'au moins 50 000 consommateurs, ménages ou appareils.
  • Tire 50 % ou plus de son chiffre d'affaires annuel de la vente des données personnelles des consommateurs.

PCI DSS (Normes de sécurité des données du secteur des cartes de paiement). Depuis son lancement en 2004, ce système a fait l'objet de mises à jour régulières afin d'améliorer les normes de sécurité relatives au traitement des paiements. Elle définit une douzaine d'exigences fondamentales visant à protéger les données des titulaires de cartes, notamment des exigences relatives aux pare-feu et aux règles de mot de passe, le chiffrement des données en transit, la surveillance des accès au réseau, etc. La norme PCI DSS s'applique à toute organisation qui accepte, transmet ou stocke des données relatives aux titulaires de cartes.

La loi HIPAA ( : Health Insurance Portability and Accountability Act) définit les normes régissant le traitement des informations médicales protégées (PHI) par les prestataires de soins de santé. Les données médicales protégées (PHI) englobent toute une série de données relatives aux patients, notamment des identifiants personnels tels que le nom, la date de naissance et le sexe, ainsi que des informations de santé telles que les diagnostics, les informations relatives aux traitements et les résultats d'examens médicaux. La loi HIPAA définit les modalités d'accès aux informations médicales protégées (PHI) et établit les mesures de sécurité physiques, administratives et techniques que les établissements de santé doivent mettre en œuvre afin d'en garantir la sécurité. Il aborde également la manière dont les établissements de santé doivent réagir en cas de violation de données. Les établissements de santé, notamment les hôpitaux, les cabinets médicaux, les maisons de retraite médicalisées et toute autre entité exerçant une activité liée aux soins de santé auprès de clients ou de patients, doivent se conformer à la loi HIPAA.

La loi FERPA ( , ou « Loi sur les droits à l'éducation et la confidentialité des informations familiales ») est une loi fédérale qui protège la confidentialité des dossiers scolaires des élèves. Ces dossiers peuvent se présenter sous n'importe quel support et comprennent généralement à la fois des identifiants personnels (numéro de sécurité sociale, date de naissance, sexe, origine ethnique) et des informations académiques (résultats aux examens, moyenne générale, relevés de notes, informations relatives à l'aide financière). La loi accorde plusieurs droits aux parents, notamment celui de consulter le dossier scolaire de leur enfant et d'y corriger toute inexactitude. Cela leur permet également de contrôler la divulgation des informations permettant d'identifier personnellement leur enfant, issues de son dossier. Ces droits sont directement transférés à l'étudiant dès qu'il atteint l'âge de 18 ans ou qu'il entre à l'université. La loi FERPA s'applique à tous les établissements scolaires bénéficiant d'un financement fédéral.

Le NIST ( : Institut national des normes et des technologies), organisme fédéral à caractère non réglementaire, établit des normes destinées aux secteurs scientifiques et technologiques afin d’aider les agences fédérales et les prestataires à se conformer aux exigences de la loi fédérale sur la gestion de la sécurité de l’information (Federal Information Security Management Act, FISMA) de (). Toutefois, les normes du NIST peuvent aider toute organisation à renforcer sa sécurité et à prévenir les violations de données dans le cadre de la réglementation fédérale, notamment les normes PCI DSS et HIPAA. Partout dans le monde, des organisations utilisent le cadre de cybersécurité (CSF) du NIST, intitulé « » ( ), afin de réduire les risques liés à la cybersécurité et de protéger leurs réseaux et leurs données. Les normes FIPS (Federal Information Processing Standards) du NIST ( ) sont utilisées par les administrations publiques, les sous-traitants et les fournisseurs. Les normes FIPS définissent des exigences pour les situations non couvertes par les normes sectorielles plus générales, offrant ainsi un cadre pour un éventail différent de processus de sécurité.

La certification CMMC ( , ou « Cybersecurity Maturity Model Certification ») est un programme du ministère de la Défense qui définit des normes et des bonnes pratiques à l'intention des sous-traitants de la base industrielle de défense (DIB). Les prestataires DIB traitent des données gouvernementales sensibles, et le CMMC garantit qu'ils les sécurisent de la même manière que le font les agences gouvernementales et militaires. Le CMMC porte notamment sur la protection des informations relatives aux contrats fédéraux (FCI) et des informations non classifiées mais soumises à un contrôle de sécurité (CUI) . .

Parmi les autres normes de conformité en matière de sécurité que les organisations doivent connaître, on peut citer la loi COPPA (Children’s Online Privacy Protection Act), les contrôles CIS (Center for Internet Security Controls) et le programme FedRAMP (Federal Risk and Authorization Management Program). Et chaque année, de nouvelles exigences réglementaires entrent en vigueur. Les organisations doivent savoir quelles normes et réglementations s'appliquent à leur activité, car tout manquement en matière de conformité peut entraîner des sanctions et des coûts importants.

Comment les pirates parviennent-ils à récupérer des données sensibles ?

Les attaquants disposent d'une multitude de moyens pour voler des données sensibles, et les pirates informatiques les plus ingénieux ne cessent de mettre au point des méthodes toujours plus sophistiquées. Parmi les méthodes les plus courantes, on peut citer :

  • Le terme « malveillante » (« logiciel malveillant ») désigne, de manière générale, tout script ou code conçu pour exploiter une faille d'un appareil. Les pirates exploitent une faille de sécurité pour introduire un logiciel malveillant — que l'utilisateur télécharge à son insu à partir d'une pièce jointe à un e-mail ou d'un lien Internet — dans le système, où il peut alors commettre divers actes malveillants, tels que surveiller vos frappes au clavier, transmettre des données sensibles vers l'ordinateur du pirate ou intercepter vos mots de passe. Les logiciels malveillants sont particulièrement répandus car ils sont faciles à diffuser et très efficaces.
  • Le phishing est un type d'attaque par ingénierie sociale dans laquelle le pirate utilise des e-mails, des SMS ou des appels téléphoniques semblant provenir d'une institution légitime afin d'inciter la victime à divulguer des données sensibles, telles que ses identifiants de connexion et ses informations de carte bancaire. Le phishing a connu une recrudescence pendant la pandémie de COVID-19, représentant 36 % des fuites de données dans 2021, soit une augmentation de 11 % par rapport à l'année précédente.
  • de type « cross-site scripting » (XSS) : Les pirates informatiques utilisent les attaques XSS pour injecter un script ou un code malveillant, écrit dans un langage de programmation courant tel que JavaScript, Flash ou HTML, dans le contenu d'un site web. Le script malveillant s'exécute alors dans le navigateur de l'utilisateur lorsque celui-ci se rend sur le site, ce qui permet au pirate informatique de voler les cookies et de récupérer toutes les informations que l'utilisateur envoie à ce site, telles que ses identifiants de connexion, ses numéros de carte bancaire et d'autres données sensibles.
  • Vol d'appareils : Les délinquants opportunistes peuvent récupérer des données sensibles simplement en accédant physiquement à l'appareil d'un utilisateur. L'une des causes courantes de la compromission des données est un appareil laissé sans surveillance : un ordinateur portable oublié dans une voiture ou sur la table d'un café. Dès qu'une personne met la main dessus, elle a accès à une véritable mine d'or de données sensibles, surtout si l'appareil n'est pas protégé par un mot de passe ou crypté.

Où se trouvent généralement les données sensibles ?

Les données sensibles peuvent se trouver n'importe où et partout. Chaque jour, les données circulent entre une multitude d'appareils, d'utilisateurs, d'applications et de services. Cela peut rendre sa sécurisation extrêmement difficile, en particulier dès lors qu'il quitte votre réseau. Un fichier stocké sur un serveur centralisé sécurisé, par exemple, peut être compromis lorsqu’un employé en télécharge une copie sur son ordinateur portable personnel — qui, à coup sûr, ne bénéficie pas du même niveau de sécurité — puis oublie de la supprimer une fois son travail terminé. Des données sensibles peuvent également se trouver sur des serveurs de sauvegarde et des disques durs.

Pourquoi est-il difficile de sécuriser les données sensibles ?

Une fois encore, l'un des principaux problèmes liés à la sécurisation des données sensibles réside dans le fait qu'elles sont dispersées à de nombreux endroits, ce qui rend leur localisation difficile, sans parler de leur sécurisation. Certains de ces appareils peuvent être régulièrement déconnectés du réseau — comme c'est le cas pour l'ordinateur portable d'un salarié ou une clé USB —, ce qui limite la visibilité de l'entreprise sur les données. La protection des données sensibles nécessite également de trouver un juste équilibre entre sécurité et facilité d'utilisation. Les utilisateurs ont besoin d'accéder à certains documents, mais l'obtention de cet accès peut nécessiter des autorisations accordées à un niveau hiérarchique supérieur. Pour pallier ce problème, une entreprise doit mettre en place des procédures rigoureuses tant pour l'octroi des autorisations que pour la fermeture des sessions, et veiller à ce que toutes les données résiduelles soient supprimées de l'appareil. Un outil de surveillance des données sensibles peut vous aider à relever bon nombre de ces défis.

Comment fonctionnent les outils de surveillance des données sensibles ?

Les outils de surveillance des données sensibles peuvent adopter deux approches. L'une d'entre elles repose sur le réseau : un logiciel centralisé, à partir d'un serveur, analyse l'ensemble des périphériques du réseau à la recherche de données sensibles. Toutefois, cette méthode est lente car elle mobilise la bande passante du réseau, et elle peut présenter des lacunes puisqu'elle ne permet pas d'accéder aux appareils situés en dehors du réseau de l'entreprise.

[En savoir plus : Qu'est-ce que la gestion des vulnérabilités des appareils ?]

Cette autre approche repose sur une architecture centrée sur le client pour rechercher les données sensibles sur l'ensemble de vos terminaux. Son impact sur les performances du réseau est bien moindre, et une fois qu'il a effectué une analyse initiale à la recherche de données sensibles, il continue d'indexer vos terminaux en temps réel afin de maintenir les analyses à jour. Et comme le logiciel est installé directement sur le terminal, vous pouvez rechercher des données sensibles même lorsque l'appareil n'est pas connecté au réseau de l'entreprise.

Quelles sont les principales fonctionnalités d'un outil de surveillance des données sensibles ?

Comme pour tout nouvel outil, la facilité d'utilisation et la compatibilité avec vos technologies actuelles constituent des critères essentiels. Voici quelques autres caractéristiques à prendre en compte :

  • Analyse par agent : Les outils de surveillance par agent installent un logiciel (« agent ») sur chaque appareil que vous souhaitez analyser. Chaque agent recueille les données de sécurité pertinentes sur sa machine hôte et les transmet à un serveur de collecte. Cela lui permet d'analyser des appareils même s'ils sont hors ligne ou en dehors du réseau de l'entreprise. Les outils de surveillance basés sur des agents sont également moins gourmands en ressources que les outils basés sur le réseau, ce qui allège la charge pesant sur votre réseau.
  • Prise en charge de plusieurs formats de fichiers et systèmes d'exploitation : Un outil de surveillance des données sensibles doit être capable de récupérer des données dans une grande variété de formats de fichiers courants (Word, Excel, PDF, etc.) sur des terminaux Windows, Mac et Linux.
  • Contenu réglementaire prêt à l'emploi : Cet outil doit offrir une visibilité approfondie sur le RGPD, la norme PCI DSS, la loi HIPAA, la loi CCPA et d'autres cas d'utilisation réglementaires, vous permettant ainsi de générer rapidement des rapports et de vous conformer aux exigences en matière de protection des données à mesure que les obligations légales évoluent.

Plus de ressources