La surveillance des données sensibles est le processus d’identification, de classification et de sécurisation des données personnelles ou commerciales. Alors que les cybercriminels tentent de plus en plus d’accéder aux détails des cartes de crédit, aux numéros de sécurité sociale et aux données organisationnelles sensibles à utiliser, vendre ou exploiter, il est devenu essentiel pour les organisations de protéger les données qui leur sont confiées.
Qu’est-ce que les données sensibles ? Quels sont les différents types de données sensibles ?
Les données sensibles sont toutes les données qui pourraient encourir un certain coût pour l’organisation qui les détient si elles étaient exposées au grand public. Ces coûts peuvent inclure les coûts de notification des violations (qui comprennent l’alerte des consommateurs et des agences réglementaires), la perte de revenus en raison des temps d’arrêt du système, des amendes réglementaires, la perte de clients en raison d’une atteinte à la réputation, et même des poursuites et réparations. Selon le rapport « Coût d’une violation de données 2021 » du Ponemon Institute, le coût moyen d’une violation de données est passé de 3,86 millions USD à 4,24 millions USD, le plus élevé de l’histoire de 17 ans du rapport.
Il existe de nombreux types de données sensibles et il est essentiel de déterminer quelles données sont importantes pour votre organisation. Cela dit, les données sensibles peuvent généralement être regroupées en quelques grandes catégories :
- Informations commerciales : toute donnée centrale aux opérations d’une organisation, y compris les comptes et relevés financiers, les informations sur les employés, la propriété intellectuelle, les secrets commerciaux, etc.
- Données personnelles : toute information associée à une personne qui peut être utilisée pour l’identifier directement ou lorsqu’elle est utilisée en combinaison avec d’autres informations. Ce type de données comprend le nom, la date de naissance, l’adresse, le numéro de sécurité sociale, la race, l’orientation sexuelle, la religion, les opinions politiques, etc.
- Données de santé : informations relatives à la santé d’une personne, y compris ses antécédents médicaux, ses données sur le handicap, ses diagnostics médicaux, les données des applications de fitness, etc.
- Données financières : les informations bancaires, les informations de carte de crédit, les codes de sécurité et les codes PIN d’une personne.
- Données biométriques : données du corps humain, telles que les caractéristiques faciales, les empreintes digitales, les analyses d’iris, les empreintes vocales et d’autres données utilisées pour l’identification biométrique.
- Données génétiques : caractéristiques génétiques d’une personne acquises par l’analyse de l’ADN et de l’ARN, telles que les informations chromosomiques.
Identifier les données sensibles qui doivent être protégées n’est pas toujours simple. En effet, les données sensibles se divisent en deux catégories : réglementées et non réglementées.
- Les données réglementées sont toujours considérées comme sensibles par les lois et réglementations sur la confidentialité des données qui les protègent. La loi HIPAA (Health Insurance Portability and Accountability Act), par exemple, normalise les règles d’accès à plus d’une douzaine de types d’informations dans les dossiers médicaux d’une personne, y compris les coordonnées, le numéro de sécurité sociale, les données financières, les résultats de diagnostic et les traitements. Ces types de données sont toujours désignés comme sensibles, ce qui permet aux organisations de soins de santé de comprendre facilement quelles informations doivent rester confidentielles.
- Les données non réglementées comprennent toutes les informations connues du public. La plupart des données créées entrent dans cette catégorie. Bien qu’ils ne soient pas directement couverts par les lois et réglementations sur la confidentialité des données, certains fichiers et documents de cette catégorie, tels que les contrats avec les employés et les enquêtes auprès des clients, peuvent contenir des informations qui pourraient être classées comme données sensibles. Cela souligne la nécessité pour les organisations de comprendre quelles données elles stockent afin de les protéger de manière adéquate.
Comment les données sensibles peuvent-elles être utilisées à mauvais escient ? Quels sont les risques d’une violation de données sensibles ?
Lorsque la plupart des gens entendent le terme « violation de données », ils pensent probablement à des informations de carte de crédit volées. C’est parce que les piratages exposant des dizaines de détails de carte de crédit ont fait de plus en plus la une des journaux au cours de la dernière décennie.
L’une des plus importantes a été la violation de données 2013 Target. Les pirates informatiques ont utilisé une campagne d’hameçonnage sophistiquée pour voler les informations d’identification de connexion de l’un des fournisseurs tiers de l’entreprise. Ils ont utilisé ces informations d’identification pour travailler sur le réseau interne de Target et accéder finalement à ses systèmes de PDV (point de vente).
Ils ont ensuite installé des logiciels malveillants sur ces systèmes pour voler les informations de carte de crédit et de débit de la mémoire des appareils POS lorsque les clients ont glissé leurs cartes.
Les pirates informatiques ont ensuite collecté et vendu les données volées sur le marché noir numérique. Target a estimé que les informations de jusqu’à 110 millions de clients ont été volées, ce qui en fait l’une des plus grandes violations de données de l’histoire. Dans le cadre de son règlement des violations de données, la société a payé 18,5 millions USD à 47 États et au District de Columbia (en plus des 202 millions USD dépensés en frais juridiques et autres coûts à la suite de la violation).
« Les données sensibles compromises peuvent être utilisées de toutes sortes de manières qui n’étaient pas prévues, ce qui peut avoir de graves répercussions pour l’entreprise chargée de ces données. »
Bien que les violations de données de carte de crédit fassent la plupart des gros titres, elles ne sont pas le seul exemple d’utilisation abusive des données. Les données sensibles compromises peuvent être utilisées de toutes sortes de manières qui n’étaient pas prévues, ce qui peut avoir de graves répercussions pour l’entreprise à qui ces données ont été confiées.L’
un des exemples les plus récents de mauvaise utilisation des données concernait le géant des réseaux sociaux Facebook et le cabinet de conseil britannique Cambridge Analytica. Les développeurs d’une application appelée This Is Your Digital Life (TIYDL) ont collecté jusqu’à 87 millions de profils Facebook.
L’application a été conçue comme un questionnaire sur la personnalité et utilisée pour créer des profils psychologiques sur les utilisateurs et collecter les données personnelles des amis Facebook des utilisateurs. Les développeurs de l’application ont ensuite vendu ces données à Cambridge Analytica, qui les a utilisées pour aider les électeurs à cibler les campagnes politiques de Donald Trump et Ted Cruz. En fin de compte, Facebook a payé une pénalité de 5 milliards USD pour l’exposition et l’utilisation abusive ultérieure des données de ses utilisateurs.
Des incidents tels que la violation de Facebook-Cambridge ont fait l’objet d’un examen plus approfondi de la manière dont les entreprises AdTech utilisent les données. Cela a conduit à la création de réglementations plus strictes concernant la collecte et l’utilisation des données, telles que le Règlement général sur la protection des données (RGPD) de l’Union européenne et la loi californienne sur la protection de la vie privée des consommateurs (CCPA).
Quelles réglementations existent concernant les données sensibles ?
Il existe de nombreuses exigences réglementaires qui régissent la manière dont les entreprises exercent leurs activités, et la plupart exigent la manière dont les données sensibles doivent être traitées. Certaines réglementations ciblent des secteurs spécifiques. La loi HIPAA, par exemple, couvre le secteur de la santé, et la norme PCI DSS couvre la finance. D’autres, comme le CCPA et le GPDR, s’appliquent à tous les secteurs d’activité au sein d’une région géographique.
Les réglementations peuvent également varier d’un endroit à l’autre, de sorte que les exigences de traitement des données, même au sein d’un même secteur, peuvent différer entre l’Europe et les États-Unis et même d’un État à l’autre. Mais pratiquement toutes les réglementations et normes ont un impact sur la sécurité informatique et des données. Les plus courantes comprennent :
RGPD (Règlement général sur la protection des données). Adoptée par l’Union européenne en 2016, il s’agit de la loi principale régissant la protection et la confidentialité des données des citoyens. Le RGPD a introduit plusieurs mandats pour toutes les transactions qui ont lieu dans les États membres de l’UE, notamment :
- Les clients doivent donner leur consentement pour le traitement des données.
- Toute information personnellement identifiable doit être anonymisée ou pseudonymisée (l’identité du consommateur remplacée par un pseudonyme).
- Les consommateurs doivent être informés d’une violation de données dans les 72 heures.
- Les données transférées en dehors de l’UE doivent bénéficier du même degré de protection par la partie destinataire que l’UE.
- Certaines entreprises doivent nommer un délégué à la protection des données (DPD) pour superviser la conformité au RGPD.
Toutes les organisations au sein de l’UE sont soumises au RGPD, tout comme celles basées à l’étranger qui ont des opérations ou des clients dans l’UE.
Le CCPA (California Consumer Privacy Act), promulgué en 2018, accorde plusieurs droits aux résidents de Californie, notamment :
- Le droit de savoir quelles informations personnelles sont collectées, utilisées, partagées ou vendues.
- Le droit de supprimer les informations personnelles détenues par les entreprises et leurs prestataires de services.
- Le droit de refuser la vente d’informations personnelles.
- Le droit à la non-discrimination via le prix ou le service lorsqu’un consommateur exerce un droit à la vie privée en vertu du CCPA.
Le CCPA a également créé plusieurs nouvelles obligations pour les entreprises. Plus important encore, les entreprises soumises à la réglementation CCPA doivent informer les consommateurs au moment ou avant la collecte des données. Ils doivent également créer des procédures pour répondre aux consommateurs qui souhaitent refuser la collecte de données, savoir quelles données sont collectées ou faire supprimer leurs données collectées, et doivent répondre à ces demandes dans certains délais.
[En savoir plus : Qu’est-ce qu’un score de cyber-risque et pourquoi est-ce important ?]
La CCPA s’applique à toute entreprise à but lucratif qui sert les résidents de Californie et répond à l’un des critères suivants :
- Génère plus de 25 millions USD de revenus annuels bruts.
- achète, reçoit ou vend annuellement les informations personnelles de 50 000 consommateurs, ménages ou appareils ou plus.
- Tire 50 % ou plus des revenus annuels de la vente des informations personnelles des consommateurs.
PCI DSS (Payment Card Industry Data Security Standard). Depuis son introduction en 2004, elle a été régulièrement mise à jour pour améliorer les normes de sécurité du traitement des paiements. Il spécifie une douzaine d’exigences principales pour protéger les données des titulaires de carte, y compris les exigences de pare-feu et les règles de mot de passe, le cryptage des données en transit, la surveillance de l’accès réseau, etc. La norme PCI DSS s’applique à toute organisation qui accepte, transmet ou stocke des données de titulaires de carte.
La loi HIPAA (Health Insurance Portability and Accountability Act) définit des normes sur la manière dont les informations de santé protégées (PHI) sont traitées par les prestataires de soins de santé. Les PHI comprennent une gamme de données de patient, y compris des identifiants personnels tels que le nom, la date de naissance et le sexe, ainsi que des informations de santé telles que les diagnostics, les informations de traitement et les résultats des tests médicaux. L’HIPAA exige l’accès aux PHI et définit des mesures de protection physiques, administratives et techniques que les organisations de soins de santé doivent mettre en œuvre afin de les sécuriser. Il traite également de la manière dont les établissements de santé doivent réagir en cas de violation de données. Les établissements de soins de santé, y compris les hôpitaux, les cabinets médicaux, les maisons de retraite et toute autre partie qui fait des affaires de soins de santé avec des clients ou des patients, doivent être conformes à la loi HIPAA.
La loi FERPA (Family Educational Rights and Privacy Act) est une loi fédérale protégeant la confidentialité des dossiers scolaires des étudiants. Ces dossiers peuvent exister sur n’importe quel support et comprennent généralement à la fois des identifiants personnels (SSN, date de naissance, sexe, origine ethnique) et des informations académiques (scores de test, GPA, transcriptions, informations d’aide financière). La loi accorde plusieurs droits aux parents, y compris le droit d’inspecter les dossiers scolaires de leur enfant et de modifier toute inexactitude. Cela leur permet également de contrôler la divulgation d’informations personnellement identifiables à partir des dossiers de leur enfant. Ces droits sont transférés directement à l’étudiant une fois qu’il a atteint 18 ans ou qu’il est à l’université. La FERPA s’applique à toutes les écoles qui reçoivent un financement fédéral.
Le NIST (National Institute of Standards and Technology), une agence fédérale non réglementaire, établit des normes pour les secteurs des sciences et des technologies afin d’aider les agences fédérales et les entrepreneurs à répondre aux exigences de la loi fédérale sur la gestion de la sécurité de l’information (Federal Information Security Management Act, FISMA). Cependant, les normes du NIST peuvent aider toute organisation à améliorer sa sécurité et à prévenir les violations des lois réglementaires fédérales telles que PCI DSS et HIPAA. Les organisations du monde entier utilisent le cadre de cybersécurité (CSF) du NIST pour réduire les cyber-risques et protéger leurs réseaux et données. Les normes fédérales de traitement de l’information (FIPS) du NIST sont utilisées par les agences gouvernementales, les sous-traitants et les fournisseurs. Les normes FIPS établissent des exigences pour les circonstances non couvertes par les normes plus larges du secteur, fournissant un cadre pour un éventail différent de processus de sécurité.
CMMC (Cybersecurity Maturity Model Certification) est un programme du ministère de la Défense qui établit des normes et des meilleures pratiques pour les entrepreneurs de la Defense Industrial Base (DIB). Les sous-traitants de la DIB traitent les données gouvernementales sensibles, et CMMC s’assure qu’ils les sécurisent de la même manière que les agences gouvernementales et militaires. En particulier, le CMMC traite de la protection des informations fédérales sur les contrats (FCI) et des informations contrôlées non classifiées (CUI).
Les autres normes de conformité en matière de sécurité que les organisations doivent connaître comprennent la COPPA (Loi sur la protection de la vie privée en ligne des enfants), les contrôles CIS (Center for Internet Security Controls) et le programme FedRAMP (Programme fédéral de gestion des risques et des autorisations). De plus en plus d’exigences réglementaires entrent en vigueur chaque année. Les organisations doivent comprendre quelles normes et réglementations s’appliquent à leur entreprise, car tout faux pas de conformité peut entraîner des pénalités et des coûts importants.
Comment les pirates informatiques récupèrent-ils les données sensibles ?
Il existe une myriade de moyens pour les pirates informatiques de voler des données sensibles, et les pirates informatiques entreprenants développent constamment des méthodes plus sophistiquées. Voici quelques-unes des méthodes les plus populaires :
- Les logiciels malveillants (« logiciels malveillants ») désignent largement tout script ou code conçu pour exploiter un appareil. Les pirates informatiques exploitent une vulnérabilité pour insérer des logiciels malveillants, qu’un utilisateur télécharge involontairement à partir d’une pièce jointe d’e-mail ou d’un lien Web, dans le système, où il peut effectuer divers actes malveillants, tels que la surveillance de vos frappes, la transmission de données sensibles à l’ordinateur de l’attaquant ou la capture de vos mots de passe. Les logiciels malveillants sont particulièrement populaires car ils sont faciles à distribuer et très efficaces.
- L’hameçonnage est un type d’attaque d’ingénierie sociale dans laquelle l’attaquant utilise des e-mails, des SMS ou des appels téléphoniques qui semblent provenir d’une institution légitime pour inciter la cible à partager des données sensibles, telles que des informations de connexion et des informations de carte de crédit. L’hameçonnage a augmenté à l’ère de la COVID, représentant 36 % des violations de données en 2021, soit une augmentation de 11 % par rapport à l’année précédente.
- Scripting intersite (XSS) : les pirates informatiques utilisent des attaques XSS pour injecter un script ou un code malveillant écrit dans un langage de programmation commun tel que JavaScript, Flash ou HTML dans le contenu d’un site Web. Le script malveillant est ensuite exécuté dans le navigateur de l’utilisateur lorsqu’il visite le site, ce qui permet au pirate informatique de voler des cookies et de capturer toutes les informations que l’utilisateur envoie à ce site, telles que les informations de connexion, les numéros de carte de crédit et d’autres données sensibles.
- Vol d’appareils : les criminels opportunistes peuvent récupérer des données sensibles simplement en obtenant un accès physique à l’appareil d’un utilisateur. Une cause courante de compromission des données est un appareil sans surveillance, un ordinateur portable laissé dans la voiture ou sur une table de café. Une fois que quelqu’un l’a entre les mains, il a accès à un trésor potentiel de données sensibles, en particulier si l’appareil n’est pas protégé par mot de passe ou crypté.
Où se trouvent généralement les données sensibles ?
Les données sensibles peuvent être partout et n’importe où. Les données se déplacent entre une multitude d’appareils, d’utilisateurs, d’applications et de services chaque jour. Cela peut rendre la sécurité extrêmement difficile, en particulier lorsqu’elle quitte votre réseau. Un fichier situé sur un serveur centralisé sécurisé, par exemple, peut être compromis lorsqu’un employé télécharge une copie sur son ordinateur portable personnel, qui n’a presque certainement pas le même niveau de sécurité, puis oublie de la supprimer lorsqu’il a terminé de travailler dessus. Les données sensibles se trouvent également sur les serveurs de sauvegarde et les disques durs.
Pourquoi la sécurisation des données sensibles est-elle difficile ?
Encore une fois, l’un des principaux problèmes de sécurisation des données sensibles est qu’elles résident dans tant d’endroits, ce qui signifie qu’elles sont difficiles à trouver, beaucoup moins sécurisées. Certains de ces emplacements peuvent être fréquemment déconnectés du réseau, comme c’est le cas avec l’ordinateur portable d’un employé ou une clé USB, ce qui limite la visibilité de l’entreprise sur les données. La sécurisation des données sensibles nécessite également un équilibre fin entre sécurité et facilité d’utilisation. Les utilisateurs ont besoin d’accéder à certains documents, mais l’obtention de cet accès peut nécessiter des permissions plus en amont. Pour atténuer cela, une entreprise doit exiger des processus stricts concernant l’attribution des permissions et la résiliation des sessions, et doit s’assurer que toutes les données résiduelles sont supprimées de l’appareil. Un outil de surveillance des données sensibles peut aider à relever bon nombre de ces défis.
Comment fonctionnent les outils de surveillance des données sensibles ?
Les outils de surveillance des données sensibles peuvent adopter deux approches. L’un est basé sur le réseau, dans lequel un logiciel centralisé contacte un serveur pour analyser tous les appareils réseau à la recherche de données sensibles. Cependant, cette méthode est lente car elle compromet la bande passante du réseau et elle peut laisser des lacunes car elle ne peut pas accéder aux appareils en dehors du réseau d’entreprise.
[En savoir plus : Qu’est-ce que la gestion des vulnérabilités des appareils ?]
L’approche alternative utilise une architecture centrée sur le client pour rechercher des données sensibles sur tous vos endpoints. Il a un impact beaucoup plus léger sur les performances du réseau, et une fois qu’il effectue une analyse initiale pour les données sensibles, il continue d’indexer vos endpoints en temps réel pour maintenir les analyses à jour. Et comme le logiciel est installé directement sur l’endpoint, vous pouvez analyser les données sensibles même lorsque l’appareil n’est pas connecté au réseau de l’entreprise.
Quelles sont les caractéristiques clés d’un outil de surveillance des données sensibles ?
Comme avec tout nouvel outil, la facilité d’utilisation et la compatibilité avec vos technologies actuelles sont des considérations essentielles. Voici d’autres fonctionnalités à rechercher :
- Analyse basée sur les agents : les outils de surveillance basés sur les agents installent un package logiciel (« agent ») sur chaque appareil que vous souhaitez analyser. Chaque agent collecte les données de sécurité pertinentes à partir de sa machine hôte et les renvoie à un serveur de collecte. Cela lui permet d’analyser les appareils même s’ils sont hors ligne ou en dehors du réseau de l’organisation. Les outils de surveillance basés sur les agents sont également plus légers que les outils basés sur le réseau, ce qui allège la charge sur votre réseau.
- Prise en charge de plusieurs formats de fichiers et systèmes d’exploitation : un outil de surveillance des données sensibles doit pouvoir récupérer des données dans une grande variété de formats de fichiers courants (Word, Excel, PDF, etc.) sur les endpoints Windows, Mac et Linux.
- Contenu réglementaire prêt à l’emploi : l’outil doit fournir une visibilité approfondie sur le RGPD, la norme PCI DSS, l’HIPAA, le CCPA et d’autres cas d’utilisation réglementaires, vous permettant de signaler rapidement les exigences en matière de confidentialité des données et d’y répondre à mesure que les mandats légaux changent.
Plus de ressources
- Suivi des données sensibles : 10 manières dont Tanium rend les processus précis, exhaustifs et légers
- Détection et réponse des endpoints 101 : Qu’est-ce que l’EDR et où est-il insuffisant ?
- Vous ne pouvez pas surmonter les menaces de demain avec l’état d’esprit d’hier
- Trois défis liés aux endpoints pour le nouvel environnement de travail hybride et comment les surmonter
- Pourquoi une bonne cyberhygiène, qui commence au niveau des endpoints, est essentielle à la cybersécurité américaine
- Qu’est-ce que la gestion des vulnérabilités des appareils ?
- Qu’est-ce qu’un score de cyber-risque et pourquoi est-ce important ?
