![\"Le](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock-1753929440-1024x683.jpg\" "\\"Par")
<\/p>\n<\/p>\n
Donn\u00e9es personnelles, sensibles, critiques ou encore vitales\u2026 Le vocabulaire pour \u00e9voquer les donn\u00e9es est multiple. Et laisse aussi supposer \u00e0 une partie des entreprises et organisations qu\u2019elles ne seraient pas concern\u00e9es par leur protection. Mais est-ce vraiment le cas\u00a0? Les donn\u00e9es personnelles, mises en lumi\u00e8re par le RGPD, ne sont-elles pas l\u2019arbre qui cache la for\u00eat\u00a0? Car toutes les entreprises produisent des donn\u00e9es, sans avoir toujours conscience de leur valeur. Et surtout, de la n\u00e9cessit\u00e9 de les prot\u00e9ger.<\/strong><\/p>\n Depuis son entr\u00e9e en vigueur en mai 2018, le R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD) a contribu\u00e9 \u00e0 la diffusion de nouvelles expressions\u00a0: les donn\u00e9es personnelles et les donn\u00e9es sensibles<\/a>. Un petit d\u00e9tour sur les moteurs de recherches r\u00e9v\u00e8le \u00e0 quel point les donn\u00e9es sensibles sont l\u2019obsession du moment. Mais de quoi parle-t-on exactement\u00a0? Car \u00e0 y regarder de plus pr\u00e8s, le champ des donn\u00e9es sensibles est plut\u00f4t restreint et sa d\u00e9finition stricte est loin d\u2019englober tous les enjeux data de l\u2019entreprise. Et pourtant\u2026<\/p>\n <\/p>\n La liste des donn\u00e9es sensibles<\/a> fournie par la commission europ\u00e9enne dans le cadre du RGPD est claire. Il s\u2019agit des donn\u00e9es \u00e0 caract\u00e8re personnel d\u2019une personne, donc des informations relatives \u00e0 son origine raciale ou ethnique, ses opinions politiques, ses convictions religieuses ou philosophiques, son appartenance syndicale, ses donn\u00e9es g\u00e9n\u00e9tiques ou biom\u00e9triques, ses donn\u00e9es de sant\u00e9, sa vie sexuelle ou encore son orientation sexuelle.<\/strong><\/p>\n Les traitements sur ces donn\u00e9es, incluant collecte et utilisation, sont strictement encadr\u00e9es par la loi. Mais sont-elles les seules qui n\u00e9cessitent une protection particuli\u00e8re\u00a0? Spoiler alert:<\/em> non.<\/p>\n <\/p>\n Car la multiplicit\u00e9 des donn\u00e9es d\u2019une organisation est bien plus large que les seules donn\u00e9es sensibles. Dans son guide d\u2019hygi\u00e8ne informatique<\/a>, l\u2019ANSSI \u00e9voque les \u00ab\u00a0donn\u00e9es jug\u00e9es vitales pour l\u2019organisme et les serveurs concern\u00e9s<\/em> \u00bb. Un nouveau terme pour parler des donn\u00e9es. Mais alors, quelle diff\u00e9rence entre donn\u00e9es sensibles et donn\u00e9es vitales\u00a0?<\/strong> Ces derni\u00e8res sont les donn\u00e9es consid\u00e9r\u00e9es comme indispensables au bon fonctionnement de l\u2019entit\u00e9\u00a0: donn\u00e9es de production, donn\u00e9es financi\u00e8res, donn\u00e9es de R&D (la recette secr\u00e8te d\u2019une boisson ou l\u2019algorithme d\u2019un moteur de recherche par exemple\u2026). Sans elles, l\u2019entreprise n\u2019existe plus ou perd son avantage concurrentiel. Il s\u2019agit de donn\u00e9es qui, si elles venaient \u00e0 \u00eatre d\u00e9voil\u00e9es, d\u00e9rob\u00e9es ou perdues, auraient un impact critique pour l\u2019entreprise ou l\u2019organisation qui les perd. Par exemple, les donn\u00e9es d\u2019une n\u00e9gociation en cours, d\u2019une lev\u00e9e de fonds ou d\u2019une OPA \u00e0 venir. Mais pas seulement. Un simple carnet de commande neutralis\u00e9 et c\u2019est toute l\u2019activit\u00e9 d\u2019une TPE ou d\u2019une PME qui peut vaciller. Le spectre des donn\u00e9es \u00e0 prot\u00e9ger est donc bien plus large que les seules donn\u00e9es sensibles. <\/strong>Ce sont toutes ces donn\u00e9es qui sont vis\u00e9es par les cyber-criminels. \u00ab\u00a0En effet, de plus en plus de petites structures font l\u2019objet d\u2019attaques rendant ces donn\u00e9es indisponibles<\/em>\u00a0\u00bb, souligne l\u2019ANSSI dans son guide. \u00c0 ce titre, elles doivent faire l\u2019objet d\u2019une vigilance particuli\u00e8re, avec des sauvegardes r\u00e9guli\u00e8res (stock\u00e9es sur des \u00e9quipements d\u00e9connect\u00e9s), dont la restauration doit \u00e9galement \u00eatre v\u00e9rifi\u00e9e de mani\u00e8re p\u00e9riodique.<\/p>\n Souvent, on pense d\u2019abord aux donn\u00e9es strat\u00e9giques\u00a0: donn\u00e9es RH ou financi\u00e8res, donn\u00e9es de R&D ou de production\u2026 Mais toute donn\u00e9e produite par l\u2019entreprise a de la valeur. Si on prend le temps de la produire, c\u2019est qu\u2019elle contribue \u00e0 l\u2019activit\u00e9 de l\u2019entreprise. Il faut donc la prot\u00e9ger aussi.<\/em><\/p>\n Donn\u00e9es personnelles, donn\u00e9es sensibles, donn\u00e9es vitales ou encore donn\u00e9es critiques, les donn\u00e9es \u00e0 prot\u00e9ger varient ainsi d\u2019une organisation \u00e0 l\u2019autre\u00a0: savoir-faire sur des proc\u00e9d\u00e9s chimiques, R&D, emplacement de mati\u00e8res premi\u00e8res, audit interne (protection des chiffres, investissements...), \u00e9changes entre les membres du Comex, rachat\/OPA, donn\u00e9es RH, donn\u00e9es comptables, \u00e9changes entre un journaliste et ses sources, cha\u00eene de production, plan d\u2019une pi\u00e8ce industrielle... \u00ab\u00a0Par exemple chez Stormshield, l\u2019\u00e9change de CV se fait dans des emails chiffr\u00e9s. Et les donn\u00e9es partag\u00e9es sur le personnel sont stock\u00e9es dans des r\u00e9pertoires s\u00e9curis\u00e9s<\/em>\u00a0\u00bb, pr\u00e9cise Jocelyn Krystlik<\/strong>, Business Unit Data Security Manager Stormshield. \u00ab\u00a0Sont critiques les donn\u00e9es qui touchent au core business d\u2019une entreprise, ou \u00e0 ce qui vient le composer\u00a0: brevets, activit\u00e9 commerciale, donn\u00e9es financi\u00e8res, donn\u00e9es strat\u00e9giques\u2026 Donc tout ce qui a une valeur reconnue par ses clients. Il faut donc penser en termes d\u2019information et comment cette information est strat\u00e9gique pour l\u2019organisation<\/em>\u00a0\u00bb, r\u00e9sume Laurence Houdeville<\/strong>, sp\u00e9cialiste Data qui a co-dirig\u00e9 le livre blanc Le cloud de confiance, un enjeu d\u2019autonomie strat\u00e9gique pour la France<\/em>. Une donn\u00e9e raffin\u00e9e, donc, mais pas seulement.<\/p>\n \u00ab\u00a0Toutes les donn\u00e9es de l'entreprise ou presque sont importantes et utiles<\/em>, abonde Julien Paffumi<\/strong>, Product Portfolio Manager chez Stormshield. Souvent, on pense d\u2019abord aux donn\u00e9es strat\u00e9giques, des donn\u00e9es RH et financi\u00e8res jusqu\u2019aux donn\u00e9es de R&D ou de production\u2026 Mais toute donn\u00e9e produite par l\u2019entreprise a de la valeur. Si on prend le temps de la produire, c\u2019est qu\u2019elle contribue \u00e0 l\u2019activit\u00e9 de l\u2019entreprise. Il faut donc la prot\u00e9ger aussi. Cela concerne aussi les donn\u00e9es non structur\u00e9es<\/em>.\u00a0\u00bb Selon le Magic Quadrant for Distributed File Systems and Object Storage de Gartner, le taux de croissance annuel des donn\u00e9es non structur\u00e9es est de l\u2019ordre de 30 \u00e0 60%<\/a>. Et selon une \u00e9tude de Thales, seulement 17% des entreprises chiffrent au moins la moiti\u00e9 de leurs donn\u00e9es dans le cloud<\/a>. Deux chiffres qui montrent un fort enjeu de protection de la donn\u00e9e. Mais comment faire\u00a0?<\/p>\n <\/p>\n Pour Laurence Houdeville, \u00ab\u00a0on ne prot\u00e8ge bien que ce que l\u2019on conna\u00eet bien<\/em>\u00a0\u00bb. Le premier enjeu de la protection des donn\u00e9es r\u00e9side donc dans la connaissance de son patrimoine informationnel<\/strong>. Concr\u00e8tement, cela signifie recenser les traitements de donn\u00e9es, automatis\u00e9s ou non, les donn\u00e9es trait\u00e9es (ex\u00a0: fichiers client, contrats) et les supports sur lesquels elles reposent \u2013 au niveau des mat\u00e9riels (ex\u00a0: serveurs, ordinateurs portables, disques durs), des logiciels (ex\u00a0: syst\u00e8me d\u2019exploitation, logiciel m\u00e9tier) mais aussi des canaux de communication (ex\u00a0: fibre optique, Wi-Fi, Internet).<\/p>\n On ne prot\u00e8ge bien que ce que l\u2019on conna\u00eet bien<\/em><\/p>\n \u00ab\u00a0On r\u00e9alise un \u00e9tat des lieux avec une cartographie faisant appara\u00eetre les donn\u00e9es de r\u00e9f\u00e9rences, en se demandant lesquelles ont le plus de valeur et \u00e0 quel moment de leur utilisation. Donc ce n\u2019est pas la donn\u00e9e utilitaire mais la donn\u00e9e raffin\u00e9e, crois\u00e9e, qui est int\u00e9ressante<\/em>, pr\u00e9cise Laurence Houdeville. Ensuite on travaille le chemin critique\u00a0: comment cette donn\u00e9e est crois\u00e9e \u00e0 une autre, sur quel crit\u00e8re cette donn\u00e9e \u00e0 de la valeur\u00a0? etc<\/em>.\u00a0\u00bb Apr\u00e8s l\u2019audit, la classification des donn\u00e9es va permettre de faire le tri selon la criticit\u00e9 de la donn\u00e9e, et donc sa confidentialit\u00e9 et sa diffusion.<\/strong> Oui mais voil\u00e0\u00a0: il n\u2019existe pas de nomenclature type. \u00ab\u00a0Chaque organisation a son propre niveau de classification\u00a0: C1, C2, C3 (confidentiel 1er niveau etc.); D1, D2, D3; interne ou externe\u2026 et m\u00eame par couleur (amber \/ red\u2026)<\/em>, d\u00e9taille Jocelyn Krystlik. Ce n\u2019est pas standardis\u00e9, chacun fait un peu ce qu\u2019il veut, m\u00eame si le fond reste \u00e0 peu pr\u00e8s le m\u00eame.<\/em>\u00a0\u00bb Ce qui renvoie, comme souvent, \u00e0 une question de maturit\u00e9 cyber.<\/p>\n <\/p>\n Il existe diff\u00e9rentes solutions pour classifier ses donn\u00e9es\u00a0: un template utilis\u00e9 par tous avec des champs \u00e0 remplir, un watermark dans le fichier ou de la classification automatique par mots ou informations-cl\u00e9s (num\u00e9ro de s\u00e9curit\u00e9 sociale, RIB etc.). \u00ab\u00a0Les petites entreprises proposent souvent un template de mail o\u00f9 l\u2019utilisateur renseigne lui-m\u00eame la classification en cochant la bonne case<\/em>, note Jocelyn Krystlik. Les grandes entreprises ont, elles, souvent des outils qui permettent de d\u00e9tecter automatiquement des mots-cl\u00e9s et chiffrer la communication si besoin, voire bloquer son envoi pour faire en sorte qu\u2019elle ne quitte pas l\u2019entreprise si sa diffusion ne l\u2019autorise pas.<\/em>\u00a0\u00bb<\/p>\n Quant \u00e0 la m\u00e9thode de classification, il peut varier d\u2019une organisation \u00e0 une autre. Lorsqu\u2019il y en a un, le Data Protection Officer (DPO) pose g\u00e9n\u00e9ralement le cadre de la classification puis c\u2019est au producteur de la donn\u00e9e de se poser la question pour d\u00e9terminer si sa donn\u00e9e est confidentielle ou pas. Cela soul\u00e8ve la question de l\u2019hygi\u00e8ne num\u00e9rique<\/strong>. Pour classifier la donn\u00e9e afin de la prot\u00e9ger ou de limiter sa diffusion, encore faut-il que son possesseur ou son producteur soit conscient de sa valeur. \u00ab\u00a0Il s\u2019agit de faire attention \u00e0 ce que l\u2019on envoie et \u00e0 qui. C\u2019est de l\u2019hygi\u00e8ne num\u00e9rique mais cela suppose aussi un certain degr\u00e9 de maturit\u00e9 de l\u2019entreprise sur la donn\u00e9e, et de former les gens \u00e0 cette notion et ses enjeux<\/em>\u00a0\u00bb, note Julien Paffumi. Cela soul\u00e8ve aussi la question de l\u2019entretien de cette connaissance. \u00ab\u00a0Face \u00e0 un sujet cyber qui peine encore \u00e0 s\u2019installer dans le quotidien de tous, on s\u2019aper\u00e7oit que chaque ann\u00e9e, il faut que le DPO de l\u2019entreprise rappelle les r\u00e8gles en mati\u00e8re de politique de la donn\u00e9e.<\/em>\u00a0\u00bb Une pratique chronophage, mais indispensable.<\/p>\n La question de la maturit\u00e9 se pose \u00e9galement lorsqu\u2019il est question de sauvegarde. \u00ab\u00a0La sauvegarde des donn\u00e9es est un sujet \u00e0 appr\u00e9hender \u00e0 plusieurs<\/em>, pr\u00e9vient Julien Paffumi. Entre le service IT et les m\u00e9tiers, la responsabilit\u00e9 est partag\u00e9e. Le m\u00e9tier doit identifier d\u2019une part s\u2019il a une donn\u00e9e qui a de la valeur pour l\u2019entreprise et d\u2019autre part \u00e0 quel point sa destruction, sa perte ou son vol peut \u00eatre probl\u00e9matique. Il est donc fortement impliqu\u00e9 dans sa protection. L\u2019IT doit de son c\u00f4t\u00e9 avoir connaissance de cette donn\u00e9e pour fournir les outils et infrastructures adapt\u00e9s afin d\u2019aider \u00e0 la prot\u00e9ger, et assurer la capacit\u00e9 \u00e0 la restaurer si besoin. L\u2019objectif est d\u2019\u00e9viter le \u2018shadow backup\u2019 ou \u2018shadow data storage\u2019, dans les cas o\u00f9 les \u00e9quipes m\u00e9tier mettent une solution de leur c\u00f4t\u00e9 et stockent leurs donn\u00e9es sur un serveur ou une solution de stockage cloud sans que l\u2019IT ou l\u2019\u00e9quipe s\u00e9curit\u00e9 en aient connaissance<\/em>.\u00a0\u00bb Simple sur le papier, mais dramatiquement complexe en r\u00e9alit\u00e9, surtout lorsque le shadow IT<\/a> entre dans la danse\u2026<\/p>\n <\/p>\nC\u2019est quoi une donn\u00e9e sensible\u00a0?<\/h2>\n
Donn\u00e9es sensibles, critiques, vitales\u2026<\/h2>\n
Julien Paffumi<\/strong>, Product Portfolio Manager chez Stormshield<\/pre>\n<\/blockquote>\n
Recenser et classifier les donn\u00e9es pour mieux les prot\u00e9ger<\/h2>\n
Laurence Houdeville<\/strong>, sp\u00e9cialiste data<\/pre>\n<\/blockquote>\n
De la maturit\u00e9 des organisations en mati\u00e8re de data<\/h2>\n