Après une fuite de données, les entreprises doivent suivre plusieurs étapes qui relèvent pour la plupart du bon sens.
Établir un plan de remédiation, comprendre ce qui s’est passé et lancer une enquête sur la fuite détermine des étapes critiques de réaction à l’incident. Au lieu de se concentrer uniquement sur la sécurité des réseaux, serveurs et applications, les organisations doivent aussi prendre en compte la valeur des données qu’elles traitent et adopter une démarche résolument axée sur la sécurité de ses données.
Quel qu’en soit le contenu — recherche, propriété intellectuelle, informations de connexion des employés, numéros de sécurité sociale ou informations sur la santé des patients — et quelle que soit l’industrie, la sécurité des données est primordiale. L’année 2017 a établi un nouveau record, tant en nombre de fuites de données qu’en quantité de données compromises. Un rapport récent recense 5 207 fuites de données et un total de 7,89 milliards d’enregistrements compromis au cours de l’année dernière. À notre époque, les violations de données sont pratiquement inévitables. Très souvent, la question n’est pas de savoir si une entreprise sera piratée, mais plutôt quand elle le sera.
Sécuriser les données sensibles
Les fuites de données sont peut-être inévitables, mais la perte de données, elle, ne l’est pas. Depuis plusieurs années, un large mouvement s’est déclaré en faveur d’une approche de la sécurité centrée sur les données, pour la bonne et simple raison qu’il s’agit de l’avenir. Dans cette logique, les entreprises dépassent les pare-feu et antivirus traditionnels qui se concentrent essentiellement sur la sécurité du terminal. À la place, les entreprises axent leur stratégie sur le plus important : identifier, contrôler et sécuriser les actifs de données sensibles — qui sont les véritables cibles des attaquants. L’élaboration d’une taxonomie des données pour toute l’organisation est l’une des premières étapes essentielles à la construction d’une entreprise sécurisée. Une fois les données métier de l’entreprise structurées, il est possible de commencer à en extraire véritablement la valeur.
Classifier les données par ordre d’importance
Mais il faut se poser une question indispensable : quelles sont les données qui courent le plus de risques ? Pour y répondre, il existe plusieurs façons de catégoriser les données, certaines peuvent être classées comme confidentielles ou à distribution limitée, privées, ou publiques. Les vendeurs qui acceptent les cartes bancaires supervisent une énorme quantité d’informations, normalement considérées comme confidentielles. Les organisations de type banques, développeurs de processeurs, matériel informatique et logiciels doivent se conformer au PCI DSS — Payment Card Industry Data Security Standard — la norme de sécurité des données de l’industrie des cartes de paiement. Les statuts et réglementations protègent les autres types de données.
Un contrôle d’accès adapté au degré de sensibilité des données
La classification des données peut permettre de hiérarchiser les informations en fonction de leur importance et de déterminer le type de contrôle de sécurité adapté en matière de sauvegarde des données. Après avoir identifié les données les plus précieuses, il est indispensable de les marquer comme telles et leur appliquer des droits ou des autorisations d’accès restreints. Il faut également mettre en place des politiques robustes pour aider, non seulement à appliquer les meilleures normes et pratiques, mais également à empêcher les données quelles qu’elles soient — e-mails, fichiers, code source confidentiels — de quitter le point de risque le plus élevé : le terminal. La mise en œuvre de contrôles d’accès hiérarchisés est en réalité l’un des meilleurs moyens de limiter les fuites de données. C’est aussi le seul moyen de contrer correctement les menaces internes, comme externes.
Une bonne approche de la sécurité des données consiste à les sécuriser au repos, pendant leur transfert et pendant leur utilisation. Associée à des solutions accentuant cette approche, comme des technologies ou programmes de formation sur la sécurité, l’adoption d’une perspective axée la sécurité des données peut se révéler fondamentale pour une entreprise. Une fois cette classification des données réalisée, il ne reste plus qu’à mettre en place un programme de sécurité complet, centré sur les données. Les entreprises peuvent alors mettre en œuvre une technologie DLP empêchant les pertes de données, des contrôles d’accès au Cloud, un chiffrement et des stratégies de visibilité des données pour compléter efficacement la réussite de leur programme.