Les données sont l'élément vital de toute organisation. Une utilisation incorrecte ou médiocre des données peut avoir de graves répercussions sur les opérations et les résultats escomptés d'une organisation. Le risque doit être identifié, compris, quantifié et réparti en différentes catégories : éviter, transférer, atténuer, etc. L'acceptation des risques liés aux données et la gestion de leurs conséquences doivent être une entreprise "ouverte sur le monde". En d'autres termes, la gestion des risques basée sur les données est une capacité nécessaire pour toutes les organisations.
Gestion des risques liés aux données
La gestion des risques liés aux données comprend toutes les pratiques permettant d'identifier les risques, de les évaluer et de les réduire à un niveau acceptable. Cela a toujours été important, mais aujourd'hui les enjeux sont plus importants avec le travail à distance, les atteintes à la cybersécurité et les risques liés à la sécurité du cloud. Le rapport annuel sur le coût d'une violation de données, réalisé par l'institut Ponemon, a révélé que les violations de la sécurité des données coûtent désormais aux entreprises 4,24 millions de dollars par incident en moyenne - le coût le plus élevé depuis la création du rapport il y a 17 ans. Ponemon indique que la sécurité est à la traîne par rapport aux changements rapides des technologies de l'information, tels que le travail à distance et les activités basées sur le cloud. Et les résultats sont lourds de conséquences. Près de 20 % des organisations étudiées ont déclaré que le travail à distance avait joué un rôle dans la violation de la sécurité des données, et ces violations ont fini par coûter aux entreprises 4,96 millions de dollars (près de 15 % de plus que la violation moyenne). Les entreprises de l'étude qui ont subi une violation au cours d'un projet de migration dans le nuage ont eu un coût 18,8 % plus élevé que la moyenne.
Compte tenu de ces tendances et du fait que le cloud et le travail à distance sont désormais bien ancrés dans le paysage, il devient essentiel de les sécuriser dans le cadre de votre stratégie de gestion des risques liés aux données. Cela implique de comprendre les risques et menaces potentiels, d’évaluer leur probabilité et leur impact, d’analyser votre posture de sécurité actuelle, ainsi que les mesures correctives à mettre en place. Chacun de ces environnements présente des défis spécifiques qu’il vous faudra relever. Les risques liés au cloud sont complexes : manque de visibilité, risques liés au Big Data, défis des migration des données, vulnérabilités du stockage cloud, erreurs de configuration, etc. Du côté du télétravail, les principales préoccupations concernent les fuites de données, le manque de visibilité sur les utilisateurs hors du réseau d’entreprise, ou encore les attaques de type phishing – pour ne citer que quelques exemples.
Gestion des risques liés aux données
La gestion des risques liés aux données est la pratique qu'une organisation utilise avec la gouvernance, le processus, les procédures et la conformité pour l'acquisition, le stockage, le traitement, la transformation et l'utilisation des données afin de gérer et d'éliminer les risques liés aux données. L'analyse des risques consiste à examiner les actifs de l'organisation, les menaces éventuelles et les vulnérabilités pour déterminer les risques, puis à mettre en place des contre-mesures relatives à la gestion des risques.
Le risque lié aux données est dû à :
- Mauvaise gouvernance données - Les organisations doivent s'assurer que leurs données sont de haute qualité pour support leurs décisions. Une bonne gouvernance données permet d'équilibrer le besoin de démocratiser les données et le besoin de connaître et d'utiliser les données.
- Mauvaise gestion des données - L'ensemble du cycle de vie des données doit être protégé au fur et à mesure que les données passent d'une étape à l'autre, y compris les données au repos et en transit. Toutes les pratiques d'acquisition, de stockage, de transformation, de chargement et de traitement des données doivent être gérées de manière appropriée.
- Sécurité des données insuffisante - Les organisations doivent continuer à protéger leur environnement contre les cyberattaques et les compromissions involontaires de données internes, à l'aide de correctifs, de formations, d'un modèle de confiance zéro, etc.
- Mauvaise gestion des correctifs - Les correctifs des systèmes doivent rester à jour et être appliqués en temps voulu ; une fenêtre d'opportunité pour les cyberattaques peut se présenter si la gestion des correctifs n'est pas effectuée de manière efficace et efficiente. Dans la mesure du possible, la gestion des correctifs devrait être basée sur des bulletins et automatisée.
- Diagnostic et atténuation continus (CDM) - Conformément à l'US-CERT, les organisations devraient mettre en œuvre un programme de sécurité informatique automatisé et fondé sur les risques, couvrant l'ensemble de l'infrastructure, des applications et des données, tant sur site qu'à travers leurs déploiements en nuage. Il est rare que le matériel ou l'environnement applicatif soit endommagé de manière permanente ou qu'il ait des ramifications imprévisibles en aval ; il n'en va pas de même pour les risques liés aux données. Une analyse des risques de type Prévenir-Détecter-Réagir doit se concentrer sur les risques liés aux données, au cœur d'un programme de cybersécurité CDM.
Mettre en place une stratégie efficace de gestion des risques liés aux données présente de nombreux avantages :
- Réduction des coûts pour l’organisation, qu’il s’agisse d’amendes réglementaires, de pertes de temps, de fidélisation client ou de nombreuses autres sources de dépenses.
- Réduire les risques en étant proactif plutôt que réactif grâce à une stratégie de gestion de tous les risques.
- Accroître l'agilité de l'organisation pour qu'elle puisse agir rapidement. L'évaluation et la gestion des risques liés aux données est une pratique proactive visant à support la disponibilité des activités de l'organisation en réagissant rapidement aux défis.
- Pérennité de l’entreprise, assurée par sa capacité à fournir et à maintenir ses produits et services. Sans une gestion rigoureuse des risques, les organisations s’exposent à des menaces existentielles.
- Satisfaction client, qui repose en grande partie sur la capacité de l’entreprise à sécuriser les données partagées dans le cadre de ses activités. Des scores élevés de satisfaction ou de recommandation client sont directement liés à la maîtrise des risques liés aux données.
En somme, les bénéfices de la gestion des risques liés aux données justifient largement les investissements nécessaires. Lorsqu’elle est structurée comme une véritable pratique interne, elle devient un levier de réussite pour l’ensemble de l’organisation. Le guide qui suit vous apportera des conseils concrets pour mettre en œuvre une démarche efficace de gestion des risques liés aux données au sein de votre organisation.
Guide de gestion des risques liés aux données
La gestion des risques liés aux données ne peut pas être reléguée au second plan dans une organisation. Pour qu’elle soit efficace, elle doit s’appuyer sur une volonté stratégique claire, un engagement au niveau de la direction, et une évolution culturelle en profondeur. La première étape consiste à constituer une équipe responsable de la gestion de ces risques, avec des rôles et des responsabilités bien définis. Il convient également d’élaborer une matrice RACI globale spécifique à la politique de gestion des risques liés aux données. Il est fortement recommandé de nommer un Délégué à la protection des données (DPO), chargé de construire un cadre de gestion des risques. Ce cadre devra inclure des objectifs, des finalités et des indicateurs de suivi.
Quelques tâches, conseils et bonnes pratiques pour la gestion des risques liés aux données
- Identifier les risques, menaces et vulnérabilités : commencez par une évaluation des risques au niveau du centre de données.
- Évaluer la probabilité et l'impact, effectuer une analyse d'impact sur l'entreprise - Il peut être utile de faire appel à support tierce partie. Examiner les implications financières et l'impact dans le temps afin de déterminer les priorités et les mesures à prendre pour faire face aux risques liés aux données.
- Définir la gouvernance, les politiques, les obligations réglementaires et les exigences de conformité, notamment en identifiant et en adoptant les meilleures pratiques en matière de gestion des risques liés aux données.
- Évaluer les contrôles déjà en place, et maintenir cette activité dans le temps pour suivre l’évolution du paysage des menaces. Intégrer les contrôles dans les pratiques, les processus et les consignes de travail à l’échelle de l’organisation.
- Stratégie et plan de réponse au risque - évitement, atténuation, transfert, acceptation. La souscription d'une assurance cybersécurité est un moyen de transférer le risque lié aux données résultant de cyberattaques. Veillez à disposer d'un plan pour chaque aspect de la gestion des risques.
- Tester le plan pour vérifier son efficacité ; le cas échéant, ajuster les mesures et revoir les autres éléments de votre dispositif de gestion des risques.
- Surveiller les risques et recueillir des retours. Utilisez autant que possible des outils automatisés, mais complétez-les par les retours des collaborateurs à travers toute l’organisation.
- Grâce à un plan et à des activités d'amélioration continue, la gestion des risques est une capacité nécessaire à l'organisation.
Quelques risques potentiels à identifier et à gérer :
- Les données peuvent être corrompues à tout moment, lors de la lecture, de l'écriture, de la transmission, du chargement, du traitement, etc. Veillez à identifier la réplication, la duplication, la sauvegarde et la récupération des données, et à gérer les risques liés à chaque étape du cycle de vie de lagestion des données .
- La défaillance des appareils sur site et dans le nuage, où résident les données, est essentielle. Les organisations doivent comprendre l'ensemble des dispositifs informatiques et des données associées et préparer des plans et des actions de gestion des risques liés aux données.
- Conformité des données : assurez-vous d'être en conformité avec les réglementations relatives aux clients et aux partenaires, ainsi qu'avec les réglementations spécifiques au secteur et à la région/nation, telles que le Règlement général sur la protection des données (RGPD), la loi sur la portabilité et la responsabilité de l'assurance maladie (HIPAA), les services d'information de la justice pénale (CJIS), la loi sur les droits et la confidentialité en matière d'éducation familiale (FERPA), les réglementations sur le trafic international d'armes (ITAR) et la loi californienne sur la protection de la vie privée des consommateurs (CCPA). La confidentialité des données et la confiance doivent être gérées, et les risques pris en compte - chacune de ces réglementations souligne la nécessité d'une gestion des risques liés aux données.
- Le verrouillage fournisseur dans la gestion des données peut entraîner des coûts élevés. Il convient de relire les contrats et d’évaluer attentivement les coûts par rapport à la valeur réelle apportée.
- La rémanence des données, si les procédures de retrait ne sont pas correctement appliquées, peut constituer un risque pour l’organisation. Il est impératif de s’assurer que les processus sont bien en place et correctement exécutés.
- L’identification des failles et vulnérabilités de sécurité peut se faire via des audits. Réaliser des audits de données reste une bonne pratique pour mieux maîtriser les risques au sein des organisations.
- Le stockage et la gestion à long terme de données inutilisées sont coûteux. Les données non exploitées n’ont pas de valeur, et leur gestion sans objectif précis constitue une perte de temps et de ressources. Cela concerne aussi bien la gouvernance que la conformité.
- Politique et comportements humains – logiciels malveillants, hameçonnage, logiciels espions, etc.
- Les risques liés aux services Cloud SaaS, PaaS et IaaS doivent être clairement identifiés et gérés, car chaque type de service comporte des vulnérabilités spécifiques. Même si une organisation n’utilise pas l’ensemble de ces services, elle doit comprendre comment chacun peut impacter la gestion des risques liés aux données.
- La continuité d’activité repose sur une bonne anticipation des interruptions de service, des violations de données, des pertes de données et autres incidents, avec des plans de réponse adaptés déjà en place.
- La réponse aux incidents majeurs doit être planifiée et opérationnelle dès qu’un problème de gestion des données survient. Ce plan doit être testé ou simulé régulièrement afin d’en garantir l’efficacité en situation réelle.
- La sécurité physique doit être identifiée et comprise, aussi bien face aux intrusions humaines qu’aux catastrophes environnementales, qu’il s’agisse d’environnements sur site ou dans le cloud. Les organisations doivent non seulement sécuriser leurs propres infrastructures, mais aussi évaluer les pratiques de sécurité physique de leurs fournisseurs, en particulier dans un contexte où le télétravail et le retour au bureau coexistent.
- Les risques liés aux logiciels et à l'infrastructure des tiers doivent être identifiés. Tout fournisseur tiers peut faire l'objet d'une violation de données susceptible d'affecter ses clients. Les violations de données qui entraînent le piratage de logiciels et leur installation dans les environnements de leurs clients peuvent avoir des effets durables sur l'organisation. Toutes les organisations devraient comprendre comment leurs fournisseurs sécurisent leurs données, en particulier les données relatives à leurs clients.
Quelques domaines de la gestion des données à connaître :
- L’importance des sauvegardes ne doit jamais être sous-estimée, que ce soit pour une organisation ou à titre personnel. Elles permettent de restaurer les données en cas de panne de courant, de cyberattaque, de catastrophe naturelle, d’erreur humaine, etc. Elles sont donc essentielles pour une bonne gestion des risques liés aux données.
- La redondance améliore la capacité de l’organisation à maintenir son activité. Avoir des copies redondantes des données permet de limiter les risques de perte de données, qu’elle soit due à des interruptions prévues ou imprévues.
Les risques humains liés à la gestion des données doivent être identifiés et traités. L’une des approches les plus efficaces consiste à sensibiliser les collaborateurs et à leur apprendre à gérer les risques liés aux données au sein de l’organisation. Il est essentiel que chacun comprenne ces risques et sache comment réagir le moment venu. Les bonnes pratiques acquises en entreprise peuvent d’ailleurs aussi servir dans la sphère personnelle, en réduisant les risques de fuite ou de mauvaise manipulation des données privées.
Aujourd’hui, de plus en plus d’organisations adoptent des technologies et pratiques liées au Big Data. Cela implique de nouveaux risques, qui doivent impérativement être intégrés à la stratégie de gestion des risques liés aux données. Chaque entreprise doit examiner son architecture Big Data et évaluer les risques associés, que ce soit en environnement sur site, cloud ou hybride. Les risques liés à la migration de données dans le cloud, ou à la sécurité du stockage dans le cloud, doivent être soigneusement analysés. Dans certains cas, il peut être nécessaire d’ajuster l’architecture cloud pour mieux maîtriser ces risques et les coûts associés. En somme, la gestion des risques liés au Big Data doit s’inscrire pleinement dans une stratégie globale de gestion des risques de données.
Conclusion
La gestion des risques liés aux données relève de la responsabilité de toutes les fonctions de l'entreprise, du marketing, des ventes, des ressources humaines, des opérations, des applications, du service juridique, etc. Adopter une approche proactive en identifiant les risques, en ajoutant des contrôles et en se préparant à agir peut faire toute la différence en cas de besoin. Ne faites pas de la gestion des risques liés aux données une réflexion après coup et quelque chose qui ne vaut pas la peine d'être investi. La gestion des risques liés aux données fait partie du coût de l'activité et doit être comprise comme telle. Méfiez-vous des raccourcis et adoptez une approche stratégique et globale.
En outre, vous devriez rechercher des frameworks et des meilleures pratiques ; en particulier, le NIST est l'un des principaux experts en matière de gestion des risques avec des frameworks étendus pour la cybersécurité, la gestion des risques, l'intégration de la cybersécurité et de la gestion des risques d'entreprise (ERM), la protection de la vie privée, et plus encore. Les lignes directrices du NIST pour la gestion de la sécurité des appareils mobiles dans l'entreprise (Draft NIST SP 800-124 Rev. 2, Guidelines for Managing the Security of Mobile Devices in the Enterprise) sont une autre ressource récente pour vous aider à démarrer. Vous pouvez également vous inspirer du 2021 DBIR Master's Guide (2021 DBIR Master's Guide | Verizon).
Actian et la plate-forme d'intelligence des données
Actian Data Intelligence Platform est conçue pour aider les entreprises à unifier, gérer et comprendre leurs données dans des environnements hybrides. Elle rassemble la gestion des métadonnées , la gouvernance, le lignage, le contrôle de la qualité et l'automatisation en une seule plateforme. Les équipes peuvent ainsi savoir d'où viennent les données, comment elles sont utilisées et si elles répondent aux exigences internes et externes.
Grâce à son interface centralisée, Actian offre une insight en temps réel des structures et des flux de données, ce qui facilite l'application des politiques, la résolution des problèmes et la collaboration entre les services. La plateforme aide également à relier les données au contexte commercial, ce qui permet aux équipes d'utiliser les données de manière plus efficace et plus responsable. La plateforme d'Actian est conçue pour s'adapter à l'évolution des écosystèmes de données, favorisant une utilisation cohérente, intelligente et sécurisée des données dans l'ensemble de l'entreprise. Demandez votre démo personnalisée.
