Sécurité des données

Sensibilité de l'information

Protégez vos données avec un verrou solide

La sensibilité des informations fait référence à la nécessité de protéger des données spécifiques qui, si elles ne sont pas sécurisées, peuvent avoir des conséquences négatives pour une personne ou une organisation si elles sont divulguées à des parties non autorisées. Les informations sensibles peuvent concerner un individu, une entreprise ou un gouvernement.

Pourquoi est-il important de protéger les informations confidentielles ?

La nécessité pour les entités de protéger les données sensibles relatives aux conditions personnelles, financières ou médicales devient l'objet d'une législation gouvernementale dans de nombreux pays. Des réglementations telles que le règlement général sur la protection des données (RGPD) protègent le droit à la vie privée des individus. Des contrôles inadéquats peuvent entraîner la perte de données et des amendes potentielles pouvant aller jusqu'à 10 % des bénéfices d'une entreprise.

Les entreprises qui stockent des données personnelles sur leurs clients, telles que les banques et les sociétés de traitement des cartes de crédit, doivent se conformer à des réglementations spécifiques concernant les informations financières qu'elles détiennent. Les échecs des audits de conformité résultant de contrôles insuffisants entraîneront des amendes de la part d'organismes de réglementation tels que la Financial Conduct Authority (FCA) et le Consumer Financial Protection Bureau (CFPB).

Dans le domaine des soins de santé, les prestataires doivent veiller à ce que personne n'accède, sans y être autorisé, aux informations de santé protégées (PHI), qui ne peuvent pas franchir les frontières et ne peuvent être consultées que dans le pays où réside le patient.

Pour la recherche pharmaceutique et le développement de médicaments, la perte de formules peut coûter des milliards de dollars en manque à gagner. La recherche et les innovations doivent être gardées secrètes au niveau de l'entreprise jusqu'à ce qu'un brevet soit déposé pour les protéger d'une utilisation illégale.

Les conséquences d'un mauvais contrôle de la sensibilité des informations ne sont pas seulement financières. Les fuites de données sont embarrassantes et nuisent à l'image de marque de l'entreprise et à la confiance des clients.

Les secrets d'État protègent les pays en limitant le développement d'armes étrangères, en protégeant la collecte de renseignements et en prévenant le terrorisme.

Exemples de sensibilité de l'information

L'un des moyens les plus efficaces d'apprécier la nécessité de la sensibilité de l'information est d'examiner quelques exemples de pertes de données très médiatisées :

En mai 2023, un journal allemand reçoit 23 000 fichiers contenant des informations sensibles sur les accidents de Tesla. Bien que les données soient protégées par des contrôles internes, un initié a divulgué les fichiers pour mettre son employeur dans l'embarras.
Yahoo a exposé 3 milliards de comptes d'utilisateur à des cyber-attaquants qui ont utilisé des informations de compte telles que des questions de sécurité et des mots de passe en clair pour obtenir l'accès.
Environ 90 % des données des utilisateurs de LinkedIn ont été exposées, notamment les adresses électroniques, les numéros de téléphone, les données de géolocalisation et le sexe. Ces données ont été mises en vente sur le dark web après avoir été récupérées grâce à une faiblesse de l'API de LinkedIn. Aujourd'hui, de telles organisations contrôlent les volumes de données grâce à l'accès à l'API.
En 2019, Facebook a découvert que 533 millions de données d'utilisateur étaient disponibles à la vente sur le dark web après avoir été volées.
Marriott (Starwood) a été condamné à une amende de 18,4 millions de dollars après le vol d'informations sensibles dans son système de réservation des clients en 2018. Cette violation a exposé des noms, des adresses électroniques et des informations sur les cartes de crédit.
En 2015, plus de 190 millions d'électeurs américains ont vu leur nom, leur adresse, leurs coordonnées et leur affiliation disparaître de la base de données nationale des électeurs. La base de données a été mal configurée, exposant des informations sensibles à l'internet ouvert.
En 2017, une clé USB non cryptée contenant des informations complètes sur la sécurité de l'aéroport d'Heathrow, y compris des badges, des cartes et l'emplacement des caméras de vidéosurveillance. Un chômeur a trouvé le disque dans la rue et l'a vendu à la presse britannique.

Protection des informations sensibles

L'un des meilleurs moyens de protéger les informations sensibles est d'évaluer de manière proactive qui a accès à ces informations et si ces personnes ont besoin d'y accéder. Les personnes disposant des privilèges nécessaires ne devraient avoir accès qu'aux données sensibles. L'accès devrait être basé sur les rôles et inclure un délai d'expiration pour limiter l'exposition.

Les données doivent être protégées au repos et en mouvement. L'accès approprié aux données sensibles doit limiter la capacité d'une personne à les partager. Les données peuvent être étiquetées afin que les mécanismes de sécurité puissent vérifier que l'accès provient d'une entité ayant le niveau d'habilitation approprié. Les niveaux d'habilitation permettent de classer les données gouvernementales afin d'en contrôler l'accès.

Le moyen le plus élémentaire de protéger les données est le mot de passe. La gestion des mots de passe permet de s'assurer qu'ils sont fréquemment modifiés et qu'ils contiennent un nombre précis de caractères et de symboles. Ils sont ainsi plus difficiles à deviner et il faut beaucoup de temps pour les décrypter en utilisant des méthodes de force brute. La sécurité biométrique ajoute un autre niveau de sécurité qui est utilisateur. L'authentification multifactorielle protège davantage les informations sensibles.

Le cryptage des données au repos et en mouvement constitue une garantie supplémentaire. Les clés AES (advanced encryption standard) les plus longues peuvent faire en sorte que le décodage des données prenne des centaines d'années.

La sécurité physique ne doit jamais être négligée. Garder des données sensibles dans un coffre-fort ou un bunker fonctionne pour les banques et les gouvernements. Les supports de sauvegarde doivent être protégés au moins autant que les données originales.

Lorsque l'entreprise doit partager des parties de données sensibles à des fins de vérification, le masquage de la valeur permet un accès limité avec un faible risque. Les émetteurs de cartes de crédit ont souvent besoin de vérifier l'identité d'un appelant pour les utilisateurs d'applications en ligne en utilisant uniquement les quatre derniers chiffres de leur numéro de sécurité sociale. Les relevés imprimés masquent généralement la plupart des numéros de carte de crédit afin de les protéger contre les fouilleurs de poubelles.

Lors de la création des données de test, les informations sensibles peuvent être mélangées ou obscurcies afin que les données réelles du client puissent être protégées et que les données de test soient représentatives des valeurs originales du jeu de données test.