Revision sheet: Gestion de la sécurité des données d'entreprise

📋 Plan du Cours

1. Données critiques de l’entreprise
2. Risques et impacts des pertes
3. Données métiers et services utilisateurs
4. États des données
5. Sécurisation selon l’état des données
6. Cycle de vie de l’information
7. Rôles et responsabilités des données
8. Classification et technologies de sécurité

📖 1. Données critiques de l’entreprise

🔑 Notions clés & Définitions

• Données critiques pour l’entreprise : Des données critiques regroupent les informations indispensables au fonctionnement et aux décisions d’une organisation.
• Niveau de criticité : Le niveau de criticité indique à quel point une donnée est essentielle pour l’entreprise et guide le niveau de protection à appliquer.
• Analyse d’impact sur l’activité BIA : La Business Impact Analysis sert à repérer les fonctions dépendantes des données et à mesurer l’effet d’une détérioration ou d’une perte.

📝 Points essentiels

• La classification des données critiques est présentée comme une première étape pour sécuriser les données d’une organisation.
• Le niveau de criticité dépend de l’importance des informations pour permettre à l’organisation de fonctionner correctement.
• Les données critiques peuvent inclure des revenus, tendances émergentes, plans de marché, bases de données, documents, feuilles de calcul et courriels.
• La BIA détermine les processus et fonctions dépendants ou interagissant avec les données critiques.
• La perte de données critiques peut fortement affecter le fonctionnement de l’organisation.

📖 2. Risques et impacts des pertes

🔑 Notions clés & Définitions

• Atteinte à la marque : Une atteinte à la marque correspond aux dommages visibles pour l’image de l’organisation après une perte ou une exposition de données.
• Perte d’avantage concurrentiel : La perte d’avantage concurrentiel décrit le recul de compétitivité causé par une compromission ou une disparition de données.
• Sanctions et pénalités réglementaires : Les sanctions et pénalités réglementaires désignent les conséquences imposées après une violation ou un manquement aux obligations de protection des données.

📝 Points essentiels

• La perte de données peut nuire à l’activité et à la réputation de l’organisation.
• Les effets listés incluent perte de clients et de part de marché, érosion de la valeur pour les actionnaires et litiges.
• Des pertes peuvent entraîner amendes, procédures judiciaires et coûts de communication des parties concernées.
• Les causes citées comprennent vol ou perte d’ordinateurs portables, transferts non autorisés vers USB et mauvaise classification de données sensibles.
• La sécurité des données est présentée comme indispensable car les violations et cyberattaques augmentent avec l’expansion des réseaux.

📖 3. Données métiers et services utilisateurs

🔑 Notions clés & Définitions

• Données métiers : Les données métiers constituent le noyau informationnel de l’entreprise utilisé pour piloter et exécuter les activités quotidiennes.
• Données clients : Les données clients regroupent les informations relatives aux clients, incluant profil, historique d’achat et support.
• Données personnelles identifiables PII : Les PII sont des données permettant d’identifier une personne, comme un nom ou un numéro de téléphone, et nécessitent une protection renforcée.

📝 Points essentiels

• Les données métiers sont liées à la prise de décision, aux opérations quotidiennes, à la gestion des clients et à la gestion financière.
• Les départements cités comme utilisateurs incluent R&D, service client, finance et ressources humaines ou service juridique.
• Les données manipulées sont classées en données d’entreprise, données clients, données de transaction et PII.
• Les services produisent, consultent ou modifient des données, ce qui élargit la surface d’accès.
• Les données personnelles identifiables sont qualifiées de sensibles et doivent être protégées.

📖 4. États des données

🔑 Notions clés & Définitions

• Données au repos data at rest : Les données au repos sont des données inactives stockées sur un support ou une sauvegarde, sans circulation active sur le réseau.
• Données en cours d’utilisation data in use : Les données en cours d’utilisation correspondent à des données traitées ou consultées par la RAM, le CPU ou une base de données.
• Données en transit data in transit : Les données en transit sont des données qui circulent d’un endroit à un autre via un réseau pendant une communication.

📝 Points essentiels

• Les données au repos ne sont pas utilisées directement par une application ou un programme et restent dans un état stable.
• Les données en cours d’utilisation peuvent être mises à jour, supprimées, traitées, consultées ou lues par le système.
• Les données en transit peuvent être chiffrées avant ou pendant la transmission.
• Des exemples de données en transit incluent un courrier électronique en cours d’envoi.
• Un pare-feu est présenté entre réseau interne et Internet pour contrôler le trafic et bloquer les accès non autorisés.

📖 5. Sécurisation selon l’état des données

🔑 Notions clés & Définitions

• Chiffrement des données : Le chiffrement transforme les données pour les rendre illisibles sans autorisation, afin de protéger secrets, données classifiées et données personnelles.
• Contrôle strict de l’accessibilité : Le contrôle strict de l’accessibilité regroupe des mesures pour limiter précisément qui peut accéder aux données et dans quelles conditions.
• Chiffrement SSL TLS : SSL/TLS désignent des protocoles de sécurisation de la communication utilisés pour protéger des données en transit.

📝 Points essentiels

• Pour les données au repos, des contrôles cités incluent chiffrement des données, protection par mot de passe, tokenisation, ou techniques d’authentification.
• Pour les données en cours d’utilisation, des contrôles cités incluent chiffrement complet de la mémoire et gestion forte des identités.
• Pour les données en transit, des contrôles cités incluent SSL et TLS et des outils de chiffrement des emails comme PGP ou S/MIME.
• Des contrôles cités pour les données en transit incluent aussi le recours à SSL/TLS, et l’encadrement par pare-feu.
• Le besoin de mesures adaptées à chaque état est présenté comme nécessaire pour améliorer proactivement la sécurité.

📖 6. Cycle de vie de l’information

🔑 Notions clés & Définitions

• Gestion du cycle de vie de l’information : La gestion du cycle de vie de l’information suit le passage des données, de leur création à leur destruction, afin d’assurer leur bonne gestion.
• Création / Collecte : La création et la collecte regroupent la production ou la récupération des données dans un environnement contrôlé.
• Stockage / Conservation : Le stockage et la conservation consistent à archiver ou maintenir des données pour obligations légales, analyses ou audits.

📝 Points essentiels

• Le cycle de vie est présenté comme utile pour satisfaire des exigences juridiques, réglementaires et concurrentielles.
• Les étapes principales listées incluent création/collecte, organisation, utilisation, remédiation, stockage/conservation et effacement/destruction.
• À la création/collecte, des métadonnées sont produites pour faciliter l’identification et la gestion ultérieure.
• L’organisation prévoit classification et étiquetage (tagging), ainsi qu’indexation pour faciliter la gestion.
• L’effacement/destruction doit supprimer sans laisser de résidus exploitables, conformément aux politiques de destruction.

📖 7. Rôles et responsabilités des données

🔑 Notions clés & Définitions

• Propriétaire des données Data Owners : Le propriétaire des données dispose d’un contrôle total et décide des accès et modifications des données au sein d’une organisation.
• Responsable du traitement des données : Le responsable du traitement collecte les données et détermine comment et pourquoi elles sont traitées dans l’organisation.
• DPO Délégué à la protection des données : Le DPO supervise la protection des données, veille à la conformité et accompagne les acteurs sur leurs droits et responsabilités.

📝 Points essentiels

• Seuls les propriétaires des données décident qui peut accéder ou modifier les données et ils approuvent les glossaires de données.
• Le responsable du traitement organise la collecte du consentement et la gestion des droits d’accès pour garantir la conformité.
• Le data processor traite les données pour une mission définie et n’est pas propriétaire des données personnelles.
• Le Data Custodian est présenté comme proche du rôle informatique et gère infrastructure, sécurité et implémentation de règles métiers.
• Le DPO réalise ou supervise audits de sécurité, formation, conseils et tenue d’un registre d’activités de traitement.

📖 8. Classification et technologies de sécurité

🔑 Notions clés & Définitions

• Classification des données : La classification attribue des niveaux de sensibilité aux données pendant qu’elles sont générées, modifiées, sauvegardées ou transmises.
• Masquage des données Data Masking : Le masquage remplace certaines parties par des caractères ou codes aléatoires pour protéger des données sensibles.
• Résilience des données et sauvegarde : La résilience par sauvegarde consiste à créer des copies pour restaurer des données critiques en cas de perte ou corruption.

📝 Points essentiels

• La classification permet de déterminer le niveau de criticité et donc le niveau de sécurité à appliquer aux données métier.
• Les cinq niveaux listés vont de Très secret à Documents publics, avec des exemples et des accès restreints au personnel autorisé.
• Le chiffrement rend l’information illisible sans autorisation et s’applique aux secrets d’entreprise, données classifiées et personnelles.
• Le masquage protège notamment les PII et sert aussi contre les menaces internes (insider threats).
• La sauvegarde et la conservation soutiennent la récupération, alors que la destruction vise à supprimer définitivement les données.

📊 Tableaux de synthèse

États des données et exemples

⚠️ Pièges & confusions fréquents

1. Confondre des données au repos avec des données en cours d’utilisation : au repos elles ne circulent pas activement et ne sont pas directement utilisées par une application.
2. Croire que les mêmes contrôles conviennent à tous les états : le cours présente des mesures distinctes selon au repos, en utilisation et en transit.
3. Oublier le lien entre classification et criticité : la classification sert à fixer le niveau de sécurité, pas seulement à “étiqueter” des fichiers.
4. Assimiler le data processor au propriétaire des données : le processeur traite sur instruction et n’est pas propriétaire des données personnelles.
5. Rater l’objectif du cycle de vie : il ne s’agit pas uniquement de stocker, mais aussi d’organiser, remédier, conserver et détruire sans résidus exploitables.
6. Confondre data masking et chiffrement : le masquage remplace des parties par des valeurs aléatoires, tandis que le chiffrement rend illisible via une transformation contrôlée.
7. Sous-estimer l’impact d’une perte : le cours liste aussi des amendes, litiges, érosion de valeur et coûts de remédiation/communication.

✅ Checklist Examen

1. Définir ce que sont des données critiques et expliquer le rôle du niveau de criticité.
2. Expliquer comment une BIA identifie fonctions/processus dépendants et évalue l’impact d’une perte.
3. Citer au moins quatre effets possibles d’une perte de données (marque, clients, amendes, litiges, réputation, etc.).
4. Citer des causes de perte mentionnées (vol d’appareils, USB, mauvaise classification, impression/copie, intrusion, transmission involontaire).
5. Lister les services utilisateurs des données métiers (R&D, service client, finance, RH/juridique) et le type de données associé à chacun.
6. Classer les catégories de données manipulées (données d’entreprise, clients, transaction et PII) et dire ce que sont les PII.
7. Distinguer données au repos, en cours d’utilisation et en transit avec un exemple pour chaque état.
8. Donner au moins deux contrôles de sécurité associés aux données au repos, deux à l’utilisation et deux au transit (selon les listes du cours).
9. Décrire le cycle de vie de l’information et citer les étapes principales dans le bon ordre (création/collecte, organisation, utilisation, remédiation, stockage/conservation, effacement/destruction).
10. Pour le cycle de vie, expliquer le rôle des métadonnées à la création/collecte et l’exigence “sans résidus exploitables” lors de la destruction.
11. Définir au moins trois rôles (Data Owner, responsable du traitement, DPO) et citer 2 responsabilités distinctives pour chacun.
12. Donner les cinq niveaux de classification (Très secret, Highly Confidential, Proprietary, Internal Use, Public) et préciser l’idée d’accès restreint/contrôle de modification.
13. Citer des technologies de sécurité (contrôle d’accès, chiffrement, masquage, sauvegarde/résilience, destruction, conservation) et le but associé à au moins trois d’entre elles.