Qu’est-ce que la sécurité des données ?

La sécurité des données consiste à protéger les informations numériques contre tout accès non autorisé, toute corruption ou tout vol tout au long de leur cycle de vie. Le concept couvre tous les aspects de la sécurité de l’information, depuis la sécurité physique du matériel et des appareils de stockage jusqu’aux contrôles des administrateurs et des accès, en passant par la sécurité logicielle des applications. Les politiques et les procédures organisationnelles en font également partie.

Lorsqu’elles sont correctement exécutées, de solides stratégies de sécurité des données protègent les actifs informationnels des organisations contre les cybercriminels, mais aussi contre les menaces internes et les erreurs humaines, qui sont les principales causes de violation des données à l’heure actuelle. La sécurité des données implique le déploiement d’outils et de technologies qui donnent à l’organisation une meilleure visibilité sur l’endroit où sont stockées ses données critiques et sur la manière dont elles sont utilisées. Ces outils doivent idéalement offrir des protections comme le chiffrement, le masquage des données et la rédaction de fichiers sensibles. En outre, ils doivent proposer l’automatisation des rapports afin de simplifier les audits et de respecter les exigences réglementaires.


Défis à relever
La transformation numérique change radicalement la manière dont les entreprises et leurs concurrentes fonctionnent aujourd’hui. Le volume de données que les entreprises créent, manipulent et stockent ne cesse de croître, ce qui rend la bonne gouvernance des données plus nécessaire que jamais. De surcroît, les environnements informatiques sont plus complexes qu’autrefois car ils englobent désormais le cloud public, le centre de données de l’entreprise et de nombreux dispositifs périphériques comme les capteurs de l’Internet des objets (IoT), des robots ou des serveurs distants. Cette complexité augmente la taille du périmètre à surveiller et à sécuriser face aux attaques potentielles.
Parallèlement, les consommateurs sont de plus en plus sensibles aux questions de confidentialité des données et comprennent son importance. Répondant aux attentes du public, de nombreuses réglementations ont récemment été adoptées en matière de protection de la vie privée. Citons le Règlement général sur la protection des données (RGPD) en Europe et la Loi sur la protection des données personnelles des consommateurs résidant en Californie (CCPA). Ces réglementations viennent s’ajouter aux précédentes dispositions en matière de sécurité des données, comme la loi Health Insurance Portability and Accountability Act (HIPAA), qui protège les données numériques de santé ou la loi Sarbanes-Oxley Act (SOX), qui protège les actionnaires des entreprises publiques contre les erreurs comptables et les fraudes financières. Les sanctions pouvant aller jusqu’à plusieurs millions de dollars, chaque entreprise doit être très attentive à sa conformité pour protéger ses finances.

La valeur commerciale des données n’a jamais été aussi élevée qu’aujourd’hui. La perte d’accords commerciaux ou de propriété intellectuelle (PI) peut avoir un impact sur les innovations et la rentabilité. La fiabilité est de plus en plus importante aux yeux des consommateurs, 75 % d’entre eux déclarant qu’ils n’achèteront pas auprès d’entreprises qu’ils n’estiment pas dignes de confiance en matière de protection des données.  

Le chiffrement
Basées sur un algorithme transformant des caractères de texte normaux en un format illisible, les clés de cryptage brouillent les données afin que seuls les utilisateurs autorisés soient capables de les lire.  En rendant illisibles les contenus par chiffrement ou tokenisation, les solutions de chiffrement de fichiers et de bases de données sont l’ultime protection des volumes sensibles. La plupart des solutions intègrent également une gestion des clés de sécurité.

L’effacement de données
Plus sûr que la suppression standard des données, l’effacement des données utilise un logiciel pour éliminer complètement des données sur n’importe quel dispositif de stockage. Les données sont rendues irrécupérables.
 
Masquage des données
En masquant leurs données, les organisations permettent aux équipes de développer des applications ou de faire des formations en utilisant des données réelles. Les informations identifiant les personnes (PII) sont alors masquées lorsque cela est nécessaire pour que le développement puisse se faire dans des environnements conformes.

Résilience des données

La résilience désigne la capacité d’une organisation à subir ou à se rétablir de tout type de défaillance, qu’il s’agisse d’une défaillance matérielle, d’une coupure de courant ou d’autres événements affectant la disponibilité des données (PDF, 256 Ko). La vitesse de récupération est essentielle pour minimiser l’impact.

Les outils et technologies de sécurité des données doivent permettre de faire face à l’accumulation de défis liés à la sécurisation d’environnements informatiques complexes, distribués, hybrides et/ou multicloud actuels. L’objectif est de comprendre où résident les données, de savoir qui y a accès et de bloquer les activités suspectes et les mouvements de fichiers potentiellement dangereux. Les solutions complètes de protection des données, qui permettent aux entreprises de centraliser la surveillance et l’application des politiques simplifient cette tâche.

Outils de découverte et de classification des données
Les informations sensibles peuvent se trouver dans des répertoires de données structurés ou non, comme des bases de données, des entrepôts de données, des plateformes big data et des environnements cloud. Les solutions de découverte et de classification des données automatisent le travail d’identification des informations sensibles, ainsi que la détection et la correction des vulnérabilités.

Surveillance de l’activité des données et des fichiers
Les outils de surveillance de l’activité des fichiers analysent les modèles d’utilisation des données pour que les équipes de sécurité puissent savoir qui accède aux données, détectent les anomalies et identifient les risques. Des blocages et alertes dynamiques peuvent être configurés pour réagir aux modèles d’activités anormales.

Outils d’évaluation des vulnérabilités et d’analyse des risques
Ces solutions facilitent le processus de détection et d’atténuation des vulnérabilités que sont les logiciels obsolètes, les mauvaises configurations ou les mots de passe faibles. Elles peuvent également repérer les sources de données les plus à risque.

Rapports de conformité automatisés
Les solutions complètes de protection des données qui offrent des fonctions de création de rapports automatisés fournissent un répertoire centralisé pour les suivis d’audits de conformité à l’échelle de l’entreprise.

Une stratégie globale de sécurité des données comporte des personnes, des processus et des technologies. L’efficacité des contrôles et des politiques de sécurité dépend autant de la culture organisationnelle que de l’utilisation d’outils adéquats. Cela signifie que la sécurité des informations doit devenir une priorité dans tous les secteurs de l’entreprise.

Sécurité physique des serveurs et des appareils des utilisateurs
Que vos données soient stockées sur place, dans un centre de données d’entreprise ou dans un cloud public, vous devez vous assurer que les installations sont protégées contre les intrus, qu’elles disposent d’un système de sécurité incendie et d’un contrôle de température fiables. Un fournisseur de services cloud assumera ces responsabilités pour vous.

Gestion et contrôle des accès
Le principe du moindre privilège doit être appliqué à l’ensemble de votre environnement informatique. Ainsi, l’accès aux bases de données, au réseau et aux comptes administrateurs n’est accordé qu’à un nombre restreint de personnes, et seulement à celles qui en ont absolument besoin pour leur travail.

Plus d’informations sur la gestion des accès

Sécurité et correction des applications
Tous les logiciels doivent être mis à jour dès que possible après la publication de correctifs ou de nouvelles versions.

Sauvegardes
La conservation de copies de sauvegarde utilisables et testées en profondeur, de toutes les données critiques, est un des éléments clés d’une stratégie de sécurité des données solide. Il faut en outre appliquer aux sauvegardes les mêmes contrôles de sécurité physiques et logiciels que ceux utilisés pour l’accès aux bases de données primaires et aux systèmes centraux.

Plus d’informations sur la sauvegarde et la récupération des données

Formation des équipes
En sensibilisant les équipes à l’importance des bonnes pratiques de sécurité et de mots de passe et en leur apprenant à reconnaître les attaques reposant sur l’ingénierie sociale, elles deviennent des « pare-feu humains » qui peuvent jouer un rôle essentiel dans la protection de vos données.

Surveillance et contrôles de la sécurité des réseaux et des terminaux
La mise en place d’une suite complète d’outils et de plateformes de gestion, de détection et de réponse aux menaces dans votre environnement sur site et dans le cloud peut limiter les risques et réduire la probabilité d’une violation.

IA
L’IA renforce les capacités d’un système de sécurité des données car elle peut traiter de grandes quantités de données. L’informatique cognitive, une branche de l’IA, effectue les mêmes tâches que les autres systèmes d’IA, mais en simulant des modes de pensée humains. Elle permet une prise de décision rapide en cas de situation critique en matière de sécurité des données.

Plus d’informations sur l’IA pour la cybersécurité
 
Sécurité multicloud
La définition de la sécurité des données s’est élargie avec le développement des capacités du cloud. Aujourd’hui, les organisations ont besoin de solutions plus complexes, car elles doivent protéger non seulement les données, mais aussi les applications et les processus d’entreprise propriétaires qui fonctionnent dans les clouds publics et privés.

Plus d’informations sur la solution de sécurité dans le cloud

Quantique
Technologie révolutionnaire, le quantique promet de bouleverser de nombreuses technologies classiques. Les algorithmes de cryptage seront beaucoup plus variés, de plus en plus complexes et beaucoup plus sûrs.

Assurer la sécurité des données à l’échelle de l’entreprise
Une stratégie efficace de sécurité des données repose sur une approche fondée sur le risque afin de protéger les données dans l’ensemble de l’entreprise. Tôt dans la phase de conception de la stratégie, et tout en tenant compte des objectifs de l’entreprise et des exigences réglementaires, les responsables peuvent identifier une ou deux sources de données contenant les informations les plus sensibles, et commencer par là. Après avoir établi des politiques claires et rigoureuses pour protéger ces sources identifiées, ils peuvent ensuite étendre les mêmes pratiques au reste des actifs numériques de l’entreprise par ordre de priorité. La mise en place de capacités automatisées de surveillance et de protection des données peut faciliter l’évolutivité des meilleures pratiques.

Cloud et sécurité des données
La sécurisation des infrastructures basées dans le cloud appelle une approche différente du modèle traditionnel consistant à placer des défenses sur le périmètre du réseau. Cette sécurisation nécessite des outils complets de découverte et de classification des données dans le cloud, une surveillance continue des activités ainsi qu’une gestion des risques. Les outils de surveillance du cloud peuvent s’intercaler entre la solution DBaaS (database-as-a-service) d’un fournisseur cloud pour surveiller les données en transit ou rediriger le trafic vers votre plateforme de sécurité existante. Cela permet d’appliquer uniformément vos politiques, quel que soit l’endroit où se trouvent les données.

Sécurité des données et BYOD
L’utilisation d’ordinateurs, de tablettes ou de mobiles personnels est de plus en plus courante dans les entreprises, malgré les inquiétudes légitimes des responsables de la sécurité qui connaissent les risques qui en découlent. L’une des façons d’améliorer la sécurité dans un contexte bring your own device (BYOD) (prenez vos appareils personnels) est d’exiger des collaborateurs qu’ils installent sur leurs appareils un logiciel de sécurité pour accéder aux réseaux de l’entreprise. Cela permet de garder un contrôle centralisé et une visibilité sur l’accès aux données et leurs mouvements. Une autre stratégie consiste à instaurer une culture de la sécurité à l’échelle de l’entreprise, en encourageant les employés à utiliser des mots de passe robustes, l’authentification multifactorielle, à faire des mises à jour logicielles régulières, à sauvegarder leurs appareils et à les crypter tout en leur expliquant la valeur de ces gestes.