Confidentialité des données en 2023 : Attentes, responsabilités et stratégies de cybersécurité pour sécuriser vos informations

Introduction

Alors que nos vies et notre travail sont de plus en plus numérisés, il y a un chevauchement intrinsèque entre les programmes de confidentialité des données et de cybersécurité. Imaginez deux cercles de taille similaire : si la confidentialité des données et la cybersécurité pouvaient autrefois se chevaucher en périphérie, leurs centres sont aujourd'hui presque superposés. Dans cet article, nous nous penchons sur la relation entre la confidentialité des données et la cybersécurité, puisque ces questions sont incontestablement liées et nous observons cette tendance dans les réactions, les publications et les normes du secteur.

Par exemple, en 2020, le National Institute of Standards and Technology (NIST, Institut national des normes et de la technologie) des États-Unis a publié le Privacy Framework (PF, cadre de confidentialité) et, peu après, a créé un tableau de concordance des contrôles avec le Cyber Security Framework (CSF, cadre de cybersécurité). En Europe, le règlement général sur la protection des données (RGPD) joue un rôle prépondérant en favorisant le respect de la confidentialité des données depuis 2018, influençant les décisions en matière de cybersécurité. Aujourd'hui, de plus en plus de juridictions non membres de l'Union Européenne (UE) déploient leurs propres contrôles législatifs et réglementaires fédéraux et régionaux, en particulier dans le domaine des informations personnelles identifiables (PII), des informations personnelles sur la santé (PHI) et de la protection des consommateurs.

Compte tenu de ces tendances, y a-t-il des méthodes permettant aux initiatives de confidentialité des données et de cybersécurité de collaborer afin de réduire le risque global pour l'organisation ? Oui, et nous allons présenter quelques domaines dans lesquels les deux initiatives peuvent collaborer. Nous nous attachons plus particulièrement à identifier les zones de chevauchement et les mesures à prendre pour élaborer un programme efficace, le tout dans le but de mieux protéger les données et de réduire les cyber-risques.

Cybersécurité et confidentialité des données : leurs différences et pourquoi elles sont indispensables l'une à l'autre

Les contrôles de cybersécurité sont généralement volontaires, à moins que des forces extérieures n'exigent la conformité (par exemple contrôles réglementaires, certification pour faire des affaires, obligation de notification, etc.). Mais la confidentialité des données a tendance à être obligatoire, par le biais de la législation et d'une réglementation bien définie. Par exemple :

• L'Europe dispose du RGPD, de la directive en matière de protection des données dans le domaine répressif, et de projets de loi tels que la législation sur les services numériques, la législation sur les marchés numériques et la législation sur l'intelligence artificielle.
• Aux États-Unis, outre les lois fédérales courantes telles que le Health Insurance Portability and Accountability Act de 1996 (HIPAA, loi sur la portabilité et la responsabilité des assurances-maladie), la loi Gramm-Leach-Bliley (GLBA), le Fair Credit Reporting Act (FCRA, loi sur les rapports de solvabilité équitables) et le Children's Online Privacy Protection Act de 1998 (COPPA, loi sur la protection de la confidentialité des enfants sur Internet), de plus en plus d'États proposent leur propre législation en matière de protection de la vie privée des consommateurs et de sécurité des données, comme le California Consumer Privacy Act (CCPA, loi californienne sur la protection de la vie privée) et la réglementation en matière de cybersécurité du New York Department of Financial Services (NYDFS, département des services financiers de New York).
• D'autres juridictions à travers le monde développent également leurs lois sur la confidentialité des données.

Mais on constate un paradoxe : les exigences numériques d'aujourd'hui, associées aux exigences législatives et réglementaires en matière de confidentialité des données, imposent des protections en matière de cybersécurité. Pensez-y comme ça :

• D'un point de vue législatif et réglementaire, les contrôles de cybersécurité peuvent être facultatifs ; mais
• Les contrôles obligatoires de la confidentialité des données, en raison de la numérisation, exigent des contrôles de cybersécurité.

Le chevauchement est donc immense, bien que le soutien et la mise en œuvre des contrôles puissent être très différents selon la perspective sous laquelle on aborde le problème.

L'adhésion à la confidentialité des données est-elle plus facile que celle à la cybersécurité ?

Les conséquences du non-respect des lois sur la confidentialité des données sont bien connues : amendes, litiges civils, perte de parts de marché et confiance brisée. Ainsi, comme les conséquences sont claires et tangibles du point de vue de la confidentialité des données, les améliorations apportées à votre programme de cybersécurité peuvent recueillir davantage de soutien si vos responsables de la sécurité de l'information, de la confidentialité des données et de la gestion des risques démontrent explicitement le chevauchement entre ces programmes distincts mais étroitement liés.

C'est la clarté des conséquences - notamment du point de vue de la confidentialité des données - qui devient le facteur de motivation pour l'amélioration. Comment ces fonctions peuvent-elles donc collaborer ?

Éliminez les inconnues

Vous devez répondre à deux questions liées aux données pour mettre en place un programme efficace :

• Quelles règles (par exemple lois, règlements, exigences de conservation, etc.) s'appliquent à vous ?
• Quelles données détenez-vous ?
  

En fonction de la taille et de la complexité de votre organisation (par exemple votre lieu d'activité, votre secteur d'activité, les forces extérieures qui influencent le traitement de vos données, etc.), les réponses à ces questions peuvent ne pas être évidentes. Voici quelques petits conseils pour aborder chaque question :

• Cartographiez les exigences par juridiction. Sans cette analyse, attendez-vous à rencontrer des angles morts. Vous pouvez tenter votre chance et supposer que les exigences les plus strictes sont respectées, mais cette approche est potentiellement inefficace, peut entraîner un mauvais retour sur investissement et ne tient pas compte des exigences juridictionnelles particulières. Prévoyez une contribution importante de la part de diverses sources (par exemple, le service juridique, la sécurité, la confidentialité, les unités commerciales, voire les fournisseurs).
• Triez, classez et priorisez les besoins. Une fois l'analyse juridictionnelle terminée, poursuivez l'examen du point de vue de la gestion des risques, ce qui permettra de hiérarchiser les risques. Cela signifie que vous devez connaître votre niveau de tolérance au risque. Par exemple, la juridiction X a des exigences incroyablement strictes, mais vos activités sont tellement limitées dans cette région que la décision commerciale la plus pertinente est de prendre un certain risque.
• Comparez ces exigences aux données que vous détenez. Cette tâche peut s'avérer délicate. Si vos données n'ont pas été classées ou doivent être reclassées dans des catégories conformes aux exigences des juridictions, vous pourriez être confronté à un angle mort important. Une fois que vous serez capable d'effectuer cette tâche, vous devriez être en mesure d'identifier les lacunes à combler.
• Validez les procédures de classification des données. Une classification des données bien gérée peut s'avérer salvatrice en raison des nombreux impacts en aval. La classification permet de définir les exigences en matière de segmentation, de provenance, de résidence et de conservation, et facilite le triage et l'identification lors des interventions.

Une fois ces tâches accomplies, vous pourriez finalement opter pour les exigences les plus strictes ; ce n'est pas une mauvaise approche, car vous avez au moins pris le soin de vous assurer qu'il n'y a pas d'angles morts. L'avantage supplémentaire d'utiliser les exigences les plus strictes est que l'analyse de la cartographie juridictionnelle vous a probablement bien positionné pour une couverture maximale, où seules quelques modifications sont requises par la juridiction.

En outre, cet exercice permet également d'identifier les données que vous n'avez pas besoin de conserver. La meilleure option pour minimiser les risques est parfois de ne pas recueillir de données ou de détruire les données détenues.

Les mauvaises décisions découlent de mauvaises informations

Vous devez également tenir compte d'une autre question importante : la fiabilité de votre analyse. L'uniformité des données joue un rôle important dans la production des principaux résultats et le maintien du bon fonctionnement des opérations (par exemple, les activités quotidiennes, le traitement et la sécurisation des données, et la facilitation de la réponse aux incidents). Par conséquent, toute opération qui ne cherche pas à normaliser les données aura du mal à produire les meilleurs résultats. Posez-vous les questions suivantes :

• Quels types de données (par exemple, propriété intellectuelle, client, PHI, etc.) détenez-vous ?
• Les types de données sont-ils séparés ? Si oui, comment ?
• Et, surtout, à quel point êtes-vous confiant dans ces réponses ?

Il existe un dicton dans le monde de l'informatique : telles entrées, telles sorties. C'est exactement la situation que vous voulez éviter, car cela vous oblige à prendre des décisions. Non seulement vos efforts en matière de confidentialité des données sont mis en péril, mais vous créez des inefficacités dans vos processus de réponse aux incidents et, plus concrètement, vous pourriez prendre de mauvaises décisions en matière d'activités commerciales.

Se préparer au pire

En supposant que votre parcours en matière de confidentialité des données en soit arrivé là, les dernières pièces du puzzle sont la maintenance du programme et la préparation aux violations. Les organisations matures mettront en place des processus permettant d'extraire automatiquement les exigences en matière de confidentialité des données. Du point de vue des violations, des matrices de recours hiérarchique prédéterminées, des voies de triage et des organigrammes de communication auront été élaborés et testés afin de développer une mémoire musculaire. Voilà les principes fondamentaux de solides programmes de confidentialité des données et de cybersécurité.

Conclusion : Relier la confidentialité des données à la cybersécurité

Dans une mini-série à venir en deux parties sur la cyberhygiène, nous étudierons comment un bon programme de cybersécurité peut découler de bonnes pratiques en matière de confidentialité des données. Dans un avenir immédiat, les clés du succès reposeront sur vos collaborateurs, et plus précisément sur la capacité des dirigeants à illustrer pourquoi la sécurité est importante pour les utilisateurs quotidiens, en allant au-delà de la manière d'agir en toute sécurité et en s'adaptant à l'évolution des environnements de travail.

Remerciements

Nous tenons à remercier George Platsis et Ron J. Yearwood Jr., CISSP, CISM, CIPM,, dont les connaissances et l'expertise ont grandement contribué à cette recherche.

En savoir plus sur le contributeur J.S. Held

George Platsis, CCISO, est directeur principal au sein du cabinet d'enquêtes internationales de J.S. Held. Il fournit des services de recherche et de découverte numériques. George a conçu et fourni des solutions et dirigé des équipes chargées d'améliorer la préparation aux violations, de concevoir des programmes de réponse aux incidents à l'échelle de l'entreprise et des unités commerciales, et d'élaborer des solutions de renforcement du parc informatique pour divers clients Fortune 100 dans les secteurs des soins de santé, des médias, des services financiers, de l'industrie, de la défense et de l'électronique commerciale. Dans le cadre du cabinet dédié à la cybersécurité, George joue un rôle de premier plan dans le développement et la prestation d'engagements proactifs de réponse aux incidents et de résilience. Il possède une vaste expérience dans l'ingénierie des programmes de réponse aux incidents au niveau de l'entreprise, l'évaluation de la préparation aux violations, à la continuité des activités et à la reprise après sinistre. Il s'appuie également sur des expériences passées d'engagements réactifs d'intervention en cas d'incident, d'enquêtes complexes et d'expérience de travail dans les domaines de la sécurité, de la gestion des urgences, de la planification en cas de pandémie et de la recherche sur les armes biologiques.

George peut être contacté à l'adresse [e-mail protégé] ou au +1 321 346 6441.