Les étapes clés d'une gestion efficace des violations de données

La mise en place d’un plan de gestion des violations de données garantit que le personnel et les procédures adéquats sont en place pour faire face efficacement à une menace.

Imaginez la panique qui s’empare de tout le monde lorsqu’une fuite massive de données est détectée, une fuite qui dure peut-être depuis des mois. En 2017, Equifax a alerté le monde entier du vol de plusieurs millions d’enregistrements de données dont elle avait la charge.

Ce vol a été rendu possible par une vulnérabilité dans Apache Struts, un framework de développement très répandu. Equifax avait connaissance de cette vulnérabilité, mais l’employé chargé d’appliquer le correctif ne l’a pas fait. Il s’en est suivi une série d’événements malheureux, notamment l’incapacité des outils de détection de correctifs à identifier d’autres vulnérabilités, aggravée par plusieurs erreurs humaines de la part des opérateurs.

Depuis, Equifax a dépensé environ 1,4 milliard de dollars (1 milliard de livres sterling) pour renforcer sa sécurité. L’entreprise s’est également vu infliger une amende d’un demi-million de livres sterling par le Bureau du commissaire à l’information (ICO) du Royaume-Uni, et l’ancien directeur informatique d’Equifax a été condamné à quatre mois de prison pour avoir tiré un profit personnel de cette violation de données. La fuite de données chez Equifax a été un véritable cauchemar pour l’entreprise.

En « se mettant à la place de quelqu’un d’autre », vous pouvez comprendre comment chaque service d’une organisation gère efficacement les incidents liés à la violation de données. En réfléchissant à la manière dont chaque service peut contribuer à atténuer la chaîne d’événements menant à une violation de données, vous pouvez gérer plus efficacement l’exposition des données.

Les modalités et les raisons de la gestion des violations de données

Les violations de données concernent l’ensemble du personnel d’une organisation. De même, chacun peut contribuer à prévenir ou à minimiser l’impact d’une violation de données. Vous trouverez ci-dessous un aperçu des différentes responsabilités relevant de cinq domaines clés au sein d’une organisation, ainsi que le type de responsabilités qui incombent à chacun dans la gestion d’une violation de données.

L’équipe chargée des incidents de sécurité

La gestion et la prévention des fuites de données constituent le pilier de l’équipe chargée des incidents de sécurité. Cette équipe est de plus en plus sollicitée à mesure que les fuites de données se multiplient et gagnent en gravité. Son rôle est essentiel dans la gestion d’une fuite de données, et l’équipe s’appuie sur un processus rigoureux pour mener à bien cette mission. L’équipe de sécurité doit pouvoir s’appuyer sur un plan d’intervention en cas d’incident et un plan de reprise après sinistre pour l’aider à contenir la violation. Ces plans permettent de définir les mesures à prendre dès qu’une violation se produit.

Les étapes habituelles de la maîtrise et de la gestion d’une violation comprennent :

Vérifiez qu’il s’agit bien d’une violation

Cela peut sembler aller de soi, mais veillez à confirmer que la violation a bien eu lieu et à déterminer si elle affecte des données confidentielles ou sensibles. Les données recueillies lors de l’analyse de la violation seront nécessaires si celle-ci est suffisamment grave pour nécessiter une notification à une autorité de contrôle. Les informations à recueillir et à consigner comprennent :

• • Comment la faille a-t-elle été détectée ?

• • Où cela s’est-il produit ?

• • Qui est concerné (y compris les fournisseurs de l’écosystème) ?

• • Qui a signalé cette violation ?

• • La ou les dates auxquelles les infractions ont eu lieu

• • Quel est le niveau de risque que cette violation représente pour l’organisation, les clients, etc. ?

• • La fuite est-elle désormais entièrement maîtrisée ?

Comment cette faille s’est-elle produite ?

Une analyse de la violation est non seulement nécessaire pour des raisons de conformité, mais elle peut également contribuer à limiter les risques futurs d’exposition des données. Les mécanismes à l’origine des violations sont variés. Les données peuvent être exposées par divers moyens, tant accidentels que malveillants. Identifiez ces mécanismes : s’agissait-il d’une divulgation accidentelle par un collaborateur ou d’un piratage malveillant ? Comprendre les vecteurs et les tactiques utilisés peut aider à limiter l’exposition et à atténuer l’attaque.

Le type de données concernées

Il est essentiel de pouvoir déterminer le niveau de risque des données concernées, tant pour la notification de la violation que pour la conformité, ainsi que pour comprendre l’impact global sur l’entreprise. Documentez le type et le niveau de risque des données faisant l’objet de la violation. Une organisation devrait déjà avoir mis en place un système de classification basé sur une norme telle que l’ISO 27001. Cette norme définit quatre catégories de données :

1. 1. Confidentiel (accès réservé à la direction)

1. 1. Accès restreint (la plupart des employés y ont accès)

1. 1. Interne (accessible à tous les salariés)

1. 1. Informations publiques (accessibles à tous)

Confinement et récupération

Une fois qu’une faille a été détectée, il est essentiel de la contenir le plus rapidement possible. Les mesures prises au cours de l’analyse de la faille permettront d’élaborer une stratégie de confinement. Les failles impliquant des collaborateurs peuvent nécessiter une révision de la formation à la sensibilisation à la sécurité. Les failles impliquant des pirates informatiques malveillants externes nécessiteront une analyse plus approfondie des systèmes et la mise en place de mesures d’atténuation. Des plans de reprise doivent être mis en place afin de minimiser l’impact de la faille.

Affaires juridiques et conformité

L’ensemble des pièces justificatives rassemblées concernant la violation est utilisé par les services juridiques et de conformité pour gérer les conséquences de celle-ci. Les équipes juridiques et de conformité détermineront si la violation relève de l’obligation de notification ; par exemple, en vertu de l’article 67 de la loi britannique de 2018 sur la protection des données (DPA 2018), une notification de violation de données doit être adressée à l’ICO dans les 72 heures suivant la prise de connaissance de la violation par l’entreprise. L’ensemble des éléments de preuve documentés relatifs à la violation – notamment le lieu, la cause et les mesures prises pour en atténuer les effets –, recueillis par l’équipe de sécurité, sera utilisé dans le cadre de cette divulgation. Il peut également être nécessaire de signaler la violation à toute personne concernée. Cela peut nécessiter la publication d’une lettre d’information complète sur le site web de l’entreprise.

Règles de notification

Un élément essentiel de la gestion juridique d’une violation de données consiste à prendre une décision éclairée quant à la nécessité et au moment opportun de signaler cette violation à l’autorité de contrôle. Des questions telles que « Existe-t-il une obligation réglementaire de signaler la violation ? » ne peuvent être tranchées que par un personnel qualifié et compétent. Cette décision peut nécessiter la divulgation publique de la violation : cela a des répercussions évidentes et durables sur la réputation de l’entreprise et impliquera probablement le service marketing afin de minimiser l’impact sur la marque. Voici quelques exemples d’avis publics de violation :

Fuite de données chez Equifax

Fuite de données chez CapitalOne

Faille de sécurité sur Twitter

Les règles relatives à la notification des violations varient selon les différentes réglementations. Par exemple, conformément au Règlement général sur la protection des données (RGPD) de l’Union européenne, la notification d’une violation doit être effectuée dans les 72 heures suivant la constatation de celle-ci. Toutefois, en vertu du règlement sur la vie privée et les communications électroniques (PECR, règlement applicable aux fournisseurs de services Internet et de télécommunications), une violation de données à caractère personnel doit être signalée à l’ICO au plus tard 24 heures après sa détection.

Le personnel

En associant le personnel au processus de gestion des incidents, celui-ci devient un atout de premier plan dans la lutte contre les cyberattaques. Le personnel et les services de sécurité couvrent un large éventail de vulnérabilités potentielles, allant de la divulgation accidentelle de données au hameçonnage, en passant par la collusion avec des pirates informatiques externes.

Selon le rapport 2020 de Verizon sur les enquêtes relatives aux fuites de données (DBIR), environ 17 % des fuites de données sont simplement imputables à des erreurs. Par exemple, le fait que des employés partagent leurs mots de passe ou les réutilisent sur plusieurs applications constitue une mauvaise pratique en matière de sécurité.

Le phishing reste l’arme de prédilection des cybercriminels ; les hameçonneurs adorent se faire passer pour des marques telles que Microsoft afin d’inciter les utilisateurs à leur communiquer leurs identifiants professionnels. Les formations de sensibilisation à la sécurité permettent aux collaborateurs de découvrir les nombreuses mesures positives qu’ils peuvent mettre en œuvre pour contribuer à maintenir un bon niveau de sécurité au sein de l’entreprise.

En matière de gestion des violations de données, la sensibilisation du personnel doit aller jusqu’à la compréhension de ses responsabilités au regard de diverses réglementations, notamment celle de veiller à ce que les données des clients soient respectées et utilisées dans le cadre de la législation, telle que la loi DPA 2018 et le RGPD. En identifiant les points de vulnérabilité susceptibles de donner lieu à une violation et en comprenant les responsabilités qui leur incombent en vertu des différentes réglementations applicables, une organisation peut impliquer son personnel dans le processus de gestion des violations.

Il est toutefois important de former le personnel à un niveau adapté. Certains membres du personnel, tels que les techniciens, peuvent avoir besoin d’une formation spécialisée en matière de sécurité et/ou de passer une certification.

Les nouveaux collaborateurs doivent être intégrés dès le premier jour aux programmes de sensibilisation à la sécurité de l’organisation. Des bilans réguliers de la formation à la sensibilisation à la sécurité du personnel doivent être effectués dans des domaines tels que :

• • Hameçonnage

• • Hygiène de sécurité

• • Sensibilisation aux responsabilités en matière de sécurité des données

…doit être poursuivie pour rester efficace.

La formation à la sensibilisation à la sécurité devrait être intégrée à la politique de sécurité de l’entreprise dans le cadre d’un processus de gestion des violations de données.

Fournisseurs tiers

Les écosystèmes de fournisseurs peuvent être complexes et impliquer des « quatrièmes » et « cinquièmes » parties. Un rapport récent d’Accenture, intitulé «State of Cyber Resilience 2020 », a révélé que 40 % des failles de sécurité trouvent leur origine dans des attaques indirectes au niveau de la chaîne d’approvisionnement. La gestion des risques liés aux fournisseurs fait partie intégrante d’une gestion efficace des violations de données. Les violations de données liées aux fournisseurs doivent être envisagées sous deux angles. Outre la réalisation d’une analyse de vulnérabilité des maillons de la chaîne d’approvisionnement afin d’atténuer les cyberattaques, lorsqu’une violation se produit, l’écosystème des fournisseurs doit être analysé pour déterminer si la violation a des répercussions sur le fournisseur.

Le Conseil d’administration

Un rapport du gouvernement britannique intitulé« Cyber Security Breaches Survey 2021 »a révélé que 77 % des entreprises estiment que la cybersécurité constitue une priorité majeure pour leurs dirigeants ou cadres supérieurs. En raison de la grande visibilité dont bénéficient les violations de données, de plus en plus de conseils d’administration comptent désormais parmi leurs membres des experts en matière de sécurité. Lorsqu’une violation de données se produit, un conseil d’administration bien informé peut aider le reste de l’organisation à gérer cette situation, en veillant au respect des exigences réglementaires et en s’assurant qu’un budget est disponible pour gérer la violation et atténuer les risques de nouvelles attaques.

Les employés savent-ils comment réagir en cas de violation de données ?

La mise en place de mesures de gestion des violations de données relève de l’ensemble de l’entreprise. L’un des éléments clés d’une gestion efficace des violations de données réside dans la manière dont vous formez votre personnel. La pertinence est essentielle pour garantir que la gestion des incidents soit efficace au sein de votre organisation. Chaque organisation doit élaborer sa propre approche, pertinente et unique, en matière de signalement et de gestion des violations de sécurité.

Pour aller au fond des choses et optimiser la sensibilisation, il faut commencer par les personnes et les processus. Chaque aspect, du moindre détail à la vision d’ensemble, doit être suffisamment approfondi pour garantir que votre politique de gestion des incidents soit solide et compréhensible par l’ensemble du personnel. Cela doit inclure :

Moyens de communication: des numéros de téléphone utilisés à l’adresse e-mail ou à tout autre système utilisé pour signaler une violation

Rôles et responsabilités: présentation des responsables d’incident concernés et de leurs responsabilités

Mesures: qui fait quoi, quand et comment chacun remplit son rôle pour contribuer à la gestion d’une fuite de données

Mesures correctives: comment remédier à la faille et enseignements tirés, y compris toute mise à jour de la formation à la sensibilisation à la sécurité

Dans les grandes multinationales, ces canaux de communication doivent s’étendre à l’ensemble de l’organisation, afin de rapprocher les différents services et sites de l’entreprise.

Tout le monde doit adhérer à ce projet, des employés aux cadres en passant par les membres du conseil d’administration.