Qu'est-ce que la gestion des risques liés aux données ?

Vous feriez partie d'une minorité si vous n'aviez jamais entendu parler — ou n'aviez pas été personnellement concerné par — l'une des milliers de fuites de données qui se sont produites au cours de la dernière décennie. Pour n'en citer que quelques-unes :

• En 2013, Yahoo a été victime d'une violation de sécurité qui a exposé plus de trois milliards de comptes stockés sur ses serveurs, contenant notamment les noms, dates de naissance, numéros de téléphone et mots de passe des utilisateurs.
• En 2018, les données de 500 millions de clients de Marriott – notamment leurs noms, adresses postales, numéros de téléphone, adresses e-mail, numéros de passeport, dates de naissance, sexe, informations relatives à leur compte du programme de fidélité Starwood Preferred Guest, heures d’arrivée et de départ, ainsi que dates de réservation – ont été divulguées à la suite d’une violation de données.
• Les mots de passe de centaines de millions d'utilisateurs de Facebook ont été exposés, car Facebook stockait ces informations en texte clair, ce qui permettait à plus de 20 000 employés d'y avoir accès.

Alors que les grandes organisations sont celles qui sont susceptibles de faire les gros titres, les recherches menées par Beazley Breach Response Services montrent que 71 % des attaques par ransomware en 2018 ont en fait ciblé les petites entreprises.

Bien que les violations de données ne soient pas les seuls types de risques liés aux données qu'une organisation doit gérer, elles sont souvent les plus visibles. Pour éviter de faire la une des journaux, d'être l'objet de poursuites judiciaires ou de devenir une organisation non sécurisée, la gestion des risques liés aux données fait désormais partie intégrante de l'infrastructure informatique.

Qu'est-ce que la gestion des risques liés aux données et comment pouvez-vous la mettre en œuvre dans votre organisation ?

Qu'est-ce que la gestion des risques liés aux données ?

Le risque lié aux données est la possibilité d'une perte d'activité due à :

• Mauvaise gouvernance des données : l'incapacité d'une organisation à garantir la haute qualité de ses données tout au long de leur cycle de vie.
• Mauvaise gestion des données : processus insuffisants en matière d'acquisition, de validation, de stockage, de protection et de traitement des données destinées aux utilisateurs.
• Sécurité des données insuffisante : difficultés à protéger les données numériques contre des actions indésirables telles qu’une cyberattaque ou une fuite de données.

La gestion des risques liés aux données est le processus contrôlé qu'une organisation utilise lors de l'acquisition, du stockage, de la transformation et de l'utilisation de ses données, de la création à la suppression, afin d'éliminer les risques liés aux données.

Un système holistique de gestion des risques liés aux données minimise la capacité des données pouvant être exposées ou violées, et favorise également la productivité sur le lieu de travail grâce à des informations bien organisées et précises.

Pourquoi la gestion des risques liés aux données est importante

Lorsque les données d'une entreprise sont exposées ou mises en péril, des coûts directs et indirects sont associés à la faute professionnelle. Lorsque des données sont en danger, une entreprise peut être tenue responsable des dépenses à couvrir :

• Réparer les dommages causés par une attaque sur son infrastructure informatique
• Coûts liés à la fuite d'actifs, y compris les amendes réglementaires et les coûts de consultation juridique
• Augmentation du travail manuel pour le temps nécessaire à la maîtrise d'un incident
• Interruptions de service des centres de données et perte de continuité d'activité
• Diminution de la productivité sur le Workplace
• Perte de la valeur de la marque et de la réputation

Les risques liés aux données qui ne sont pas identifiés, gérés et atténués se traduisent souvent par des fuites de données, lesquelles sont particulièrement coûteuses. Selon l’étude « Cost of a Data Breach Study » réalisée en 2018 par Ponemon, le coût moyen mondial d’une fuite de données s’élève à 3,86 millions de dollars, le coût moyen par enregistrement perdu ou volé contenant des informations sensibles et confidentielles est de 148 dollars par enregistrement, et les coûts liés aux fuites ont augmenté d’année en année.

Alors que les coûts associés aux risques liés aux données ne cessent d'augmenter, la protection et la conservation des données sont essentielles pour les organisations.

Risques liés aux données à surveiller

Les lacunes d'un plan de gestion des risques liés aux données entraînent des vulnérabilités dans les domaines suivants :

• Prisonnier d'une solution propriétaire : les fournisseurs de SaaS peuvent, en substance, prendre vos données en otage si vous décidez de changer de fournisseur. Plus précisément, le « prisonnier d'une solution propriétaire », également appelé « prisonnier d'un fournisseur », peut mettre vos données en danger lorsque les fournisseurs limitent ou rendent excessivement coûteux le transfert des données, des applications et de l'infrastructure, ainsi que le transfert des compétences du personnel, lors d'un changement de fournisseur.
• Panne d'un périphérique de stockage : tout problème, qu'il s'agisse d'un dysfonctionnement mécanique ou d'une attaque par logiciel malveillant, peut entraîner une perte de données en cas de panne de votre périphérique de stockage. Limitez les coûts et les risques en mettant en place une sauvegarde des données et un système de stockage à sécurité intégrée.
• Corruption des données : entre les erreurs humaines, les fuites de données et les dysfonctionnements des bases de données, votre entreprise peut être confrontée à des problèmes de corruption des données. Or, des données inexactes ou corrompues constituent un danger pour la réputation de votre marque et pour votre productivité globale.
• Rémanence des données : on appelle « rémanence des données » les données qui subsistent au sein de votre organisation, même après des tentatives de suppression. Ces données résiduelles sont particulièrement dangereuses, car votre organisation peut ignorer leur existence et elles peuvent facilement être divulguées à votre insu.
• Conformité des données : tout manquement à une gestion adéquate des données, ou au non-respect des lois et réglementations en vigueur dans le secteur, entraînera des amendes et des conséquences juridiques.
• Failles de sécurité : les cybercriminels recherchent les failles de votre système de sécurité, qu'il s'agisse d'un logiciel non mis à jour ou d'employés susceptibles de se faire piéger par une attaque d'ingénierie sociale; toute faille de sécurité constitue un risque pour vos données.
• Données inutilisées : également appelées « données obscures », il s'agit des ressources qu'une organisation collecte, traite et stocke, mais qu'elle n'utilise pas. Conserver des données obscures au-delà de leur durée de vie peut entraîner inutilement des risques de sécurité, des problèmes de conformité et des difficultés de stockage.

La sauvegarde de vos données est un moyen de limiter au maximum les dommages causés par chacun de ces risques, should they occur, car elle permet de restaurer rapidement et facilement un fichier isolé ou l'ensemble d'un stock de données, quels que soient les risques auxquels vous avez été confrontés.

Meilleures pratiques en matière de gestion des données et de gestion des risques liés aux centres de données

Le nombre de modèles de gestion des données augmente continuellement pour répondre à l'évolution constante des exigences réglementaires et commerciales, ainsi qu'à l'accumulation des données d'entrée. Rester à la pointe des meilleures pratiques en matière de gestion des données est essentiel pour le succès de votre organisation. Les données étant stockées à plusieurs endroits, il est toujours essentiel de s'assurer que vous protégez à la fois les données et l'infrastructure, qu'il s'agisse des centres de données ou des machines des utilisateurs finaux.

Selon l'Institut national des normes et des technologies(NIST), les meilleures pratiques actuelles en matière de gestion des données comprennent :

• Définir l'étendue de l'analyse des risques en fonction de l'infrastructure et de la technologie
• Identifier et définir les menaces et les risques
• Évaluer la probabilité d'occurrence et l'impact des risques
• Évaluer la qualité des contrôles existants
• Évaluer les risques et déterminer les réponses
• Développer, tester et mettre en œuvre des plans de traitement des risques
• Assurer un suivi et un retour d'information continus
• Répondre aux opportunités identifiées

Réduisez les risques de perte de données grâce à des sauvegardes fiables

Veillez également à ce que votre entreprise dispose d'une solution de sauvegarde et de reprise après sinistre (BDR). Les solutions BDR permettent de réaliser des instantanés de vos données plusieurs fois par jour, ce qui vous permet d'éliminer les temps d'arrêt et de garantir la continuité de vos activités, puisque vos informations peuvent être restaurées à l'état antérieur à la perte de données en quelques secondes.

Datto SIRIS est une solution fiable et tout-en-un de sauvegarde et de reprise après sinistre (BDR), conçue pour les prestataires de services gérés (MSP) afin de prévenir la perte de données et de réduire au minimum les temps d'arrêt chez leurs clients.

Pour en savoir plus sur Datto SIRIS , consultez la page du produit ou demandez une démonstration dès aujourd’hui.