DOSSIER

FACE AU PHÉ­NO­MÈNE RÉCURRENT DES FUITES MASSIVES DE DON­NÉES, MAIS AUS­SI AU RESSERREMENT DE LA RÉ­GLE­MEN­TA­TION RE­LA­TIVE À LA PRO­TEC­TION DES DON­NÉES PER­SON­NELLES, LES EN­TRE­PRISES DOIVENT ABORDER CETTE QUES­TION SOUS UN NOU­VEL ANGLE. VOI­CI L’ÈRE DU « PRIVACY BY

L'Informaticien - - SOMMAIRE -

Privacy by de­si­gn : com­ment le mettre en place

Avec l’en­trée en vi­gueur pro­chaine de la RGPD, la pro­tec­tion des don­nées per­son­nelles est au coeur des pré­oc­cu­pa­tions des directions in­for­ma­tiques. Alar­mées par le mon­tant des amendes po­ten­tielles en cas de fuite des don­nées ou de trai­te­ments non au­to­ri­sés de don­nées per­son­nelles, les DSI doivent chan­ger d’ap­proche sé­cu­ri­taire. En ef­fet, pro­té­ger des don­nées sen­sibles en ac­ti­vant le chif­fre­ment de la base de don­nées ou en ajou­tant un WAF ( Web Ap­pli­ca­tion Fi­re­wall) de­vant les ser­veurs concer­nés ne suf­fit pas, il est né­ces­saire d’adop­ter une ap­proche bien plus glo­bale et pas­ser au « Privacy by De­si­gn » . Cette ap­proche a été for­ma­li­sée dès les an­nées quatre- vingt- dix par Ann Ca­vou­kian, com­mis­saire à l’in­for­ma­tion et à la pro­tec­tion de la vie pri­vée de l’On­ta­rio. « Por­tée par la dé­fense des li­ber­tés fon­da­men­tales de l’in­di­vi­du, Ann Ca­vou­kian a ima­gi­né le concept de Privacy by De­si­gn comme une dé­marche qui vise à as­su­rer la pro­tec­tion de la vie pri­vée » , ex­plique Ales­san­dro Fio­ren­ti­no, consul­tant en charge de l’offre In­for­ma­tique et Li­ber­tés au sein de la pra­tique SI du ca­bi­net Inf­ho­tep et am­bas­sa­deur du « Privacy by De­si­gn » . « À cette époque, la pro­tec­tion des don­nées à ca­rac­tère per­son­nel n’était pas en­core une no­tion sy­no­nyme d’en­jeu éco­no­mique. » Le Privacy by De­si­gn se ré­sume en sept grands concepts, mais, plu­tôt que de dé­si­gner des tech­no­lo­gies à mettre en oeuvre, il pro­pose des PET ( Privacy En­han­cing Tech­no­lo­gies). « Les PET sont à l’ori­gine du prin­cipe de mi­ni­mi­sa­tion des don­nées ; c’est sur la base de ce prin­cipe que s’est dé­ve­lop­pé ce concept de Privacy by De­si­gn » , ajoute Ales­san­dro Fio­ren­ti­no. Par­mi ces

« Toute en­tre­prise, peu im­porte sa taille, doit prendre en consi­dé­ra­tion la confi­den­tia­li­té. Vous ga­gne­rez un avan­tage sur le mar­ché » Jan Smets, Da­ta Pro­tec­tion Of­fi­cer et res­pon­sable avant- ventes, Ge­mal­to

PET fi­gurent bien évi­de­ment le chif­fre­ment des don­nées, la ges­tion des droits d’ac­cès et le tag­ging des don­nées, la mise en place de règles de dé­ve­lop­pe­ment des ap­pli­ca­tions, des règles d’ar­chi­tec­ture des sys­tèmes, jus­qu’aux in­ter­faces uti­li­sa­teurs el­les­mêmes. À chaque en­tre­prise de dé­fi­nir sa stra­té­gie de « Privacy by De­si­gn » et les PET à mettre en place pour l’im­plé­men­ter.

Une pro­tec­tion des don­nées dès la phase de dé­ve­lop­pe­ment

Pour les édi­teurs de lo­gi­ciel et les en­tre­prises qui dé­ve­loppent leurs propres lo­gi­ciels mé­tier, cette prise en compte de la pro­tec­tion de la don­née doit être in­té­grée dès les phases de concep­tion des ar­chi­tec­tures ap­pli­ca­tives et dès les phases de co­ding. « Il faut avant tout me­ner une ré­flexion au ni­veau de la concep­tion, avec le choix de l’ar­chi­tec­ture la plus ap­pro­priée pour le type de don­nées et d’usages pré­vus per­met­tra de choi­sir les tech­no­lo­gies de col­lecte et de sto­ckage sé­cu­ri­sés » , es­time Mos Amok­tha­ri, di­rec­teur tech­nique France de CA Tech­no­lo­gies. Di­vers as­pects du dé­ve­lop­pe­ment sont di­rec­te­ment tou­chés par le Privacy by de­si­gn. La chaîne d’in­té­gra­tion conti­nue doit in­té­grer des briques de va­li­da­tion qui vont per­mettre de s’as­su­rer que le code pro­duit ré­pond bien aux exi­gences dé­fi­nies en termes de pro­tec­tion des don­nées. CAST, Ve­ra­code, HP, Mi­cro­fo­cus pro­posent des lo­gi­ciels d’ana­lyse de code pour éli­mi­ner le risque qu’un pi­rate n’ac­cède aux don­nées au moyen d’une in­jec­tion SQL, par exemple. « Plus de 80 % des brèches de sécurité sont ac­tuel­le­ment dé­cou­vertes au ni­veau ap­pli­ca­tif » , af­firme Mos Amok­tha­ri. « Sans vou­loir faire de gé­né­ra­li­sa­tion, les dé­ve­lop­peurs ont une sen­si­bi­li­té à la sécurité du code re­la­ti­ve­ment faible ac­tuel­le­ment. Il est né­ces­saire de prévoir une sen­si­bi­li­sa­tion et un ac­com­pa­gne­ment afin d’amé­lio­rer la connais­sance glo­bale des équipes sur les risques et les moyens de les évi­ter. »

Ce sou­ci du Privacy by De­si­gn ap­pa­raît aus­si dans les phases de test où il faut évi­ter d’uti­li­ser des don­nées de pro­duc­tion di­rec­te­ment pour va­li­der les ap­pli­ca­tions. Les jeux de tests doivent ab­so­lu­ment être ano­ny­mi­sés, même lorsque les échan­tillons sont mo­destes. Les al­go­rithmes de hash tels que Ar­gon2, bcrypt ou en­core pbkdf2 per­mettent aux dé­ve­lop­peurs de gé­né­rer des jeux de test ga­ran­tis­sant la confi­den­tia­li­té des don­nées d’ori­gine et il est aus­si pos­sible de gé­né­rer des don­nées par al­go­rithme, via un ou­til dé­dié aux tests comme CA Test Da­ta Ma­na­ger. « Un autre point à sur­veiller est lorsque les don­nées sont ex­traites de la pro­duc­tion pour di­vers be­soins, no­tam­ment les sau­ve­gardes et tests. On se sou­vient par exemple qu’un des grandes fuites de don­nées qui avait se­coué So­ny était due à des bandes de ba­ckup qui n’avaient pas été cor­rec­te­ment dé­truites » , ajoute Mos Amok­tha­ri. Fort de l’ac­qui­si­tion de Grid- Tools en 2015, CA Tech­no­lo­gies est po­si­tion­né sur ce mar­ché des so­lu­tions de « vir­tua­li­sa­tion » des don­nées, face no­tam­ment à In­for­ma­ti­ca, IBM, Oracle, Del­phix, Com­pu­ware.

Vers une mon­tée en puis­sance des so­lu­tions de ges­tion des iden­ti­tés

La ré­gle­men­ta­tion hausse la barre quant à la pro­tec­tion des don­nées per­son­nelles, mais de­mande aus­si d’as­su­rer une tra­ça­bi­li­té com­plète. En cas de plainte d’un client ou de fuite de don­nées avé­rée, il faut être ca­pable de four­nir une liste des ac­cès et trai­te­ments qui ont été réa­li­sés sur la don­née. La mise en oeuvre d’une so­lu­tion d’IAM ( Iden­ti­ty and Ac­cess Ma­na­ge­ment) telles que celle d’Atos/ Evi­dian, SailPoint, Oracle, IBM peut sim­pli­fier cette dé­marche. « Nous per­met­tons prin­ci­pa­le­ment aux en­tre­prises de ré­pondre aux ques­tions sui­vantes : « Qui a ac­cès à quoi ? » , et « Que peut faire l’uti­li­sa­teur avec cet ac­cès ? » ré­sume Ju­liette Riz­kal­lah, Chief Mar­ke­ting Of­fi­cer chez SailPoint qui ajoute : « La ges­tion des iden­ti­tés et des ac­cès est es­sen­tielle à l’or­ga­ni­sa­tion pour ai­der le per­son­nel à gé­né­rer de l’ef­fi­ca­ci­té in­for­ma­tique, pré­ve­nir et at­té­nuer les fuites des don­nées et res­pec­ter l’en­semble des ré­gle­men­ta­tions, no­tam­ment le RGPD. Nous pro­po­sons aux en­tre­prises une plate- forme ou­verte de gou­ver­nance d’iden­ti­tés, une plate- forme com­pa­tible avec les in­fra­struc­tures IT on- pre­mise et cloud. » Toutes les plates- formes IAM as­surent une ges­tion des iden­ti­tés des uti­li­sa­teurs sur les mul­tiples ap­pli­ca­tions on- pre­mise et Saas et per­mettent de mettre en place des scé­na­rios contex­tua­li­sés avec des droits d’ac­cès ac­cor­dés aux em­ployés en fonc­tion de leur adresse IP, se­lon qu’ils sont dans les lo­caux de l’en­tre­prise ou en si­tua­tion de mo­bi­li­té, en fonc­tion aus­si de l’heure de la jour­née. Elles offrent toutes des ca­pa­ci­tés d’au­dit et de re­por­ting avan­cées, mais peuvent aus­si ali­men­ter les SIEM ( Se­cu­ri­ty In­for­ma­tion and Event Ma­na­ge­ment) avec leurs don­nées de connexion. Cou­plées aux logs ser­veurs et aux don­nées gé­né­rées

« La ges­tion des iden­ti­tés et des ac­cès est es­sen­tielle à l’or­ga­ni­sa­tion pour ai­der à res­pec­ter l’en­semble des ré­gle­men­ta­tions, no­tam­ment le RGPD » Ju­liette Riz­kal­lah, Chief Mar­ke­ting Of­fi­cer, SailPoint

par les équi­pe­ments ré­seau et les ap­pli­ca­tions elles- mêmes, ces in­for­ma­tions vont per­mettre aux ana­lystes d’en­quê­ter et d’iden­ti­fier quels comptes ont pu ac­cé­der aux don­nées in­cri­mi­nées dans une fuite de don­nées, par exemple.

Une in­dis­pen­sable sur­veillance des comptes à pri­vi­lèges

Si l’IAM ren­force la tra­ça­bi­li­té des ac­cès au ni­veau de l’en­tre­prise, il reste né­ces­saire d’ac­cor­der une at­ten­tion toute par­ti­cu­lière aux comptes à pri­vi­lège, c’est- à- dire ceux des cadres di­ri­geants, ad­mi­nis­tra­teurs sys­tème et DBA en charge des in­fra­struc­tures. La com­pro­mis­sion de tels comptes est une épée de Da­mo­clès pour les en­tre­prises puisque avec l’ac­cès à de tels comptes, un pi­rate peut po­ten­tiel­le­ment faire beau­coup de dé­gâts. De plus en plus d’édi­teurs IAM nouent au­jourd’hui des par­te­na­riats avec des édi­teurs de so­lu­tions de ges­tion des ac­cès à pri­vi­lèges, ou PAM ( Pri­vi­le­ged Ac­count Ma­na­ge­ment) à l’image d’Atos qui s’est tour­né vers l’Is­raé­lien Cy­berArk et le Fran­çais Wal­lix pour com­plé­ter son offre. Ce der­nier pro­pose une so­lu­tion bap­ti­sée Bas­tion qui as­sure le contrôle et la tra­ça­bi­li­té de l’en­semble des ac­tions réa­li­sées par les uti­li­sa­teurs à pri­vi­lèges dans le sys­tème d’in­for­ma­tion. « Les en­tre­prises cherchent des so­lu­tions simples et “non in­tru­sives” afin de mettre en oeuvre une stra­té­gie de Privacy par De­si­gn sur chaque nou­veau pro­jet et dé­ploie­ment di­gi­tal et no­tam­ment ga­ran­tir un usage sé­cu­ri­sé des don­nées confi­den­tielles » , ex­plique Jean- Noël de Gal­zain, PDG de Wal­lix. « Le Bas­tion de Wal­lix sert à ré­duire les risques liés à un usage im­propre des in­fra­struc­tures cri­tiques et des don­nées à ca­rac­tère per­son­nel – fraude, fuite ou vol. En com­plé­ment, un nou­veau mo­dule de scan de ré­seaux in­for­ma­tiques pour dé­cou­vrir les risques po­ten­tiels des comptes à pri­vi­lèges et des mots de passe as­so­ciés à une or­ga­ni­sa­tion. » Face à Wal­lix, de nom­breux édi­teurs se sont po­si­tion­nés sur ce mar­ché de la ges­tion des ac­cès à pri­vi­lèges. Par­mi eux, les Amé­ri­cains BeyondT­rust, CA Tech­no­lo­gies, Cen­tri­fy, pour ne citer que les plus gros. Outre l’en­re­gis­tre­ment des ses­sions, la mise en place de règles spé­ci­fiques quant à la ges­tion des mots de passe de ces uti­li­sa­teurs, une telle plate- forme per­met de mettre en place des alarmes temps réel sur l’uti­li­sa­tion de cer­taines com­mandes ou même sur un chan­ge­ment de com­por­te­ment d’un uti­li­sa­teur. L’ana­lyse com­por­te­men­tale temps réel va ain­si per­mettre d’aler­ter un res­pon­sable si, tout à coup, un uti­li­sa­teur lance des re­quêtes in­ha­bi­tuelles ou sau­ve­garde de grandes quan­ti­tés de don­nées sur un disque dur ex­terne.

Le chif­fre­ment, une brique clé du Privacy by De­si­gn

En pa­ral­lèle de ces me­sures d’au­dit et de sur­veillance, le chif­fre­ment des don­nées sto­ckées dans les SGBD est de­ve­nu un im­pé­ra­tif. Toutes les bases de don­nées du mar­ché im­plé­mentent au­jourd’hui un chif­fre­ment d’une base de don­nées com­plète, d’une table ou d’une co­lonne pour cer­taines. Que ce soit le pa­ckage DBMS_ CRYPTO d’Oracle, le chif­fre­ment de SQL Ser­ver ou en­core MySQL En­ter­prise En­cryp­tion, de mul­tiples al­go­rithmes de chif­fre­ment de puis­sance plus ou moins éle­vées sont pro­po­sés au DBA. Il est pos­sible de chif­frer les don­nées sto­ckées sur disque et en mé­moire, mais aus­si si­gner des tran­sac­tions. L’usage ex­ten­sif du chif­fre­ment des don­nées se heurtent néan­moins au temps de

« Les en­tre­prises cherchent des so­lu­tions simples et “non in­tru­sives ” afin de mettre en oeuvre une stra­té­gie de Privacy par De­si­gn » Jean- Noël de Gal­zain, PDG de Wal­lix

cal­cul de ces trai­te­ments ad­di­tion­nels, no­tam­ment sur les sys­tèmes tran­sac­tion­nels. Pour le chif­fre­ment des don­nées comme pour le sto­ckage des clés, il est pos­sible de s’ap­puyer sur les ex­ten­sions pro­po­sées par les édi­teurs de SGBD, même les bases de don­nées cloud en sont do­tées au­jourd’hui. Mais par sou­cis d’in­dé­pen­dance il est aus­si pos­sible de mettre en oeuvre une so­lu­tion de chif­fre­ment ex­terne. Avec ses offres Sa­feNet, Ge­mal­to pro­pose des lo­gi­ciels de chif­fre­ments tant pour la pro­tec­tion des ap­pli­ca­tions, des bases de don­nées, des ser­veurs de fi­chiers que des ma­chines vir­tuelles Ama­zon, VM­ware et IBM SoftLayer. Jan Smets, DPO ( Da­ta Pro­tec­tion Of­fi­cer) et res­pon­sable avant- ventes chez Ge­mal­to sou­ligne l’in­té­rêt de cette ap­proche : « Il ne suf­fit pas sim­ple­ment de pro­té­ger les don­nées lors­qu’elles sont sto­ckées dans une base de don­nées. L’ob­jec­tif fixé doit être de pro­té­ger toutes les don­nées, qu’elles soient en mou­ve­ment ou non, à par­tir du mo­ment où vous re­ce­vez ces don­nées, jus­qu’au mo­ment où vous de­vez dé­truire ces der­nières lorsque vous n’en avez plus be­soin. » Dans un tel contexte, le chif­fre­ment des don­nées au ni­veau du SGBD est né­ces­saire, mais loin d’être suf­fi­sant. « Tous ceux im­pli­qués dans le pro­ces­sus de pro­tec­tion des don­nées de­vraient avoir une vi­si­bi­li­té sur le pro­ces­sus com­plet. Tous nos pro­duits et so­lu­tions four­nissent un moyen de pro­té­ger les iden­ti­tés, les don­nées ou les clés de fa­çon ou­verte. La res­tric­tion est per­ma­nente, si vous n’êtes pas au­to­ri­sé à y ac­cé­der, vous ne pouvez

La dé­marche « Privacy by De­si­gn » ren­force l’in­té­rêt de so­lu­tions d’IMA ( Iden­ti­ty and Ac­cess Ma­na­ge­ment) telle que Oracle Iden­ti­ty Ma­na­ge­ment.

L’ac­ti­vi­té des comptes à pri­vi­lèges est dé­sor­mais sur­veillée via des so­lu­tions ca­pables de gé­né­rer des alarmes si ceux- ci ont une ac­ti­vi­té sus­pecte ou in­ha­bi­tuelle.

Tous les SGBD d’en­tre­prises im­plé­mentent au­jourd’hui des al­go­rithmes de chif­fre­ment, y com­pris les bases de don­nées cloud telles que Azure SQL.

Newspapers in French

Newspapers from France

© PressReader. All rights reserved.