Comment la gestion de la sécurité des données évolue en 2023

L'évolution de la sécurité des données

Un de mes meilleurs amis, qui se trouve être un ancien RSSI d'une entreprise du Fortune 50, m'a dit un jour : « Je suis responsable de deux choses : assurer la prestation de services à nos clients et protéger les données que ces services utilisent. » Ces deux responsabilités impliquent beaucoup de choses.

Assurer la qualité de service aux clients n'est pas chose aisée lorsqu'il faut composer avec des infrastructures hybrides, Internet, la distribution mondiale, les réglementations régionales et des cyberattaques de plus en plus sophistiquées. Mon ami le savait, tout comme il savait que la capacité à identifier ses objectifs principaux est essentielle pour permettre à son organisation de se concentrer efficacement sur ses priorités.

Traditionnellement, les équipes de sécurité tentent de contourner le problème de la gestion des données. Leur raisonnement repose sur l'idée que si une équipe de sécurité maintient son infrastructure à jour et surveille son réseau afin de détecter les menaces, elle peut garantir la vigilance et la sécurité. Cette approche ne requiert aucune connaissance des données gérées par l'entreprise, mais plutôt des composants de son infrastructure : matériel, réseaux, applications et identités.

Aujourd'hui, les violations de données sont monnaie courante. Les autorités de régulation réagissent en renforçant les contrôles et en alourdissant les sanctions, laissant les utilisateurs face aux interruptions de service et aux atteintes à leur vie privée. Ceci confirme une fois de plus qu'une approche indifférente à la protection des données n'est plus envisageable.

Pourquoi notre approche doit changer

Les données subissent des transformations considérables. Il y a encore peu de temps, à la fin des années 1990, lorsque Google a vu le jour, les données étaient transférées manuellement à l'aide de disquettes de 1,44 Mo. Aujourd'hui, des téraoctets de données traversent les continents d'un simple glissement de doigt. Le terme « Big Data » désignait autrefois un gigaoctet, alors qu'aujourd'hui, les entreprises génèrent et utilisent quotidiennement des pétaoctets de données.

Les architectures de microservices et l'analyse de données ont transformé les entreprises, qui s'appuyaient auparavant sur des centres de données propriétaires hébergeant des entrepôts de données, pour gérer désormais des données réparties sur des centaines de types de supports de stockage au sein d'une multitude de clouds IaaS, PaaS et SaaS. Nos méthodes de sécurité des données doivent évoluer, car nos usages ont changé.

Les équipes modernes travaillant à distance s'appuient sur des outils collaboratifs pour accomplir leurs tâches. Les entreprises recrutent des employés qui ont accès à des informations sensibles, consultables où qu'ils soient, depuis différents appareils et à tout moment. Il est donc essentiel d'appliquer des mesures de sécurité adaptées au contexte des données.

Par exemple, il convient d'appliquer les contrôles appropriés à une feuille de calcul contenant les dates de naissance de vos employés, par opposition à une autre contenant leurs salaires. La configuration des droits d'accès, des autorisations, du chiffrement, du hachage, etc., nécessite de prendre en compte le contexte des données de chaque feuille de calcul plutôt que d'appliquer une approche générique. Les deux feuilles contiennent des données sur les employés. Cependant, partager le fichier des dates de naissance ne présente aucun risque, tandis que partager les informations relatives aux salaires des employés pourrait avoir des conséquences désastreuses au sein de votre organisation.

Comment la gestion de la sécurité des données évolue en 2023

Une visibilité constante et une compréhension approfondie des données sont des exigences fondamentales pour le programme de sécurité de toute entreprise tournée vers l'avenir.

Les équipes de sécurité doivent pouvoir répondre à ces questions :

• Comment pouvons-nous mettre en œuvre une approche fondée sur les risques et déterminer où concentrer nos ressources ?
• Comment prioriser les efforts de remédiation pour les vulnérabilités susceptibles d'avoir un impact direct sur notre activité si elles sont exploitées ?

Répondre à ces deux questions commence par établir un inventaire clair de votre ressource la plus précieuse : les données.

En effet, la sécurité à l'ère du cloud exige de toujours savoir :

• là où se trouvent vos données, à la fois la valeur et le risque qu'elles représentent
• qui y a accès
• comment elle est exposée aux risques externes et internes

Le contexte commercial et la main-d'œuvre actuels ne se conformeront pas aux contraintes de sécurité traditionnelles ; les contrôles de sécurité actuels doivent être aussi transparents que possible.

Les équipes de sécurité doivent composer avec la réalité : les données ne sont plus confinées à un coffre-fort numérique et sont désormais omniprésentes. C'est une excellente chose ! L'utilisation des données pour collaborer et développer de nouvelles opportunités commerciales génère une valeur ajoutée considérable pour les entreprises. Toutefois, pour permettre cette création de valeur sans exposer l'entreprise à des risques susceptibles de la compromettre, les programmes de sécurité doivent évoluer et placer les données au cœur de leurs priorités.

L'automatisation, la rapidité et l'évolutivité sont essentielles pour gérer le rythme de création et de consommation des données. Une capacité efficace de classification et de contextualisation est indispensable pour mettre en œuvre des contrôles appropriés et efficaces. L'adoption d'une approche privilégiant le cloud et l'exploitation des progrès du machine learning ont rendu cela possible, voire simple. Il appartient désormais aux équipes de sécurité d'appréhender la situation actuelle et de s'adapter à l'avenir en plaçant les données au cœur de leurs programmes de sécurité.