Glossaire de Cyera

L'analyse d'impact relative à la protection des données (AIPD) est une exigence qui oblige les entreprises à évaluer les risques et les impacts de leurs activités de traitement. Bien que le CCPA n'exige pas que les entreprises effectuent une AIPD, la California Consumer Privacy Act (CPRA), en vertu de l'article 1798.185(a)(15), exige que les entreprises effectuent une évaluation des activités de traitement susceptibles d'exposer des données personnelles à des risques importants.

Un comportement ou une action qui paraît anormal(e) au regard de l'historique d'activité d'une organisation et d'un utilisateur. Ce type de comportement est généralement analysé à l'aide d'un algorithme d'apprentissage automatique qui établit un profil à partir de l'historique des événements, notamment les lieux et heures de connexion, les habitudes de transfert de données et les schémas d'envoi de courriels. Les anomalies sont souvent le signe qu'un compte est compromis.

L'anonymisation des données est un processus qui modifie les données personnelles identifiables (DPI) de manière à ce qu'elles ne permettent plus d'identifier un individu. Cela peut se faire en supprimant certaines valeurs d'identification des ensembles de données ou en les généralisant.

Le score d'un résultat peut varier de 0 à 100, en fonction du degré de correspondance entre les données de recherche et les valeurs des données du fichier.

L'acte d'examiner, d'évaluer et d'analyser systématiquement les actifs d'une organisation afin de garantir le respect des normes de conformité et de sécurité.

Le processus de vérification d'une identité déclarée et de preuve que quelqu'un est bien celui qu'il prétend être lorsqu'il tente d'accéder à une ressource.

L'acronyme PDCA signifie « Autorité de protection des données ». Il s'agit d'une autorité publique indépendante chargée de superviser et de faire appliquer la législation sur la protection des données au sein de l'UE. Chaque État membre de l'UE possède sa propre PDCA.

L’avis de collecte est une exigence de transparence qui oblige les entreprises à informer les consommateurs, au moment de la collecte ou avant, de la catégorie de renseignements personnels (RP) qu’elles recueillent.

Une base de données dotée de services de stockage, de données et de calcul, gérée et maintenue par un prestataire tiers plutôt que par le personnel informatique de l'organisation.

Un service de base de données déployé et fourni via une plateforme de fournisseur de services cloud (CSP).

Les entreprises contractantes de la base industrielle de défense (DIB) sont des sociétés qui font affaire avec l'armée américaine et font partie du complexe militaro-industriel responsable de la recherche, de la production, de la livraison et du service.

Le RGPD impose aux responsables du traitement de données de justifier d'une base juridique pour le traitement des données. Les six bases juridiques de traitement prévues par la loi sont : le consentement, la nécessité, l'obligation contractuelle, l'obligation légale, la protection des données personnelles, l'intérêt public ou l'intérêt légitime du responsable du traitement.

Un accord d'adéquation créé en 2016 pour remplacer l'accord Safe Harbor UE-États-Unis. Le Bouclier de protection des données UE-États-Unis permet aux organisations participantes relevant de la compétence de la Commission fédérale du commerce des États-Unis de transférer des données personnelles de l'UE vers les États-Unis.

Le cahier de laboratoire électronique (ou ELN) est la version numérique d'un cahier de laboratoire papier.

CASB est l'acronyme de Cloud Access Security Broker (courtier de sécurité d'accès au cloud). Ce type de sécurité surveille et contrôle les applications cloud utilisées par les employés d'une organisation. Généralement, le contrôle est assuré par le routage du trafic web via un proxy direct ou inverse. Les CASB sont efficaces pour gérer l'informatique parallèle et limiter l'utilisation de certains SaaS par les employés, ainsi que les activités au sein de ces SaaS. Cependant, ils ne surveillent pas l'activité de tiers dans le cloud, comme le partage de documents ou de courriels.

Un inventaire structuré des données au sein de l'organisation. Les catalogues de données utilisent les métadonnées pour aider les organisations à gérer leurs données. Ils permettent également aux professionnels des données de collecter, d'organiser, d'accéder et d'enrichir les métadonnées afin de faciliter la découverte et la gouvernance des données.

Le processus consiste à diviser les données en groupes d'entités dont les membres présentent des similitudes. Les professionnels de la protection et de la sécurité des données peuvent ensuite catégoriser ces données comme étant à sensibilité élevée, moyenne ou faible.

Acronyme de la loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act).

Acronyme de Chief Data Officer (responsable des données). Il s'agit du cadre dirigeant au sein d'une organisation chargé de la sécurité de l'information.

Une certification est une déclaration faite par un organisme certificateur selon laquelle une organisation ou un produit répond à certaines exigences de sécurité ou de conformité.

Une définition permettant de détecter par programmation chaque type de données dans un entrepôt de données, généralement à l'aide d'un test ou d'un algorithme. Les professionnels de la protection et de la sécurité des données associent des classes de données à des règles définissant les actions à entreprendre lors de la détection d'une classe de données donnée. Par exemple, les informations sensibles ou les données personnelles doivent être étiquetées avec un terme métier ou une classification, et certaines classes de données sensibles doivent être soumises à des contraintes de qualité spécifiques.

La classification des données est le processus d'organisation des données en catégories pertinentes afin de simplifier leur récupération, leur tri, leur utilisation, leur stockage et leur protection.

Lorsque le résultat d'une requête, d'un algorithme ou d'une recherche n'enregistre une correspondance que s'il existe une correspondance à 100 %.

L'acronyme Cybersecurity Maturity Model Certification désigne un cadre de sécurité que les entreprises du secteur de la défense doivent respecter.

La collecte active de données désigne les données collectées sciemment et de manière transparente auprès de l'utilisateur, par exemple au moyen d'un formulaire web, d'une case à cocher ou d'un sondage.

Toute technique de collecte de données qui recueille des informations automatiquement, avec ou sans le consentement de l'utilisateur final.

L'autorité de contrôle principale instituée par le RGPD. Le Conseil européen de la protection des données (CEPD) est composé des responsables des autorités de contrôle des États membres de l'UE ainsi que du Contrôleur européen de la protection des données. Son objectif est de garantir une application uniforme du RGPD par les États membres.

La garantie que l'information n'est accessible qu'aux personnes autorisées à l'utiliser.

Découvrez ce qu'est la conformité PSD2, pourquoi elle est importante et comment les entreprises peuvent se conformer aux exigences réglementaires en matière de paiements en ligne sécurisés et d'open banking.

En matière de protection des données personnelles, le consentement désigne la capacité d'une personne concernée à accepter ou à refuser la collecte et le traitement de ses données. Ce consentement peut être explicite, par exemple lorsqu'on coche une case via un formulaire, ou implicite, comme lorsqu'on accepte un contrat de licence utilisateur final ou qu'on ne s'y oppose pas. En vertu de nombreuses lois sur la protection des données, le consentement doit toujours être explicite.

Le processus consistant à restreindre l'accès aux ressources, telles que les ordinateurs, les fichiers ou les services, aux seuls utilisateurs autorisés.

Une autorité indépendante chargée de veiller à ce que les organisations européennes et les États membres respectent les règles de confidentialité du RGPD.

Selon le RGPD, un courtier en données est toute entité qui collecte et vend des données personnelles d'individus.

Acronyme de Chief Privacy Officer (responsable de la protection des données). Il s'agit d'un cadre dirigeant au sein d'une organisation chargé de veiller au respect des lois et politiques en matière de protection des données.

Acronyme de Cloud Service Provider (fournisseur de services cloud). Il s'agit de toute entreprise qui vend un service d'informatique en nuage, qu'il s'agisse de PaaS, d'IaaS ou de SaaS.

La protection des informations et des communications contre les dommages, l'exploitation ou l'utilisation non autorisée.

Qu'est-ce que le DLP ?

La découverte et la classification des données sensibles constituent un processus utilisé pour identifier et catégoriser les informations sensibles ou confidentielles au sein des actifs numériques d'une organisation.

Un diagramme de flux de données illustre la circulation de l'information au sein d'un processus ou d'un système. Il représente les entrées et sorties de données, les bases de données et les différents sous-processus traversés par ces données.

L'acronyme DLP signifie « Prévention des fuites de données » ou « Prévention des pertes de données ». Il s'agit d'un type de sécurité qui empêche le partage de données sensibles, généralement des fichiers, en dehors de l'organisation ou avec des personnes non autorisées au sein de celle-ci. Ceci est généralement réalisé grâce à des politiques qui chiffrent les données ou contrôlent les paramètres de partage.

Les données anonymes sont des données qui ne sont pas liées à une personne physique identifiable et qui ne peuvent être utilisées, combinées à d'autres données, pour identifier des personnes. Les données anonymes ne sont pas protégées par le RGPD.

Le chiffrement est la méthode de conversion d'un texte clair en un texte chiffré, permettant ainsi aux seules personnes autorisées de déchiffrer les informations et empêchant toute altération des données par des tiers. Les données non chiffrées sont généralement stockées sans protection, sans aucun chiffrement. Le chiffrement est un moyen essentiel pour les particuliers et les entreprises de protéger leurs informations sensibles contre le piratage. Par exemple, les sites web qui transmettent des numéros de carte bancaire et de compte bancaire chiffrent ces informations afin de prévenir l'usurpation d'identité et la fraude.

Explorez les données cloud, leurs types, leurs avantages, leurs défis et les outils de stockage, d'analyse et de gestion dans les environnements cloud modernes.

En cybersécurité, les données fantômes désignent les données qui existent encore dans une base de données ou un système de stockage, mais qui ne sont plus utilisées activement ni connues pour être accessibles.

Une erreur de déplacement de données se produit lorsque des données sont déplacées d'un environnement approuvé vers un environnement non approuvé.

Des informations sensibles sont remplacées par des données arbitraires conçues pour ressembler à de véritables données de production, les rendant ainsi inutilisables par des personnes malveillantes. Cette technique est le plus souvent utilisée dans les environnements de test ou de développement, où des données réalistes sont nécessaires pour concevoir et tester des logiciels, mais où les développeurs n'ont pas besoin d'accéder aux données réelles.

Les données non structurées sont celles qui ne suivent aucun modèle d'organisation prédéfini. Elles sont souvent riches en texte, mais peuvent également inclure des faits, des chiffres et des informations de date et d'heure. Les irrégularités et les ambiguïtés qui en résultent rendent les données non structurées beaucoup plus difficiles à interpréter pour les programmes que les données stockées dans des bases de données structurées ou des documents annotés. Selon de nombreuses estimations, les données non structurées représentent la grande majorité des données mondiales et cette catégorie de données connaît une croissance rapide.

Des informations sensibles sont remplacées par des données arbitraires conçues pour ressembler à de véritables données de production, les rendant ainsi inutilisables par des personnes malveillantes. Cette technique est le plus souvent utilisée dans les environnements de test ou de développement, où des données réalistes sont nécessaires pour concevoir et tester des logiciels, mais où les développeurs n'ont pas besoin d'accéder aux données réelles.

Les données obsolètes sont des données collectées qui ne sont plus nécessaires au fonctionnement quotidien d'une organisation. Parfois, ces données n'ont jamais été utilisées. La plupart des organisations stockent une quantité importante de données obsolètes.

Toute information protégée contre toute divulgation non autorisée, pour des raisons légales, éthiques, de confidentialité, financières ou autres. Cela peut inclure, sans s'y limiter : les données de santé, les informations personnelles, les données confidentielles telles que les secrets commerciaux, etc.

Les données structurées sont présentées dans un format standardisé, avec une structure bien définie et facilement lisible par les humains et les programmes. La plupart des données structurées sont généralement stockées dans une base de données. Bien qu'elles ne représentent que 20 % des données stockées dans le monde, leur accessibilité et la précision des résultats en font le fondement de la recherche et des applications actuelles en matière de mégadonnées.

La tokenisation consiste à remplacer les données sensibles par un équivalent non sensible, appelé jeton. Ce jeton permet ensuite de retrouver les données sensibles d'origine grâce à un système de tokenisation qui rend leur reconstitution pratiquement impossible. De nombreux systèmes de ce type utilisent des nombres aléatoires pour générer des jetons sécurisés. La tokenisation est fréquemment employée pour sécuriser les données financières, les comptes bancaires, les dossiers médicaux et de nombreuses autres formes d'informations personnelles identifiables (IPI).

Délégué à la protection des données (DPO) : personne au sein d’une organisation chargée de conseiller cette dernière sur la conformité au RGPD et de communiquer avec son autorité de protection des données. Les organisations qui traitent des données personnelles dans le cadre de leur activité sont tenues de désigner un DPO.

Gestion des droits numériques (DRM) : ensemble de technologies de contrôle d’accès permettant de restreindre l’utilisation d’informations confidentielles, de matériel propriétaire et d’œuvres protégées par le droit d’auteur, généralement à l’aide du chiffrement et de la gestion des clés.

Le droit d'une personne à faire supprimer ses données personnelles par une entreprise ou autre organisation qui possède ou contrôle ces données.

Le « droit à l’information » est une exigence de transparence qui oblige les entreprises à informer les personnes concernées, au moment de la collecte, sur les données personnelles collectées, la finalité du traitement des données personnelles, la durée de conservation des données personnelles et les destinataires de ces données.

Le droit d'une personne à faire supprimer ses données personnelles par une entreprise ou autre organisation qui possède ou contrôle ces données.

Le droit d'une personne de demander et de recevoir ses données personnelles d'une entreprise ou d'une autre organisation.

Le droit pour les individus de corriger ou de modifier les informations inexactes les concernant.

Une évaluation des risques liés aux données est le processus d'analyse des données de votre organisation afin de déterminer leur niveau de sécurité actuel et d'identifier les domaines potentiels d'amélioration de ses contrôles de sécurité.

Le transfert non autorisé de données hors d'un ordinateur ou d'un réseau.

Un faux positif est une alerte qui signale à tort l'existence d'une vulnérabilité ou une activité malveillante. Ces faux positifs augmentent considérablement le nombre d'alertes à évaluer, surchargeant ainsi le travail des équipes de sécurité.

L’Autorité de régulation du secteur financier (FINRA, Inc.) a pour mission de protéger les investisseurs.

En communication, le flux de données désigne le chemin emprunté par un message de son origine à sa destination, incluant tous les nœuds par lesquels transitent les données.

Une violation de données est un incident de sécurité au cours duquel des données sensibles, protégées ou confidentielles ont été consultées ou divulguées à des personnes non autorisées. Ces incidents peuvent exposer des informations de santé protégées ou personnelles (ISP), des informations personnelles identifiables (IPI), de la propriété intellectuelle, des informations classifiées ou d'autres données confidentielles.

Dans le cadre du RGPD, les garanties appropriées désignent l'application des principes de protection des données du RGPD au traitement des données. Ces principes comprennent la transparence, la minimisation des données, la limitation de leur conservation, la qualité des données, la base juridique du traitement et la limitation des finalités.

La gestion de la posture de sécurité des données (DSPM) fournit la pièce manquante pour compléter le puzzle de la plupart des équipes de sécurité : un moyen d'identifier, de contextualiser et de protéger les données sensibles.

La loi Gramm-Leach-Bliley (GLBA) oblige les institutions financières à sécuriser et à assurer la transparence des informations personnelles non publiques (IPN).

Découvrez ce qu'est la gouvernance de l'accès aux données, son importance, ses avantages et comment elle contribue à sécuriser les données sensibles tout en garantissant la conformité et un contrôle d'accès efficace.

Découvrez ce qu'est la gouvernance des données dans le cloud, pourquoi elle est importante, les principaux défis, les meilleures pratiques et comment Cyera vous aide à sécuriser et à gouverner vos données cloud.

L'acronyme HIPAA signifie Health Insurance Portability and Accountability Act (Loi sur la portabilité et la responsabilité en matière d'assurance maladie). Il s'agit d'une loi américaine qui établit des normes et des réglementations nationales pour le transfert des dossiers médicaux électroniques. En vertu de la loi HIPAA, les patients doivent donner leur consentement explicite avant que leurs informations de santé puissent être partagées avec d'autres organismes.

HITECH est l'acronyme de Health Information Technology for Economic and Clinical Health Act (Loi sur les technologies de l'information en santé pour la santé économique et clinique). Il s'agit d'une loi américaine promulguée dans le cadre de l'American Recovery and Reinvestment Act de 2009. HITECH vise à renforcer les exigences de sécurité et de confidentialité des données de santé définies par la loi HIPAA. Pour ce faire, HITECH instaure des sanctions financières progressives en cas de non-conformité, ainsi que l'obligation de signaler toute violation de données.

Acronyme de Controlled Unclassified Information (Information non classifiée contrôlée).

Les informations personnelles sensibles identifiables (SPII) sont un sous-ensemble des informations personnelles identifiables, mais avec une importance et des risques accrus.

Les données qui doivent être protégées contre tout accès non autorisé afin de préserver la vie privée ou la sécurité d'une personne ou d'une organisation. Selon le NIST, il s'agit d'informations dont la perte, l'utilisation abusive, l'accès non autorisé ou la modification pourraient porter atteinte aux intérêts nationaux ou au déroulement des programmes fédéraux, ou encore à la vie privée à laquelle les individus ont droit en vertu de l'article 552a du titre 5 du code des États-Unis (loi sur la protection de la vie privée), mais qui n'ont pas fait l'objet d'une autorisation spécifique de classification, conformément aux critères établis par un décret présidentiel ou une loi du Congrès, dans l'intérêt de la défense nationale ou de la politique étrangère. Le RGPD désigne ces données comme des données personnelles sensibles, qui regroupent des opinions privées et des informations de santé relevant de catégories spécialisées et juridiquement protégées. Les entreprises sont tenues de traiter ces données avec le plus haut niveau de sécurité.

Toute action effectuée sur des données personnelles ou des ensembles de données personnelles, telle que la collecte, la structuration, le stockage ou la diffusion de ces données.

L’assurance que les informations n’ont pas été modifiées et qu’elles sont exactes et complètes. Le RGPD impose aux responsables du traitement et aux sous-traitants de mettre en œuvre des mesures garantissant l’intégrité des données.

La réponse aux incidents (parfois appelée réponse aux incidents de données) désigne les processus et technologies mis en œuvre par une organisation pour détecter les cybermenaces, les failles de sécurité ou les cyberattaques et y répondre. Un plan de réponse aux incidents formalisé permet aux équipes de cybersécurité de limiter ou de prévenir les dommages. Les services de réponse aux incidents complètent généralement la plateforme de sécurité des données de votre organisation, qui gère tout type de données grâce à des fonctionnalités automatisées de découverte, de classification, d'évaluation des risques et de remédiation.

Également appelés registres d'autorité, les inventaires de données recensent les données personnelles au sein des systèmes et permettent de cartographier la manière dont les données sont stockées et partagées. Les inventaires de données sont définis par les réglementations relatives à la protection de la vie privée, notamment le RGPD, le CCPA et le CPRA.

La gestion des droits relatifs à l'information (Information Rights Management) est un sous-ensemble de la gestion des droits numériques (Digital Rights Management) qui protège les informations de l'entreprise contre la consultation ou la modification par des tiers non autorisés, généralement grâce au chiffrement et à la gestion des autorisations.

Norme internationale de gestion de la sécurité de l'information, initialement publiée par l'Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (CEI) en 2005, puis révisée en 2013. Elle définit les normes de création, d'exécution, de maintenance et d'optimisation d'un système de gestion de la sécurité de l'information, afin d'aider les organisations à sécuriser davantage leurs actifs informationnels.

Un principe de sécurité qui stipule que les utilisateurs doivent se voir accorder le minimum d'autorisations nécessaires à l'exécution de leur travail.

La personne à laquelle se rapporte une donnée ou un ensemble de données.

En cybersécurité, une évaluation des risques consiste en une analyse approfondie d'une organisation visant à identifier ses vulnérabilités et les menaces qui y sont associées. Son objectif est de recenser les risques encourus par l'organisation et de formuler des recommandations pour les atténuer.

La limitation des finalités ou la limitation de l'utilisation des données exige que les entreprises veillent à limiter l'utilisation des informations personnelles (IP) aux finalités pour lesquelles elles ont été collectées. Le RGPD offre une plus grande latitude en matière de limitation des finalités.

L'exigence que les données soient physiquement stockées dans le même pays ou groupe de pays que celui d'où elles proviennent. Cette exigence est courante dans les législations modernes relatives à la protection des données et à la vie privée, telles que le RGPD, la loi chinoise CSL et la loi brésilienne sur la sécurité. Par exemple, en vertu du RGPD, une entreprise collectant les données d'un citoyen de l'UE doit les stocker sur un serveur situé dans l'UE.

Un terme qui désigne différents types de logiciels malveillants destinés à infiltrer des ordinateurs ou des réseaux informatiques.

Le Brésil a adopté mi-août 2018 un nouveau cadre juridique visant à encadrer l'utilisation et le traitement des données personnelles : la Loi générale sur la protection des données (RGPD). Cette loi remplace une quarantaine de lois existantes relatives à la protection de la vie privée et des données personnelles. Elle vise à garantir les droits individuels et à favoriser la croissance économique en instaurant des règles claires et transparentes pour la collecte des données.

La loi Sarbanes-Oxley (SOX) est une loi fédérale américaine visant à améliorer la transparence et la responsabilité financières des sociétés cotées en bourse. Son adoption en 2002 a été motivée par plusieurs scandales comptables largement médiatisés et a établi un certain nombre de normes que les sociétés cotées doivent respecter.

La loi Sarbanes-Oxley (SOX) établit des normes d'audit et de comptabilité financière pour les sociétés cotées en bourse.

Découvrez ce qu'est la loi sur les pouvoirs d'enquête (Investigatory Powers Act), pourquoi elle est importante et comment elle influe sur la sécurité, la confidentialité et la conformité des données.

L'analyse d'impact relative à la protection des données (AIPD) est une exigence qui oblige les entreprises à évaluer les risques et les impacts de leurs activités de traitement. Bien que le CCPA n'exige pas que les entreprises effectuent une AIPD, la California Consumer Privacy Act (CPRA), en vertu de l'article 1798.185(a)(15), exige que les entreprises effectuent une évaluation des activités de traitement susceptibles d'exposer des données personnelles à des risques importants.

Un comportement ou une action qui paraît anormal(e) au regard de l'historique d'activité d'une organisation et d'un utilisateur. Ce type de comportement est généralement analysé à l'aide d'un algorithme d'apprentissage automatique qui établit un profil à partir de l'historique des événements, notamment les lieux et heures de connexion, les habitudes de transfert de données et les schémas d'envoi de courriels. Les anomalies sont souvent le signe qu'un compte est compromis.

L'anonymisation des données est un processus qui modifie les données personnelles identifiables (DPI) de manière à ce qu'elles ne permettent plus d'identifier un individu. Cela peut se faire en supprimant certaines valeurs d'identification des ensembles de données ou en les généralisant.

Le score d'un résultat peut varier de 0 à 100, en fonction du degré de correspondance entre les données de recherche et les valeurs des données du fichier.

L'acte d'examiner, d'évaluer et d'analyser systématiquement les actifs d'une organisation afin de garantir le respect des normes de conformité et de sécurité.

Le processus de vérification d'une identité déclarée et de preuve que quelqu'un est bien celui qu'il prétend être lorsqu'il tente d'accéder à une ressource.

L'acronyme PDCA signifie « Autorité de protection des données ». Il s'agit d'une autorité publique indépendante chargée de superviser et de faire appliquer la législation sur la protection des données au sein de l'UE. Chaque État membre de l'UE possède sa propre PDCA.

L’avis de collecte est une exigence de transparence qui oblige les entreprises à informer les consommateurs, au moment de la collecte ou avant, de la catégorie de renseignements personnels (RP) qu’elles recueillent.

Une base de données dotée de services de stockage, de données et de calcul, gérée et maintenue par un prestataire tiers plutôt que par le personnel informatique de l'organisation.

Un service de base de données déployé et fourni via une plateforme de fournisseur de services cloud (CSP).

Les entreprises contractantes de la base industrielle de défense (DIB) sont des sociétés qui font affaire avec l'armée américaine et font partie du complexe militaro-industriel responsable de la recherche, de la production, de la livraison et du service.

Le RGPD impose aux responsables du traitement de données de justifier d'une base juridique pour le traitement des données. Les six bases juridiques de traitement prévues par la loi sont : le consentement, la nécessité, l'obligation contractuelle, l'obligation légale, la protection des données personnelles, l'intérêt public ou l'intérêt légitime du responsable du traitement.

Un accord d'adéquation créé en 2016 pour remplacer l'accord Safe Harbor UE-États-Unis. Le Bouclier de protection des données UE-États-Unis permet aux organisations participantes relevant de la compétence de la Commission fédérale du commerce des États-Unis de transférer des données personnelles de l'UE vers les États-Unis.

Le cahier de laboratoire électronique (ou ELN) est la version numérique d'un cahier de laboratoire papier.

CASB est l'acronyme de Cloud Access Security Broker (courtier de sécurité d'accès au cloud). Ce type de sécurité surveille et contrôle les applications cloud utilisées par les employés d'une organisation. Généralement, le contrôle est assuré par le routage du trafic web via un proxy direct ou inverse. Les CASB sont efficaces pour gérer l'informatique parallèle et limiter l'utilisation de certains SaaS par les employés, ainsi que les activités au sein de ces SaaS. Cependant, ils ne surveillent pas l'activité de tiers dans le cloud, comme le partage de documents ou de courriels.

Un inventaire structuré des données au sein de l'organisation. Les catalogues de données utilisent les métadonnées pour aider les organisations à gérer leurs données. Ils permettent également aux professionnels des données de collecter, d'organiser, d'accéder et d'enrichir les métadonnées afin de faciliter la découverte et la gouvernance des données.

Le processus consiste à diviser les données en groupes d'entités dont les membres présentent des similitudes. Les professionnels de la protection et de la sécurité des données peuvent ensuite catégoriser ces données comme étant à sensibilité élevée, moyenne ou faible.

Acronyme de la loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act).

Acronyme de Chief Data Officer (responsable des données). Il s'agit du cadre dirigeant au sein d'une organisation chargé de la sécurité de l'information.

Une certification est une déclaration faite par un organisme certificateur selon laquelle une organisation ou un produit répond à certaines exigences de sécurité ou de conformité.

Une définition permettant de détecter par programmation chaque type de données dans un entrepôt de données, généralement à l'aide d'un test ou d'un algorithme. Les professionnels de la protection et de la sécurité des données associent des classes de données à des règles définissant les actions à entreprendre lors de la détection d'une classe de données donnée. Par exemple, les informations sensibles ou les données personnelles doivent être étiquetées avec un terme métier ou une classification, et certaines classes de données sensibles doivent être soumises à des contraintes de qualité spécifiques.

La classification des données est le processus d'organisation des données en catégories pertinentes afin de simplifier leur récupération, leur tri, leur utilisation, leur stockage et leur protection.

Lorsque le résultat d'une requête, d'un algorithme ou d'une recherche n'enregistre une correspondance que s'il existe une correspondance à 100 %.

L'acronyme Cybersecurity Maturity Model Certification désigne un cadre de sécurité que les entreprises du secteur de la défense doivent respecter.

La collecte active de données désigne les données collectées sciemment et de manière transparente auprès de l'utilisateur, par exemple au moyen d'un formulaire web, d'une case à cocher ou d'un sondage.

Toute technique de collecte de données qui recueille des informations automatiquement, avec ou sans le consentement de l'utilisateur final.

L'autorité de contrôle principale instituée par le RGPD. Le Conseil européen de la protection des données (CEPD) est composé des responsables des autorités de contrôle des États membres de l'UE ainsi que du Contrôleur européen de la protection des données. Son objectif est de garantir une application uniforme du RGPD par les États membres.

La garantie que l'information n'est accessible qu'aux personnes autorisées à l'utiliser.

Découvrez ce qu'est la conformité PSD2, pourquoi elle est importante et comment les entreprises peuvent se conformer aux exigences réglementaires en matière de paiements en ligne sécurisés et d'open banking.

En matière de protection des données personnelles, le consentement désigne la capacité d'une personne concernée à accepter ou à refuser la collecte et le traitement de ses données. Ce consentement peut être explicite, par exemple lorsqu'on coche une case via un formulaire, ou implicite, comme lorsqu'on accepte un contrat de licence utilisateur final ou qu'on ne s'y oppose pas. En vertu de nombreuses lois sur la protection des données, le consentement doit toujours être explicite.

Le processus consistant à restreindre l'accès aux ressources, telles que les ordinateurs, les fichiers ou les services, aux seuls utilisateurs autorisés.

Une autorité indépendante chargée de veiller à ce que les organisations européennes et les États membres respectent les règles de confidentialité du RGPD.

Selon le RGPD, un courtier en données est toute entité qui collecte et vend des données personnelles d'individus.

Acronyme de Chief Privacy Officer (responsable de la protection des données). Il s'agit d'un cadre dirigeant au sein d'une organisation chargé de veiller au respect des lois et politiques en matière de protection des données.

Acronyme de Cloud Service Provider (fournisseur de services cloud). Il s'agit de toute entreprise qui vend un service d'informatique en nuage, qu'il s'agisse de PaaS, d'IaaS ou de SaaS.

La protection des informations et des communications contre les dommages, l'exploitation ou l'utilisation non autorisée.

Qu'est-ce que le DLP ?

La découverte et la classification des données sensibles constituent un processus utilisé pour identifier et catégoriser les informations sensibles ou confidentielles au sein des actifs numériques d'une organisation.

Un diagramme de flux de données illustre la circulation de l'information au sein d'un processus ou d'un système. Il représente les entrées et sorties de données, les bases de données et les différents sous-processus traversés par ces données.

L'acronyme DLP signifie « Prévention des fuites de données » ou « Prévention des pertes de données ». Il s'agit d'un type de sécurité qui empêche le partage de données sensibles, généralement des fichiers, en dehors de l'organisation ou avec des personnes non autorisées au sein de celle-ci. Ceci est généralement réalisé grâce à des politiques qui chiffrent les données ou contrôlent les paramètres de partage.

Les données anonymes sont des données qui ne sont pas liées à une personne physique identifiable et qui ne peuvent être utilisées, combinées à d'autres données, pour identifier des personnes. Les données anonymes ne sont pas protégées par le RGPD.

Le chiffrement est la méthode de conversion d'un texte clair en un texte chiffré, permettant ainsi aux seules personnes autorisées de déchiffrer les informations et empêchant toute altération des données par des tiers. Les données non chiffrées sont généralement stockées sans protection, sans aucun chiffrement. Le chiffrement est un moyen essentiel pour les particuliers et les entreprises de protéger leurs informations sensibles contre le piratage. Par exemple, les sites web qui transmettent des numéros de carte bancaire et de compte bancaire chiffrent ces informations afin de prévenir l'usurpation d'identité et la fraude.

Explorez les données cloud, leurs types, leurs avantages, leurs défis et les outils de stockage, d'analyse et de gestion dans les environnements cloud modernes.

En cybersécurité, les données fantômes désignent les données qui existent encore dans une base de données ou un système de stockage, mais qui ne sont plus utilisées activement ni connues pour être accessibles.

Une erreur de déplacement de données se produit lorsque des données sont déplacées d'un environnement approuvé vers un environnement non approuvé.

Des informations sensibles sont remplacées par des données arbitraires conçues pour ressembler à de véritables données de production, les rendant ainsi inutilisables par des personnes malveillantes. Cette technique est le plus souvent utilisée dans les environnements de test ou de développement, où des données réalistes sont nécessaires pour concevoir et tester des logiciels, mais où les développeurs n'ont pas besoin d'accéder aux données réelles.

Les données non structurées sont celles qui ne suivent aucun modèle d'organisation prédéfini. Elles sont souvent riches en texte, mais peuvent également inclure des faits, des chiffres et des informations de date et d'heure. Les irrégularités et les ambiguïtés qui en résultent rendent les données non structurées beaucoup plus difficiles à interpréter pour les programmes que les données stockées dans des bases de données structurées ou des documents annotés. Selon de nombreuses estimations, les données non structurées représentent la grande majorité des données mondiales et cette catégorie de données connaît une croissance rapide.

Des informations sensibles sont remplacées par des données arbitraires conçues pour ressembler à de véritables données de production, les rendant ainsi inutilisables par des personnes malveillantes. Cette technique est le plus souvent utilisée dans les environnements de test ou de développement, où des données réalistes sont nécessaires pour concevoir et tester des logiciels, mais où les développeurs n'ont pas besoin d'accéder aux données réelles.

Les données obsolètes sont des données collectées qui ne sont plus nécessaires au fonctionnement quotidien d'une organisation. Parfois, ces données n'ont jamais été utilisées. La plupart des organisations stockent une quantité importante de données obsolètes.

Toute information protégée contre toute divulgation non autorisée, pour des raisons légales, éthiques, de confidentialité, financières ou autres. Cela peut inclure, sans s'y limiter : les données de santé, les informations personnelles, les données confidentielles telles que les secrets commerciaux, etc.

Les données structurées sont présentées dans un format standardisé, avec une structure bien définie et facilement lisible par les humains et les programmes. La plupart des données structurées sont généralement stockées dans une base de données. Bien qu'elles ne représentent que 20 % des données stockées dans le monde, leur accessibilité et la précision des résultats en font le fondement de la recherche et des applications actuelles en matière de mégadonnées.

La tokenisation consiste à remplacer les données sensibles par un équivalent non sensible, appelé jeton. Ce jeton permet ensuite de retrouver les données sensibles d'origine grâce à un système de tokenisation qui rend leur reconstitution pratiquement impossible. De nombreux systèmes de ce type utilisent des nombres aléatoires pour générer des jetons sécurisés. La tokenisation est fréquemment employée pour sécuriser les données financières, les comptes bancaires, les dossiers médicaux et de nombreuses autres formes d'informations personnelles identifiables (IPI).

Délégué à la protection des données (DPO) : personne au sein d’une organisation chargée de conseiller cette dernière sur la conformité au RGPD et de communiquer avec son autorité de protection des données. Les organisations qui traitent des données personnelles dans le cadre de leur activité sont tenues de désigner un DPO.

Gestion des droits numériques (DRM) : ensemble de technologies de contrôle d’accès permettant de restreindre l’utilisation d’informations confidentielles, de matériel propriétaire et d’œuvres protégées par le droit d’auteur, généralement à l’aide du chiffrement et de la gestion des clés.

Le droit d'une personne à faire supprimer ses données personnelles par une entreprise ou autre organisation qui possède ou contrôle ces données.

Le « droit à l’information » est une exigence de transparence qui oblige les entreprises à informer les personnes concernées, au moment de la collecte, sur les données personnelles collectées, la finalité du traitement des données personnelles, la durée de conservation des données personnelles et les destinataires de ces données.

Le droit d'une personne à faire supprimer ses données personnelles par une entreprise ou autre organisation qui possède ou contrôle ces données.

Le droit d'une personne de demander et de recevoir ses données personnelles d'une entreprise ou d'une autre organisation.

Le droit pour les individus de corriger ou de modifier les informations inexactes les concernant.

Une évaluation des risques liés aux données est le processus d'analyse des données de votre organisation afin de déterminer leur niveau de sécurité actuel et d'identifier les domaines potentiels d'amélioration de ses contrôles de sécurité.

Le transfert non autorisé de données hors d'un ordinateur ou d'un réseau.

Un faux positif est une alerte qui signale à tort l'existence d'une vulnérabilité ou une activité malveillante. Ces faux positifs augmentent considérablement le nombre d'alertes à évaluer, surchargeant ainsi le travail des équipes de sécurité.

L’Autorité de régulation du secteur financier (FINRA, Inc.) a pour mission de protéger les investisseurs.

En communication, le flux de données désigne le chemin emprunté par un message de son origine à sa destination, incluant tous les nœuds par lesquels transitent les données.

Une violation de données est un incident de sécurité au cours duquel des données sensibles, protégées ou confidentielles ont été consultées ou divulguées à des personnes non autorisées. Ces incidents peuvent exposer des informations de santé protégées ou personnelles (ISP), des informations personnelles identifiables (IPI), de la propriété intellectuelle, des informations classifiées ou d'autres données confidentielles.

Dans le cadre du RGPD, les garanties appropriées désignent l'application des principes de protection des données du RGPD au traitement des données. Ces principes comprennent la transparence, la minimisation des données, la limitation de leur conservation, la qualité des données, la base juridique du traitement et la limitation des finalités.

La gestion de la posture de sécurité des données (DSPM) fournit la pièce manquante pour compléter le puzzle de la plupart des équipes de sécurité : un moyen d'identifier, de contextualiser et de protéger les données sensibles.

La loi Gramm-Leach-Bliley (GLBA) oblige les institutions financières à sécuriser et à assurer la transparence des informations personnelles non publiques (IPN).

Découvrez ce qu'est la gouvernance de l'accès aux données, son importance, ses avantages et comment elle contribue à sécuriser les données sensibles tout en garantissant la conformité et un contrôle d'accès efficace.

Découvrez ce qu'est la gouvernance des données dans le cloud, pourquoi elle est importante, les principaux défis, les meilleures pratiques et comment Cyera vous aide à sécuriser et à gouverner vos données cloud.

L'acronyme HIPAA signifie Health Insurance Portability and Accountability Act (Loi sur la portabilité et la responsabilité en matière d'assurance maladie). Il s'agit d'une loi américaine qui établit des normes et des réglementations nationales pour le transfert des dossiers médicaux électroniques. En vertu de la loi HIPAA, les patients doivent donner leur consentement explicite avant que leurs informations de santé puissent être partagées avec d'autres organismes.

HITECH est l'acronyme de Health Information Technology for Economic and Clinical Health Act (Loi sur les technologies de l'information en santé pour la santé économique et clinique). Il s'agit d'une loi américaine promulguée dans le cadre de l'American Recovery and Reinvestment Act de 2009. HITECH vise à renforcer les exigences de sécurité et de confidentialité des données de santé définies par la loi HIPAA. Pour ce faire, HITECH instaure des sanctions financières progressives en cas de non-conformité, ainsi que l'obligation de signaler toute violation de données.

Acronyme de Controlled Unclassified Information (Information non classifiée contrôlée).

Les informations personnelles sensibles identifiables (SPII) sont un sous-ensemble des informations personnelles identifiables, mais avec une importance et des risques accrus.

Les données qui doivent être protégées contre tout accès non autorisé afin de préserver la vie privée ou la sécurité d'une personne ou d'une organisation. Selon le NIST, il s'agit d'informations dont la perte, l'utilisation abusive, l'accès non autorisé ou la modification pourraient porter atteinte aux intérêts nationaux ou au déroulement des programmes fédéraux, ou encore à la vie privée à laquelle les individus ont droit en vertu de l'article 552a du titre 5 du code des États-Unis (loi sur la protection de la vie privée), mais qui n'ont pas fait l'objet d'une autorisation spécifique de classification, conformément aux critères établis par un décret présidentiel ou une loi du Congrès, dans l'intérêt de la défense nationale ou de la politique étrangère. Le RGPD désigne ces données comme des données personnelles sensibles, qui regroupent des opinions privées et des informations de santé relevant de catégories spécialisées et juridiquement protégées. Les entreprises sont tenues de traiter ces données avec le plus haut niveau de sécurité.

Toute action effectuée sur des données personnelles ou des ensembles de données personnelles, telle que la collecte, la structuration, le stockage ou la diffusion de ces données.

L’assurance que les informations n’ont pas été modifiées et qu’elles sont exactes et complètes. Le RGPD impose aux responsables du traitement et aux sous-traitants de mettre en œuvre des mesures garantissant l’intégrité des données.

La réponse aux incidents (parfois appelée réponse aux incidents de données) désigne les processus et technologies mis en œuvre par une organisation pour détecter les cybermenaces, les failles de sécurité ou les cyberattaques et y répondre. Un plan de réponse aux incidents formalisé permet aux équipes de cybersécurité de limiter ou de prévenir les dommages. Les services de réponse aux incidents complètent généralement la plateforme de sécurité des données de votre organisation, qui gère tout type de données grâce à des fonctionnalités automatisées de découverte, de classification, d'évaluation des risques et de remédiation.

Également appelés registres d'autorité, les inventaires de données recensent les données personnelles au sein des systèmes et permettent de cartographier la manière dont les données sont stockées et partagées. Les inventaires de données sont définis par les réglementations relatives à la protection de la vie privée, notamment le RGPD, le CCPA et le CPRA.

La gestion des droits relatifs à l'information (Information Rights Management) est un sous-ensemble de la gestion des droits numériques (Digital Rights Management) qui protège les informations de l'entreprise contre la consultation ou la modification par des tiers non autorisés, généralement grâce au chiffrement et à la gestion des autorisations.

Norme internationale de gestion de la sécurité de l'information, initialement publiée par l'Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (CEI) en 2005, puis révisée en 2013. Elle définit les normes de création, d'exécution, de maintenance et d'optimisation d'un système de gestion de la sécurité de l'information, afin d'aider les organisations à sécuriser davantage leurs actifs informationnels.

Un principe de sécurité qui stipule que les utilisateurs doivent se voir accorder le minimum d'autorisations nécessaires à l'exécution de leur travail.

La personne à laquelle se rapporte une donnée ou un ensemble de données.

En cybersécurité, une évaluation des risques consiste en une analyse approfondie d'une organisation visant à identifier ses vulnérabilités et les menaces qui y sont associées. Son objectif est de recenser les risques encourus par l'organisation et de formuler des recommandations pour les atténuer.

La limitation des finalités ou la limitation de l'utilisation des données exige que les entreprises veillent à limiter l'utilisation des informations personnelles (IP) aux finalités pour lesquelles elles ont été collectées. Le RGPD offre une plus grande latitude en matière de limitation des finalités.

L'exigence que les données soient physiquement stockées dans le même pays ou groupe de pays que celui d'où elles proviennent. Cette exigence est courante dans les législations modernes relatives à la protection des données et à la vie privée, telles que le RGPD, la loi chinoise CSL et la loi brésilienne sur la sécurité. Par exemple, en vertu du RGPD, une entreprise collectant les données d'un citoyen de l'UE doit les stocker sur un serveur situé dans l'UE.

Un terme qui désigne différents types de logiciels malveillants destinés à infiltrer des ordinateurs ou des réseaux informatiques.

Le Brésil a adopté mi-août 2018 un nouveau cadre juridique visant à encadrer l'utilisation et le traitement des données personnelles : la Loi générale sur la protection des données (RGPD). Cette loi remplace une quarantaine de lois existantes relatives à la protection de la vie privée et des données personnelles. Elle vise à garantir les droits individuels et à favoriser la croissance économique en instaurant des règles claires et transparentes pour la collecte des données.

La loi Sarbanes-Oxley (SOX) est une loi fédérale américaine visant à améliorer la transparence et la responsabilité financières des sociétés cotées en bourse. Son adoption en 2002 a été motivée par plusieurs scandales comptables largement médiatisés et a établi un certain nombre de normes que les sociétés cotées doivent respecter.

La loi Sarbanes-Oxley (SOX) établit des normes d'audit et de comptabilité financière pour les sociétés cotées en bourse.

Découvrez ce qu'est la loi sur les pouvoirs d'enquête (Investigatory Powers Act), pourquoi elle est importante et comment elle influe sur la sécurité, la confidentialité et la conformité des données.

Un référentiel pour stocker, gérer et distribuer des ensembles de données à l'échelle de l'entreprise.

Les entrepôts de données non gérés sont des déploiements qui doivent être entièrement pris en charge par les équipes de développement ou d'infrastructure, sans l'assistance du fournisseur de services cloud. Cette charge logistique supplémentaire peut être supportée par les équipes souhaitant se conformer aux exigences de souveraineté des données, respecter les exigences de sécurité liées au réseau privé ou au pare-feu, ou encore répondre à des besoins en ressources dépassant la taille ou les IOPS du service DBaaS (base de données en tant que service) proposé par le fournisseur.

Une modification délibérée de la configuration d'un système par un acteur malveillant, généralement pour créer un accès non autorisé ou exfiltrer des informations. Alors que la modification initiale peut impliquer un compte compromis ou une autre vulnérabilité, une mauvaise configuration offre l'avantage d'un accès permanent via des outils légitimes, sans nécessiter de mot de passe ni même après la correction d'une vulnérabilité.

Une configuration dangereuse ou non approuvée d'un compte, susceptible d'entraîner une compromission, est généralement effectuée par un utilisateur bien intentionné cherchant à résoudre un problème professionnel urgent. Bien qu'il n'y ait aucune intention malveillante, une mauvaise configuration est en réalité la principale cause de perte ou de compromission de données.

Toute personne ayant un accès interne aux réseaux ou aux ressources d'une organisation et pouvant ainsi exploiter les vulnérabilités de la sécurité de cette organisation ou voler des données.

Données qui décrivent d'autres données. Pour les bases de données, les métadonnées décrivent les propriétés du système de stockage lui-même, ainsi que la définition du schéma.

L'acronyme MFA signifie « Authentification multifactorielle ». Il s'agit d'un processus d'authentification qui exige plusieurs éléments de vérification. Par exemple, une connexion peut nécessiter un nom d'utilisateur et un mot de passe, ainsi qu'une vérification par SMS ou l'utilisation d'une clé de sécurité physique.

Qu'est-ce que Microsoft 365 ?

Un principe de confidentialité selon lequel les collecteurs de données ne doivent collecter et conserver que le strict minimum de données personnelles nécessaires au responsable du traitement des données pour l'exécution de ses tâches, et doivent supprimer ces données lorsqu'elles ne sont plus nécessaires.