Dans l'un de nos articles les plus récents, nous avons discuté de l'importance de la confidentialité des données et des meilleures pratiques que les organisations devraient adopter pour s'assurer que les informations sensibles sont conservées en toute sécurité. Nous avons également discuté des principes et réglementations qui régissent la confidentialité des données. Ici, nous allons discuter de la conformité des données. La conformité des données est la pratique consistant à s'assurer que les entités respectent les réglementations pour s'assurer que les données sensibles qu'elles possèdent sont organisées, stockées et gérées de manière à être protégées contre la perte, la corruption, le vol et l'utilisation abusive.
Lisez la suite pour en savoir plus sur les réglementations, les solutions et les normes de conformité des données.
Lire aussi: CONFIDENTIALITÉ DES DONNÉES : importance et meilleures pratiques pour les organisations
Qu'est-ce que la conformité des données ?
Comme indiqué précédemment, la conformité des données fait référence aux réglementations et aux normes qu'une entreprise doit suivre afin de protéger les actifs numériques sensibles à sa disposition - généralement des informations personnellement identifiables et des informations financières - contre la perte, le vol et l'utilisation abusive. Ces réglementations prennent plusieurs formes. Elles précisent quelles données doivent être protégées, quelles pratiques sont acceptables et les sanctions en cas de non-respect des normes.
Bien que la conformité des données et la sécurité des données puissent sembler similaires, elles ne sont pas la même chose. Alors que la conformité et la sécurité des données visent à réduire et à gérer les risques liés à la collecte, à la conservation et au traitement des données, la conformité des données garantit simplement que vous respectez le strict minimum d'obligations légales. La sécurité des données, quant à elle, englobe tous les processus et technologies utilisés pour protéger les données sensibles, tels que les pare-feu, le cryptage et les protocoles de protection par mot de passe.
Quels sont les 3 états de conformité des données ?
Ils sont les suivants:
- Données sur le repos
- Données sur le mouvement
- Données d'utilisation
Réglementations et solutions de conformité des données
#1. HIPAA
La Health Insurance Portability and Accountability Act de 1996 précise comment les entités aux États-Unis en possession des données médicales et de santé des individus doivent maintenir la sécurité et la confidentialité de ces dossiers.
Considérant qu'il s'agit de certains des documents les plus sensibles, la pénalité pour ne pas les avoir conservés peut être lourde pour l'organisation. Il y a eu des cas où une société a été forcée de payer des millions de dollars. Par exemple, en 2018, une certaine compagnie d'assurance a accepté de payer une amende de 16 millions de dollars après qu'une tentative de piratage a révélé les informations de santé de plus de 79 millions de clients.
De plus, HIPAA exige que tous les dossiers de santé électroniques ne soient accessibles qu'aux personnes ayant des raisons légitimes, de sorte que le cryptage et des restrictions d'accès strictes sont essentiels. Les règles s'appliquent non seulement aux enregistrements de la base de données, mais également à ceux qui sont partagés. Des mesures doivent donc être prises pour garantir que les actions telles que les e-mails et les transferts de fichiers sont soigneusement surveillées, protégées et gérées.
#2. PCI DSS
Le PCI-DSS est le deuxième sur la liste des solutions de conformité des données. La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) est un aspect important de tout processus de conformité pour les organisations qui traitent les informations financières des consommateurs, car elle établit des réglementations sur la manière dont les entreprises gèrent et protègent les données des titulaires de carte telles que les numéros de carte de crédit.
Contrairement au GDPR, PCI DSS est une norme industrielle plutôt qu'une réglementation gouvernementale. Cependant, cela ne diminue pas son importance, car toute entreprise qui enfreint ses normes de conformité des données peut faire face à de lourdes amendes ou même voir ses relations avec les banques ou les processeurs de paiement résiliées, ce qui rend extrêmement difficile pour les entreprises d'accepter les paiements par carte.
Même si une entreprise utilise des services tiers pour traiter les paiements par carte, comme beaucoup le font, il incombe toujours à l'entreprise d'assurer la sécurité de toutes les données de carte de crédit ou de débit qu'elle collecte, transmet ou conserve.
Les procédures spécifiques que les organisations doivent suivre varient en fonction du nombre de transactions qu'elles traitent - celles qui ont une clientèle plus importante seront confrontées à des réglementations de conformité des données beaucoup plus strictes - mais en fin de compte, les normes PCI DSS exigent des entreprises qu'elles garantissent un niveau de sécurité particulier.
Il convient de mentionner que le Conseil des normes de sécurité de l'industrie des cartes de paiement décrit une série de mesures que les entreprises doivent prendre pour se conformer à ces normes. Ces mesures vont de l'installation d'un pare-feu suffisant à des tests périodiques des systèmes et des processus pour sécuriser les données des titulaires de carte. De toute évidence, il ne peut y avoir aucune excuse pour ne pas avoir mis en place un plan clair pour atteindre ces normes.
#3. RGPD
Le RGPD est l'une des réglementations les plus récentes et les plus complètes en matière de données. Depuis sa promulgation le 25 mai 2018, le RGPD a mis en place un certain nombre de solutions concernant le droit des personnes à savoir quelles données les entités détiennent sur elles, comment les entreprises doivent traiter ces données et des lois plus strictes pour signaler les violations de données.
Fait intéressant, ces réglementations ne s'appliquent pas uniquement aux entreprises établies en Europe. Si vous traitez avec une personne relevant de la juridiction de l'UE, vous devez respecter les règles du RGPD. Bien que la loi contienne de nombreuses exigences, la majorité d'entre elles peuvent être réduites à trois principes de base : obtenir le consentement, réduire la quantité de données détenues et protéger les droits des personnes concernées.
Bien que cela puisse sembler être une étape mineure, la première chose que chaque entreprise doit faire pour assurer la conformité à la législation et aux normes GDPR est de nommer quelqu'un pour superviser ses activités. Cette personne, connue sous le nom de data agent de conformité, est requis dans certaines entreprises qui utilisent de grandes quantités de données, et leur devoir est de superviser la stratégie et la mise en œuvre de la protection des données pour garantir le respect des exigences et réglementations du RGPD.
#4. CCPA
Il s'agit de l'une des protections des consommateurs les plus strictes auxquelles de nombreuses entreprises basées aux États-Unis seront confrontées. Il a été surnommé le RGPD de la Californie, et bien qu'il ne soit pas aussi strict dans des domaines tels que les exigences de déclaration que le RGPD, il est à certains égards bien plus que son homologue européen.
Par exemple, il comprend toute information à partir de laquelle des inférences peuvent être tirées pour créer un profil client qui reflète les « préférences, caractéristiques, tendances psychologiques, prédispositions, comportements, attitudes, intelligence, capacités et aptitudes » d'une personne dans sa définition des données privées.
La conformité au CCPA ne sera pas requise pour toutes les entreprises. Elle ne s'applique qu'aux entreprises dont les revenus annuels bruts dépassent 25 millions de dollars; ceux qui acquièrent, reçoivent ou vendent les informations personnelles de 50,000 50 personnes, foyers ou appareils ou plus ; ou des entreprises qui génèrent XNUMX % ou plus de leur chiffre d'affaires annuel en vendant les informations personnelles de leurs clients.
Bien que cela exclue de nombreuses petites entreprises, cela signifie que pratiquement toutes les moyennes ou grandes entreprises travaillant avec des clients en Californie seront couvertes. Cela peut le rendre plus pertinent pour de nombreuses entreprises américaines que GDPR, car si certaines organisations ont choisi de cesser complètement de faire des affaires en Europe pour éviter ce règlement, il peut être beaucoup plus difficile pour elles d'éviter le CCPA, car elles n'ont pas à être basés en Californie, ou même avoir une présence physique dans l'État, pour être soumis à ses dispositions.
#5. SOx
La loi Sarbanes-Oxley de 2002 (SOX) a été promulguée pour empêcher la répétition des scandales comptables d'entreprise qui ont enveloppé Enron, WorldCom et d'autres. Par conséquent, comme il se concentre sur les rapports financiers plutôt que sur la protection des données, les professionnels de l'informatique peuvent le considérer comme moins vital que certaines des autres normes auxquelles ils doivent se conformer. Au contraire, ce n'est pas le cas. Les départements informatiques ont des devoirs distincts à jouer pour s'assurer que ces besoins sont satisfaits.
Pour commencer, ils doivent se conformer au PDG et au directeur financier en s'assurant qu'ils reçoivent des rapports financiers en temps réel sur l'organisation. Cela implique de mettre en place des mécanismes pour automatiser les rapports et configurer des alertes à déclencher lorsque des événements critiques se produisent et méritent un examen plus approfondi.
En outre, le personnel informatique doit également garantir que tous les enregistrements sont stockés de manière appropriée. Par conséquent, des sauvegardes efficaces et opportunes des informations critiques et des systèmes de gestion des documents sont essentielles pour maintenir la conformité à ces règles. Pour être efficaces, ils doivent également assurer une visibilité complète sur tous les aspects des actifs numériques de leur entreprise. Les messages instantanés, les e-mails, les appels téléphoniques enregistrés et les transactions financières doivent tous être conservés pendant au moins cinq ans au cas où les auditeurs le souhaiteraient. Par conséquent, des systèmes de gestion appropriés doivent être en place.
Enfin, les professionnels de l'informatique doivent s'assurer que la tenue des dossiers et les audits se déroulent aussi bien que possible lorsqu'ils se conforment à SOX. Les outils d'automatisation des activités, de gestion et de surveillance des flux de données, ainsi que d'archivage et de récupération rapides des informations joueront tous un rôle important à cet égard.
Les avantages de la conformité des données pour les organisations
Lorsque votre organisation accorde la priorité à la sécurité et à la conformité des données, vous devez vous attendre à des récompenses financières. D'une part, vous pourrez rassurer les clients sur le fait qu'ils peuvent vous laisser leurs données. Cela va un long chemin pour garantir fidélisation de la clientèle et une image positive
De plus, s'efforcer de concevoir et d'enregistrer des protocoles sur la façon dont votre entreprise gère les informations sensibles, protège la vie privée et répond aux failles de sécurité permet à votre organisation de rester résiliente et adaptable lorsque votre environnement change et que des imprévus se produisent.
Enfin, la mise en œuvre rigoureuse des normes de conformité en matière de sécurité aidera votre entreprise à réduire les risques d'atteinte à la réputation et financière causés par les violations de données.
Bien qu'il soit important de démontrer aux auditeurs que votre entreprise répond à certaines exigences (par exemple, SOX, HIPAA, CCPA), vous devez vous rappeler que le maintien d'une politique de conformité en matière de protection des données est en fait à votre avantage. Une approche systématique de la conformité peut vous aider à réduire la probabilité d'occurrences qui exposent les données de vos clients, la propriété intellectuelle de l'entreprise et les opérations commerciales.
Comment maintenez-vous la conformité des données ?
En tant que propriétaire d'entreprise, suivez ces mesures de contrôle pour maintenir la conformité aux normes et réglementations en matière de sécurité des données :
#1. Tenir des registres précis des mesures de sécurité des données et des procédures d'audit.
Pour les raisons suivantes, il est essentiel de conserver un enregistrement de toutes vos procédures de protection et d'audit des données :
Pour commencer, cet enregistrement garantira qu'aucune personne n'a une connaissance détaillée des actions de conformité de votre entreprise. Sans cet enregistrement, votre entreprise peut être dans le noir et un audit peut révéler des faiblesses flagrantes dans le programme de sécurité et de conformité des données.
De plus, cet enregistrement d'activité de conformité démontrera les efforts de bonne foi de votre organisation pour se conformer à chaque ensemble d'exigences. De nombreuses réglementations prévoient des exceptions de bonne foi qui permettent aux autorités de réduire les pénalités pour les organisations qui ont mis en place des processus de conformité solides ou qui s'efforcent activement d'en développer un.
Enfin, pour réussir un audit, vous devez montrer à l'auditeur que vous prenez au sérieux les normes de sécurité des données. Les auditeurs veulent des enregistrements complets pour déterminer si les procédures que vous avez mises en place sont adéquates pour protéger les données que vous stockez ou traitez. Travailler avec les exigences des auditeurs à l'esprit peut vous aider à rester concentré sur ces éléments clés.
#2. Utiliser la mesure CCF.
Un cadre de contrôle commun (CCF) est un ensemble complet de critères de contrôle dérivés d'un large éventail de normes de sécurité et de confidentialité des données de l'industrie. L'utilisation d'un CCF permet à une entreprise de respecter les normes de sécurité, de confidentialité et d'autres procédures de conformité tout en limitant le risque d'être « surcontrôlé ».
#3. Assurez-vous que vos précautions en matière de confidentialité des données sont à jour.
Ces normes accordent une grande importance à la sécurité des données. Ainsi, en plus de vous assurer que vous disposez d'une procédure de conformité de sécurité solide, assurez-vous que vous disposez également de solutions de conformité des données à jour. Ces solutions de conformité des données sont essentielles pour réduire la probabilité d'une violation de données dans votre organisation.
Si les mesures de gestion et de protection des données de votre entreprise sont faibles, il sera beaucoup plus difficile de respecter les normes de sécurité et de conformité des données conçues avec les technologies d'aujourd'hui à l'esprit.
#4. Désignez un responsable de la sécurité des données et des normes de conformité.
Compte tenu des facteurs précédents, vous vous demandez peut-être qui est responsable de la conformité des données. Votre processus de sécurité et de conformité des données, comme tout autre, nécessite un point de contact unique : un responsable pour gérer toutes les pièces mobiles. Cette personne doit avoir un accès direct aux cadres et la crédibilité et le pouvoir de persuader les autres dans toute l'organisation de satisfaire aux normes de sécurité et de conformité des données.
Quel est le rôle d'un Data Compliance Officer ?
La principale responsabilité du responsable de la conformité des données est de s'assurer que son organisation traite les données personnelles de ses employés, clients, fournisseurs ou de toute autre personne conformément aux exigences applicables en matière de protection des données.
Récapitulation
Pour éviter des amendes ou des atteintes à leur réputation, les organisations doivent mettre en place un programme de conformité et une politique de protection des données solides. Sinon, ils courent le risque de perdre des clients ou, pire, de payer une amende colossale.
Articles Relatifs
- SYSTEMES DE GESTION DE LA CONFORMITE : définition, exemples et options logicielles
- MEILLEUR LOGICIEL DE GESTION DES POLITIQUES : Avis 2023
- CONFORMITÉ RH : qu'est-ce que c'est, logiciel, formation et importance
Référence
- IPF
