Romain Alberca
Depuis de nombreuses années, les fuites de données représentent la principale menace dans le domaine de la cybersécurité.
Selon le Cyberedge Report, en 2020, 86 % des organisations ont été victimes d’au moins une cyberattaque réussie.
Le Data Breach Investigation Report de Verizon estime d’ailleurs que sur les 4 dernières années, les fuites d’origine interne représentent 34% des vols de données d’entreprise.
Qu’est-ce qu’une fuite de données et quels sont les risques encourus ?
Une fuite de données se caractérise par une divulgation non autorisée de données, malveillante ou non, intentionnelle ou non, compromettant la confidentialité ou la disponibilité de données personnelles.
Ces fuites de données peuvent être regroupées en 2 catégories principales : les fuites externes (majoritairement des malwares) et les fuites internes (l’accès à des données par des personnes non habilitées, mais également des fautes ou malveillances internes).
Aujourd’hui malheureusement bien connues et de plus en plus fréquentes, les fuites externes sont régulièrement dues à des failles technologiques exploitées par des hackers. Qu’il s’agisse de « phishing » (technique visant à leurrer un utilisateur en se faisant passer pour un tiers de confiance), de malwares ou de spywares (logiciel espion permettant aux cybercriminels d’accéder secrètement à des données personnelles), ces techniques concernent aujourd’hui tout type d’organisation dans le monde entier.
Qu’arrive-t-il aux organisations en cas de fuites de ces données ?
Les risques sont multiples :
- En premier lieu, un risque financier lié à une perte d’activité, mais aussi de compétitivité, sans compter les coûts potentiels en consulting ou matériel pour résorber ces fuites. Selon le rapport Cost of a Data Breach publié par IBM, le coût moyen en France d’une fuite de données s’élève à 3,65 millions d’euros.
- Moins quantifiable mais tout aussi important, le risque de perte de réputation, d’image de marque. Les entreprises victimes de fuites de données ont en effet l’obligation de le signaler à une autorité de contrôle, et parfois même aux personnes ou clients concernés.
- Enfin, le risque de dépôt de réclamation des personnes concernées dans 20% des cas selon le cabinet Pinset Masons.
Conscientes de ces risques, les organisations mettent en place de nombreuses protections contre les attaques externes, mais elles négligent très souvent les risques internes.
Fort heureusement, il existe différents mécanismes pour s’en prémunir :
- Le DLP (Data Loss Prevention), dispositif visant à empêcher les utilisateurs d’envoyer des données sensibles ou critiques en dehors de l’organisation
- La classification des informations, afin d’empêcher les utilisateurs non autorisés d’exposer ou de divulguer des informations confidentielles
- La politique utilisateurs (principes de moindre privilège et besoin d’en connaître), qui implique une restriction des droits d’accès d’un utilisateur précis dans l’entreprise)
- Le chiffrement, procédé de cryptographie de données
- L’anonymisation, procédé permettant de sécuriser les données hors production. C’est la raison pour laquelle nous allons nous pencher sur ce dernier.
Empêcher les fuites de données internes grâce à l’anonymisation
Qu’est-ce que l’anonymisation, et en quoi diffère-t-elle de la pseudonymisation ?
La CNIL décrit l’anonymisation des données comme un traitement qui consiste à utiliser un ensemble de techniques de manière à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit et de manière irréversible.
La pseudonymisation, quant à elle, permet d’exploiter les données, mais de manière réversible. Elle est donc soumise au RGPD (Règlement Général sur la Protection des Données).
Lorsqu’on pense aux données en entreprise, on pense bien évidemment à l’environnement de production. Cet environnement héberge en effet de nombreux applicatifs utilisés par les utilisateurs finaux, comme par exemple un conseiller bancaire au sein d’une institution financière. Les données en production sont dans la plupart des cas très sécurisées, et ne représentent pas un risque majeur de fuites.
Mais Il s’avère parfois nécessaire de sortir les données de cet environnement de production pour assurer le bon fonctionnement d’une entreprise, et c’est à ce moment-là que l’on fait face à des enjeux de cybersécurité.
C’est le cas par exemple des environnements de formation pour de nouveaux collaborateurs, ou à des fins d’analyse comme la BI (Business Intelligence) qui est considérée aujourd’hui comme le centre névralgique des activités marketing d’une entreprise.
D’autres données sont également extraites de l’environnement de production pour être confiées à des prestataires, qui sont d’ailleurs parmi les plus ciblés par les attaques (cibler un prestataire permet potentiellement aux hackers de toucher plusieurs centaines d’entreprises).
Et bien évidemment les environnements de développement et de test de logiciels, qui ont besoin de données de test réalistes.
Toutes ces données se retrouvent donc exposées sans être sécurisées.
L’anonymisation répond à ces enjeux en les transformant en données fictives mais réalistes. Ces données paraissent réelles pour les utilisateurs mais ne dévoilent aucune information personnelle ou identifiante. Toute fuite de ces données n’aurait donc aucune incidence, puisque ce ne sont pas des données réelles.
Mais l’anonymisation ne se limite pas à ces cas d’usage. Elle peut également être appliquée dans le cadre du principe de besoin d’en connaitre.
En effet, il est possible d'intégrer à vos outils le mécanisme d'anonymisation et d'utiliser, ou non, l'anonymisation en fonction du profil.
Imaginons le cas d’un développeur en charge d’une application RH. Ce dernier a dans ce cas besoin d’avoir accès à des données cohérentes, mais en aucun cas réalistes, puisque personnelles et identifiantes. L’anonymisation répond donc à ce besoin. Quant au profil métier (Responsable des Ressources Humaines), l’accès à ces données resterait inchangé.
L’anonymisation répond à de nombreux cas d’usage en matière de cybersécurité. C’est la raison pour laquelle l’efficacité de cette technique permet également de se soustraire du RGPD (Règlement Général sur la Protection des données), puisque la législation relative à la protection des données ne s’applique plus, car la diffusion ou la réutilisation des données anonymisées n’a pas d’impact sur la vie privée des personnes concernées.