Le recours à la résidence des données n’est pas suffisant

Conformité    | 2 décembre 2015

Les organisations désireuses de respecter les exigences réglementaires et de confidentialité accordent beaucoup trop d’importance à la seule résidence des données. Si l’endroit où les données sont stockées est important, l’emplacement géographique n’est pas fixe lorsqu’il s’agit d’Internet.

Lorsque les organisations déplacent leurs opérations vers le cloud, elles sont confrontées aux complexités et aux pressions croissantes liées à la protection des données sensibles qui leur appartiennent et appartiennent à leurs clients. Sans parler de la prise en compte des exigences réglementaires locales qui limitent souvent l’emplacement des données afin de les garder hors de portée des politiques gouvernementales indiscrètes telles que le Patriot Act américain de grande portée.

Les frontières sont poreuses.

Les données fuient d’une juridiction à une autre en route vers leur destination finale. Les données ne sont pas non plus conservées de manière exclusive ; tous ces éléments peuvent être copiés à l’infini. Bien que l’original puisse résider dans un lieu suffisamment approuvé, des copies de celui-ci peuvent facilement exister dans des emplacements inattendus. Il n’est pas forcément nécessaire que ce soit un acte malveillant qui fasse une copie de ces données.

Les stratégies de sauvegarde ou de reprise après sinistre de vos fournisseurs de services peuvent créer par inadvertance des copies dans des centres de données dispersés géographiquement pour la redondance et la résilience des services. Que se passe-t-il si ces centres de données ne se trouvent pas dans une juridiction qui répond à vos exigences en matière de résidence des données ?

La vérité est que

Si votre organisation prend au sérieux la protection des données, vous ne pouvez pas vous fier uniquement à l’emplacement et aux lois locales pour vous acquitter de votre responsabilité envers vos clients afin de garantir que leurs données sont suffisamment protégées. Les lois sur la résidence des données ne suffiront pas à elles seules à résoudre le problème. Il s’agit de lignes directrices et de règles. Mais il n’est pas non plus possible pour une organisation ou ses fournisseurs de services cloud de construire des centres de données dans chaque pays pour tenter de se conformer aux exigences réglementaires locales. Même si c’était possible, cela n’empêcherait pas l’accès à ces données depuis d’autres pays.

Une sécurité efficace des données EST appliquée par couches.

Au minimum, il faut insister pour que vos fournisseurs de services cloud utilisent une forme de cryptage fort en plus de la localisation des données. Les organisations qui souhaitent sérieusement protéger leurs données sensibles et satisfaire aux exigences réglementaires doivent s’assurer que les données restent protégées tout au long de leur cycle de vie.

Il est important de prendre en compte les technologies qui rendent les données inutiles pour quiconque, à l’exception de leur destinataire prévu, à partir du moment où elles quittent votre organisation jusqu’au moment où elles sont consommées. Par exemple, le cryptage appliqué pendant le transport ainsi que le stockage protégera les informations sensibles quel que soit l’endroit où ces données se trouvent en fin de compte. De plus, une authentification fiable peut garantir que seul le consommateur visé aura la possibilité de décrypter ces données.

Le cryptage des données sensibles tout au long de leur cycle de vie peut alléger la charge des organisations qui doivent mettre en œuvre toutes les exigences réglementaires imposées en matière de protection des données d’un pays à l’autre. Cela simplifie considérablement la tâche de protection des données sensibles.

Le cryptage assure avant tout la protection des données de votre client, mais facilite également la conformité réglementaire.