La gouvernance des données

Lundi, 6 janvier 2025

Pratiques proactives de sécurité numérique pour l’amélioration des PME

Qu’est-ce qui est omniprésent dans le monde numérique? Le monde numérique n’existe pas sans les données. Pourquoi? Au-delà des réalités physiques du monde physique, les entrepreneurs des PME canadiennes doivent également coexister avec les réalités virtuelles et l’omniprésence des données dans le monde virtuel. En tant qu’éléments d’information recueillis auprès de multiples sources et stockés à des fins de référence, d’analyse et de prise de décision, les données sont essentiellement des faits, des chiffres et des détails en formes brutes qui, lorsqu’ils sont traités correctement, peuvent fournir des informations et des connaissances1. Les données sont partout: les températures relevées par une station météorologique, les messages textes que nous envoyons et recevons, les vidéos que nous regardons sur diverses plateformes, les courriels que nous échangeons entre nous, le matériel et les commentaires que nous publions dans les médias sociaux, et même notre rythme cardiaque enregistré par un appareil de surveillance d’activité physique, ou les résultats d’un ECG stockés dans un dispositif médical utilisé par un hôpital.

Considérées fondamentalement comme les éléments constitutifs de l’information et de la connaissance, les données sont caractérisées par leur nature, leurs formes, leurs types et leurs finalités. Nature : les données peuvent être qualitatives (informations descriptives) ou quantitatives (valeurs numériques). Formes : les données peuvent être produites sous de nombreuses formes telles que des textes, des nombres, des images, des contenus audios et vidéos. Types : les données sont souvent catégorisées comme structurées (c’est-à-dire organisées dans un format prévisible comme la plupart des bases de données), ou non structurées (c’est-à-dire dépourvues de format fixe comme le contenu des courriels), ou semi-structurées (c’est-à-dire un mélange de formats structurés et non structurés comme les courriels, les fichiers XML ou JSON). Finalités : lorsqu’elles sont traitées et analysées, les données servent à diverses fins, fournissant des informations qui aident à prendre des décisions éclairées, à résoudre des problèmes et à générer de nouvelles connaissances. Les données sont essentiellement la matière première qui, lorsqu’elle est convenablement collectée et traitée, se transforme en informations précieuses adaptables dans de nombreux domaines et applications.

Afin que les PME canadiennes puissent mieux gérer leurs données, nous proposons ici quelques balises vers une gouvernance efficace des données. Comment les entrepreneurs canadiens qui travaillent quotidiennement dans diverses organisations peuvent-ils appliquer des pratiques proactives de gouvernance des données pour l’amélioration de leurs PME respectives? En s’appuyant sur le savoir-faire synthétisé à partir des ressources essentielles2,3,4,5,6,7,8 référencées dans les notes de fin du présent document, notre Infolettre du mois de décembre 2024 fournit des réponses multifactorielles à cette question primordiale et elle explique les facettes pratiques relatives à plusieurs niveaux de la gouvernance des données.

1 Government of Canada. Treasury Board Secretariat Corporate Reports. Government in a Digital Age. 2023 –2026 Data Strategy for the Federal Public Service: Digital Government Innovation Enabling Interoperability. Government of Canada Official Publications. https://www.canada.ca/en/treasury-board-secretariat/corporate/reports/2023-2026-data-strategy.html

2 National Institute of Standards and Technology (NIST). U.S. Department of Commerce. NIST Internal Report—NIST IR 8496, Data Classification Concepts & Considerations for Improving Data Protection. Initial Public Draft, November 2023, 17 pages   https://nvlpubs.nist.gov/nistpubs/ir/2023/NIST.IR.8496.ipd.pdf

3 Harvard University. PrivSec – Information Security and Data Privacy. The Data Lifecycle. Cambridge, Massachusetts, USA. https://privsec.harvard.edu/data-lifecycle

4 Oleg Gusikhin, Slimane Hammoudi & Alfredo Cuzzocrea (Editors). Data Management Technologies and Applications: Conference Proceedings, 12th International Conference, DATA 2023, Rome, Italy, July 11–14, 2023, Revised Selected Papers. Published on the 6th of September 2024, Springer Nature Academic Publisher, German-British Publishing Company, headquarters: London, United Kingdom, 242 pages. https://link.springer.com/book/10.1007/978-3-031-68919-2

5 K. Selçuk Candan & Maria Luisa Sapino. Data Management for Multimedia Retrieval: Knowledge Management, Databases and Data Mining for Computer Science, Software Engineering and Development. Print Hardcover Edition of July 2010 and Online Edition of July 2014, Cambridge University Press, Cambridge, United Kingdom, 500 pages. https://www.cambridge.org/core/books/data-management-for-multimedia-retrieval/F0DCC5CDA740E5ADE1F6E6028A706BA2

6 Harvard University. PrivSec – Information Security and Data Privacy. Data Classification Table – Administrative Examples. Cambridge, Massachusetts, USA. https://privsec.harvard.edu/data-classification-table

7 David Feng, W.C. Siu & Hong Jiang Zhang (Editors). Multimedia Information Retrieval and Management: Technological Fundamentals and Applications. Paperback Edition published on the 15th of December 2010, Springer Nature Academic Publisher, German-British Publishing Company, headquarters: London, United Kingdom, 476 pages. https://link.springer.com/book/10.1007/978-3-662-05300-3

8 Ravi Jay Gunnoo. Cybersecurity Education Compendium: Harnessing Digital Safety Best Practices Across the World. 1st Edition published in Paperback—Large Print Format and e-Book Version. Publication date: the 18th of September 2024. Publishing Company: Amazon Publishing, Seattle, State of Washington, USA, 728 pages. https://www.amazon.ca/CYBERSECURITY-EDUCATION-COMPENDIUM-Harnessing-Practices/dp/B0DF6NPLFS/

La gouvernance des données : étapes de mise en œuvre

La mise en œuvre de la gouvernance des données va au-delà de la simple conformité; il s’agit d’utiliser les données comme un atout stratégique pour favoriser la croissance et l’innovation des entreprises. Pour parvenir à une gouvernance des données efficace, suivez les étapes ci-dessous :

  1. Établissez une politique de gouvernance des données.
  2. Inventoriez les données, notamment en déterminant leur classification.
  3. Gérez les données tout au long de leur cycle de vie.

1. Établissez une politique de gouvernance des données : quelques éléments constitutifs

L’établissement d’une politique de gouvernance des données pour les PME est indispensable pour garantir l’exactitude, la sécurité et la conformité réglementaire des données. Cette politique comprend un ensemble complet de règles et de directives visant à garantir que les données d’une organisation sont correctement inventoriées, classées et gérées. Elle décrit les procédures de traitement des données tout au long de leur cycle de vie, garantissant leur intégrité, leur disponibilité et leur confidentialité.

Quels sont les éléments constitutifs à inclure dans une politique de gouvernance des données?

  • Les objectifs de la gouvernance des données : définissez clairement les objectifs de votre initiative de gouvernance des données, son importance et son applicabilité au sein de votre PME, comme l’amélioration de la qualité des données, la garantie de la conformité et le renforcement de la sécurité des données.
  • Les rôles et les responsabilités : attribuez des rôles spécifiques à la gouvernance des données, notamment aux gestionnaires de données, aux propriétaires de données, aux dépositaires de données, au personnel informatique et aux utilisateurs finaux. Assurez-vous que chacun comprend ses responsabilités.
  • Les normes et les procédures relatives aux données : établissez des normes pour la collecte, le stockage, l’utilisation et le partage des données. Cela comprend la classification des données, les conventions de dénomination, les formats de données et la gestion des métadonnées.
  • La gestion de la qualité des données : mettez en œuvre des processus pour garantir l’exactitude, l’exhaustivité et la cohérence des données. Surveillez et mesurez régulièrement la qualité des données.
  • La sécurité et la confidentialité des données : délimitez des mesures de protection des données, notamment le chiffrement, le masquage des données, l’anonymisation, la prévention de la perte de données, les contrôles d’accès et la conformité aux réglementations en matière de confidentialité telles que la Loi sur la protection des renseignements personnels et des documents électroniques (LPRPDE) et les lois provinciales telles que la Loi 25 du Québec.
  • La gestion du cycle de vie des données : décrivez la manière dont les données seront saisies, stockées, partagées, archivées et éliminées. Veillez à ce que les données ne soient conservées que pour le temps nécessaire et éliminées conformément aux lois et réglementations.
  • La formation et la communication : élaborez un programme de formation pour informer les employés sur les politiques et les meilleures pratiques en matière de gouvernance des données. Communiquez régulièrement les mises à jour et les modifications.

2. Inventoriez les données : définition et étapes pratiques

Définis en quelques mots, l’inventaire des données est le catalogage complet des ressources de données d’une organisation. Il implique l’identification, la classification et la documentation des fournitures de données afin de garantir une gestion, une sécurité et une conformité adéquates des données. La création et la maintenance d’un inventaire des données se composent de plusieurs étapes pratiques pour garantir que tous les actifs de données sont suivis et gérés avec précision. Un inventaire des données aide les organisations à savoir quelles données elles possèdent, où elles sont stockées et comment elles sont utilisées et exploitées. Voici comment vous pouvez développer un inventaire complet des données :

  1. Identifiez les sources de données : commencez par répertorier toutes les sources de données au sein de votre organisation. Cela comprend les bases de données, les systèmes de fichiers, le stockage dans l’infonuagique, les applications telles qu’un CRM ou un système de comptabilité fondé sur l’infonuagique, le référentiel de code source et tout autre système dans lequel les données sont accumulées.
  2. Cataloguez les actifs de données : créez un catalogue de tous les actifs de données. Pour chaque actif, documentez les détails stratégiques tels que :
    • Le nom et la description.
    • L’emplacement, par exemple : l’emplacement physique ou infonuagique.
    • Les propriétaires ou les dépositaires des données.
    • Le type de données, par exemple : structurées, non structurées ou semi-structurées.
    • Les classifications (voir ci-dessous pour une description complète).
    • Les formats, par exemple : CSV, JSON, XML, etc.
    • Les renseignements personnels identifiables (RPI).

Selon la taille de votre organisation et le volume de données gérées, divers outils peuvent automatiser des étapes particulières du processus. Ces outils aident à découvrir, cataloguer et maintenir efficacement les actifs de données. Ils exploitent souvent l’intelligence artificielle et les métadonnées pour faciliter la gestion et le contrôle de ces actifs.

La propriété des données est un élément crucial du catalogue qui attribue la responsabilité du contrôle, de l’accès et de l’utilisation des données. Elle définit qui a le pouvoir de prendre des décisions concernant les données, notamment qui peut y accéder, comment elles peuvent être utilisées et comment elles doivent être surveillées. Le propriétaire ou gardien des données est également responsable de la conformité de la gouvernance des données aux normes de l’industrie et aux lois et réglementations gouvernementales, telles que la Loi sur la protection des renseignements personnels et des documents électroniques (LPRPDE) du Canada et la Loi 25 du Québec.

Un autre élément clef du catalogue est la composante de classification. En termes concis, la classification des données est le processus d’organisation des données en catégories qui facilitent leur gestion, leur protection et leur utilisation. Cette pratique aide les organisations à comprendre et à contrôler leurs données en attribuant des étiquettes en fonction du niveau de confidentialité, de l’importance et de l’utilisation prévue des données. Le propriétaire ou gardien des données est responsable de cette composante. Voici les principaux aspects de la classification des données :

  • La gestion des risques relatifs aux données : en évaluant les risques liés à leurs données, les organisations peuvent mieux classer leurs informations sensibles et mettre en œuvre des mesures de cybersécurité adéquates. Le risque est souvent évalué en fonction des critères suivants :
    1. Confidentialité : si les données sont divulguées, cela a-t-il une répercussion?
    2. Intégrité : si les données ne sont pas toujours correctes, cela a-t-il une conséquence?
    3. Disponibilité : si les données ne sont pas toujours disponibles, cela a-t-il un impact?
  • Le niveau de confidentialité des données : les données sont classées en fonction de leur confidentialité et de l’impact potentiel de leur divulgation. Les catégories courantes de confidentialité des données comprennent :
    1. Public : informations qui peuvent être librement partagées sans risque ;
    2. Interne : données destinées à être utilisées uniquement au sein d’une organisation ;
    3. Confidentiel : informations hautement personnelles qui nécessitent des contrôles d’accès stricts en raison de la confidentialité. Par exemple : données personnelles, identifiants de connexion aux services bancaires en ligne, secrets commerciaux, etc.
  • Les types de données : différents types de données peuvent avoir des exigences de classification différentes. Par exemple :
    1. Données personnelles : informations sur les personnes physiques qui peuvent être utilisées pour les identifier (c.-à-d. noms, adresses résidentielles, numéros de téléphone, numéros de sécurité sociale, etc.).
    2. Données financières : informations reliées aux transactions financières et aux coordonnées bancaires.
    3. Données médicales : informations relatives à la santé qui doivent être conformes aux réglementations telles que la règlementation HIPAA aux États-Unis.

En bref, la classification des données est un élément fondamental pour sécuriser et gérer efficacement les données. Elle aide les organisations à hiérarchiser leurs efforts de sécurité, à allouer efficacement les ressources et à garantir le respect des exigences gouvernementales, légales et réglementaires.

3. Gérez les données : démarcation et principales composantes

Succinctement expliquée, la gestion des données est la pratique qui consiste à stocker, organiser et maintenir les données afin d’assurer leur exactitude, leur disponibilité et leur sécurité tout au long de leur cycle de vie. Cela englobe une variété de processus et d’activités conçus pour aider les organisations à tirer le meilleur parti de leurs actifs de données. Les principales composantes de la gestion des données sont abrégées ci-dessous :

  • Le stockage des données : assurez-vous que les données sont stockées de manière sécurisée et organisée. Il s’agit de choisir des solutions de stockage appropriées telles que des bases de données, des entrepôts de données et l’emplacement approprié comme le stockage local, le stockage infonuagique situé au pays ou à l’étranger. Ces décisions doivent tenir compte du volume, de la vitesse et de la variété des données.
  • La gestion de la qualité des données : garantissez l’exactitude, l’exhaustivité, la cohérence et la fiabilité des données. Cela implique des processus de nettoyage, de validation et d’enrichissement des données pour maintenir des normes élevées de qualité des données.
  • La sécurité des données : la protection des données contre les accès non autorisés, les regards indiscrets, les violations et autres menaces de cybersécurité implique plusieurs mesures clés. Il s’agit notamment de configurer des contrôles d’accès restrictifs, de mettre en œuvre le cryptage, l’anonymisation, le masquage des données, la prévention des fuites de données et d’autres stratégies de cybersécurité pour garantir la protection des données.
  • La sauvegarde et récupération des données : la création de copies de données pour éviter toute perte provoquée par des pannes matérielles, des cyberattaques ou d’autres catastrophes. La sauvegarde des données, les plans de récupération et les tests réguliers garantissent que les données peuvent être restaurées rapidement et avec précision.
  • La gestion du cycle de vie des données : la gestion des données depuis leur création jusqu’à leur suppression. Cela implique la délimitation des politiques de conservation, l’archivage des données et la garantie que les données sont éliminées en toute sécurité lorsqu’elles ne sont plus nécessaires.
  • La réponse aux incidents qui affectent les données : élaborez un plan détaillé de réponse aux incidents (PRI) pour traiter rapidement toute violation de données ou incident de cybersécurité. Ce plan d’intervention d’urgence doit comprendre des étapes de confinement, d’éradication, de rétablissement et d’analyse post-incident.
  • La formation à la sensibilisation aux données : sensibilisez les employés aux meilleures pratiques en matière de cybersécurité et à l’importance de la protection des données. Des séances de formation régulières peuvent aider à prévenir les erreurs humaines qui pourraient mener à des violations de données.
  • La surveillance et journalisation des données : surveillez en permanence l’accès aux renseignements personnels et les activités des utilisateurs. Mettez en œuvre la journalisation pour suivre et analyser les événements de cybersécurité.
  • La sécurité physique des données : protégez l’accès physique aux salles de serveurs et aux périphériques de stockage pour empêcher le vol ou la falsification.

Une gestion efficace des données permet aux organisations de maximiser la valeur de leurs données, d’améliorer la prise de décisions, d’assurer la conformité, et de se protéger contre les violations de données et les incidents de cybersécurité. Il s’agit d’un élément sine qua non pour toute organisation qui s’appuie sur les données pour fonctionner, innover et développer ses activités.

Comprendre le cycle de vie des données et ses étapes typiques

Le cycle de vie des données fait référence aux différentes étapes par lesquelles traversent les données – de leur création à leur suppression. Comprendre le cycle de vie des données aide les organisations à classer, gérer et protéger les données avec succès. Quelles sont les étapes typiques du cycle de vie des données? Voici un résumé des étapes distinctes du cycle de vie des données :

  1. La création des données : il s’agit de l’étape initiale où les données sont générées, conçues et collectées. Cela peut provenir de diverses sources telles que des transactions, des capteurs, des saisies de données effectuées par les utilisateurs, des sondages, etc.
  2. Le stockage des données : une fois les données créées, elles doivent être stockées de manière sécurisée. Cela implique de sélectionner des solutions de stockage appropriées telles que des bases de données, des entrepôts de données ou un stockage infonuagique pour défendre la sécurité et l’accessibilité des données.
  3. L’utilisation des données : au cours de cette étape, les données sont consultées, utilisées pour de nombreuses raisons et partagées. C’est là que les données apportent de la valeur à une organisation.
  4. L’entretien des données : des activités d’entretien régulier garantissent que les données demeurent exactes, mises à jour et pertinentes. Cela comprend le nettoyage des données, la validation et la mise à jour des enregistrements s’il y a lieu.
  5. L’archivage des données : au fil du temps, certaines données peuvent ne plus être utilisées activement, mais doivent être conservées à des fins de conformité ou de référence historique. L’archivage déplace ces données vers des solutions de stockage à long terme.
  6. L’élimination des données : finalement, lorsque les données ne sont plus nécessaires et ont dépassé leur période de conservation, elles doivent être éliminées de manière sécurisée. Cela nécessite de supprimer les données de manière à ce qu’elles ne puissent pas être récupérées, protégeant ainsi les informations confidentielles.

Chaque étape du cycle de vie des données nécessite une planification et une gestion minutieuses pour assurer la véracité des données, la sécurité et la conformité aux exigences réglementaires. Une gestion appropriée à chaque étape aide les organisations à tirer le meilleur parti de leurs actifs de données tout en minimisant les risques.

Comment pouvez-vous protéger le partage de vos données avec des parties externes?

La protection de vos données lors du partage avec des parties externes nécessite plusieurs pratiques bénéfiques pour s’assurer que les données demeurent sécurisées et confidentielles. Certaines mesures efficaces se résument comme suit :

  • Les ententes de partage des données : établissez des ententes officielles avec des parties externes qui décrivent les conditions générales de partage des données. Ces ententes devraient inclure des clauses de confidentialité et préciser comment les données peuvent être utilisées et protégées.
  • Le cryptage des données : utilisez des méthodes de cryptage robustes pour sécuriser les données en transit et au repos. Cela garantit que même si les données sont interceptées, elles ne peuvent pas être lues sans la clef de cryptage.
  • Les contrôles d’accès : mettez en œuvre des contrôles d’accès stricts pour s’assurer que seules les personnes autorisées peuvent accéder aux données. Utilisez le contrôle d’accès basé sur les rôles (CABR) pour limiter l’accès en fonction du rôle et des responsabilités de l’utilisateur.
  • L’anonymisation ou le masquage des données : dans la mesure du possible, anonymisez ou masquez les données confidentielles avant de les partager. Ce processus comprend la suppression ou le masquage des détails tels que les renseignements personnels identifiables (RPI) afin de minimiser le risque d’exposition.
  • Les vérifications constantes et la surveillance régulière : effectuez des vérifications fréquentes et surveillez continuellement les activités de partage de données pour détecter et répondre à tout accès non autorisé ou activité suspecte.
  • L’authentification robuste : utilisez l’authentification multifactorielle (MFA) pour vérifier l’identité des utilisateurs accédant aux données. Cela ajoute une couche de protection supplémentaire au-delà d’un simple mot de passe.
  • La classification des données : classez clairement les données en fonction de leur confidentialité et mettez en œuvre les mesures connexes de protection. Assurez-vous que les parties externes comprennent les exigences de classification et de traitement.
  • La formation des employés : sensibilisez les employés et les partenaires externes aux meilleures pratiques en matière de sécurité des données. Une formation régulière peut aider à prévenir les violations accidentelles de données et à s’assurer que chacun comprend ses responsabilités.
  • Le plan de réponse face aux incidents (PRI) : mettez en place un PRI pour intervenir lorsqu’il y a des atteintes à la sécurité des données ou aux incidents de cybersécurité impliquant des parties externes. Ce plan d’intervention d’urgence devrait comprendre des étapes pour informer les parties concernées et réduire l’impact de la violation de données.

En mettant en œuvre les mesures évolutives susmentionnées, vous pouvez réduire considérablement le risque de violation de données et vous assurer que vos données restent protégées lorsque vous les partagez avec des parties externes.

Conclusion

La mise en œuvre de la gouvernance des données ne se limite pas uniquement à la conformité; il s’agit d’exploiter les données comme un atout stratégique pour améliorer la cybersécurité et stimuler la croissance des affaires pour les PME. Pour parvenir à une gouvernance agissante des données dans le contexte de la cybersécurité, suivez les étapes suivantes :

  1. Établissez une politique de gouvernance des données : élaborez une politique intégrale qui décrit les principes, les rôles et les responsabilités en matière de gestion sécurisée des données au sein de votre organisation.
  2. Faites l’inventaire de vos données : faites un inventaire complet de vos données, y compris leur classification, pour vous assurer que des mesures de traitement, de protection et de sécurité appropriés sont en place.
  3. Gérez les données tout au long de leur cycle de vie : mettez en œuvre des pratiques robustes de gestion des données pour superviser les données depuis leur création jusqu’à leur suppression, en garantissant leur intégrité, leur disponibilité et leur sécurité à chaque étape de leur cycle de vie.

En adhérant aux étapes énoncées ci-dessus, les organisations peuvent renforcer leur posture de cybersécurité, améliorer la prise de décision et stimuler l’innovation.

Ressources et références

Contributions

Nous remercions en particulier le Conseil national de recherches du Canada (CNRC) pour son soutien financier par le biais de son Programme d’aide à la recherche industrielle (PARI).

Éditeur en chef : Alan Bernardi

Informaticien & traducteur-réviseur certifié : Ravi Jay Gunnoo (C.P.T. ISO 17100)

In-Sec-M

283 Boul. Alexandre-Taché Suite F3006,
Gatineau (Québec)
J9A 1L8

info@insecm.ca