25 mai 2018. Notez bien cette date. C'est la date d'entrée en vigueur du très controversé Règlement général sur la protection des données (RGPD). Ce texte législatif important et de grande portée aura sans aucun doute un impact majeur sur le monde de la cybersécurité et de la protection des données. Adopté par l'Union européenne le 27 avril 2016, le RGPD définit un nouvel ensemble de règles relatives à la sécurité et à la protection des données des personnes physiques au sein de l'Union européenne.
Le texte intégral du règlement peut être lu ici tandis que le site officiel du RGPD propose des résumés rapides des points clés de la législation, ainsi que de certains Questions fréquemment poséesEn résumé, le RGPD vise à moderniser les règles et réglementations relatives à la protection des données personnelles. data privacy Pour les citoyens de l'UE dans un monde de plus en plus numérique : le champ d'application territorial s'est étendu, des sanctions plus sévères ont été définies et seront appliquées, et les conditions du consentement au traitement des données ont également été formulées.
Un champ d'action étendu
Il est important de noter que le règlement, bien que s'appliquant aux citoyens de l'UE, ne se limite pas à l'Union européenne. En effet, il « s'applique à toutes les entreprises traitant des données personnelles de personnes résidant dans l'Union, quel que soit leur lieu d'implantation ». Par conséquent, si une organisation traite les données personnelles d'un citoyen de l'UE, par exemple via un site web, elle relèvera du champ d'application du règlement.
Maintenant qu'il est clair que le champ d'application de la réglementation est très vaste, les organisations doivent également prendre en compte les amendes considérables qu'elles s'exposent à encourir en cas d'infraction. Les sanctions peuvent aller d'un simple avertissement pour une première infraction non intentionnelle à des amendes pouvant atteindre la somme astronomique de 20 millions d'euros ou 4 % du chiffre d'affaires annuel, le montant le plus élevé étant retenu, pour les infractions graves. Il s'agit d'une somme colossale susceptible de ruiner les organisations. Par conséquent, il est fortement conseillé aux organisations de commencer à planifier leur mise en conformité avec la législation avant la date butoir (25 mars 2018).
Créer un plan de conformité
La première étape de la préparation au RGPD consiste en une évaluation et un examen approfondis. Idéalement, une entreprise devrait réaliser un audit de sécurité complet afin de déterminer son niveau de conformité au RGPD et d'élaborer un plan pour garantir cette conformité au plus tôt, et impérativement avant la date d'entrée en vigueur. Repenser les droits d'accès aux données peut constituer une première étape judicieuse, car des normes et des contrôles de sécurité contextuels peuvent faciliter la mise en conformité des organisations avec le RGPD. Avec l'essor des applications cloud, les organisations doivent impérativement mettre en place des contrôles et des autorisations adaptés aux exigences spécifiques. En effet, une solution unique ne saurait convenir à tous les cas de figure face aux menaces de cybersécurité.
La protection des données, objectif clé du RGPD, peut être plus facilement assurée en réduisant le nombre d'utilisateurs privilégiés. Lorsqu'un large groupe d'utilisateurs dispose d'un accès administrateur, une organisation devient très vulnérable aux violations de données et autres menaces de sécurité. Il est important d'être dynamique lors de l'octroi des accès et de les accorder au cas par cas et selon les besoins de chaque utilisateur.
Lire la suite : Exigences en matière de cybersécurité et de conformité : Partie 1
Mise en place de contrôles de sécurité
De même, la conformité au RGPD peut être assurée en se concentrant sur les fondamentaux en place. Les entreprises doivent s'assurer que leurs processus d'intégration et de départ sont transparents, efficaces et rapides. Les droits d'accès des employés ayant quitté l'organisation doivent être révoqués et un cadre approprié doit être mis en place. Les attaques de rançongiciels et de logiciels malveillants peuvent être prévenues par la mise en œuvre de contrôles de sécurité granulaires au niveau du hachage via l'affichage dynamique. Les administrateurs réseau peuvent également envisager d'autres méthodes, comme le blocage de l'accès aux fichiers et à certains sites web, le verrouillage des appareils externes, l'interdiction de l'enregistrement de fichiers sur les appareils de l'entreprise, etc. Il est également essentiel pour une organisation de conserver des enregistrements et des rapports relatifs aux accès des utilisateurs, car la capacité de suivi, d'enregistrement et de reporting rend l'organisation conforme au RGPD.
L'échéance approchant à grands pas, les organisations peuvent envisager de faire appel à un fournisseur de solutions de sécurité comme Seqrite pour les aider à se conformer au RGPD. Seqrite propose une évaluation des risques liés au RGPD et inclut des fonctionnalités telles que la protection contre les ransomwares et le chiffrement, aidant ainsi les organisations à se conformer aux directives.
En tant que partenaire de sécurité informatique pour votre entreprise, Seqrite offre une sécurité complète des terminaux contre les cybermenaces avancées. Pour en savoir plus, consultez notre site or
