Protection & Sécurité informatique pour professionnels à Paris

Les données peuvent subir plusieurs types d’atteinte : 

• vol et diffusion non autorisée (atteinte à leur confidentialité) ;
• altération (atteinte à leur intégrité) ;
• suppression (atteinte à leur disponibilité) par manque de compétence ou de vigilance, ou exposition à un usage par des personnes qui ne doivent pas y avoir accès. 

Sécuriser ses données veut également dire les protéger d’événements physiques, accidentels ou délibérés, comme la panne, l’incendie ou le dégât des eaux, le dommage matériel causé à l’équipement informatique ou son vol.

La sécurisation des données n’est pas qu’affaire de danger extérieur : elle concerne tous les collaborateurs, et commence en interne avec une gestion rigoureuse de leurs droits dans les systèmes d’information, pour consulter et gérer l’information. Elle comprend aussi une part importante de sensibilisation, passant par la formation et la pratique au quotidien des règles élémentaires de protection du patrimoine informationnel de l’entreprise.

Enfin, rappelons que le RGPD impose des obligations de protection des données personnelles strictes à toutes les organisations, de ses clients comme de ses collaborateurs. Il les contraint à répertorier les besoins en données et à établir la liste des traitements nécessaires à son activité, de s’équiper de solutions de recueil de consentement, prendre des mesures de protection, et nommer un référent dans l’organisation, le Data Protection Officer.

Les mesures prises par les entreprises pour sécuriser les différents types de données doivent être proportionnelles aux risques encourus par celles-ci en cas de violation. Pour décider quelle mesure de protection prendre, les risques doivent être analysés, notamment par une étude d’impact en cas de violation de données personnelles ou de la sécurité de l’information dans l’entreprise. On gère donc différemment la protection des données selon leur type :

• Données personnelles : prestataires, collaborateurs, clients… Ces données font l’objet de règles rigoureuses dans le cadre du RGPD, qui tient les organisations responsables en cas de violation ;
• Données métiers : brevets, savoir-faire…
• Données stratégiques et légales ;
• Données financières.

Il est indispensable de cartographier toutes les données de l’entreprise afin de déterminer le moyen le plus efficace de les sécuriser. La veille juridique visera à assurer que matériel, logiciels et pratiques soient en conformité avec la législation en vigueur. Protéger toutes les données de l’organisation passe par des solutions humaines et techniques, comme le chiffrement (surtout en cas de communication vers l’extérieur), le verrouillage de l’accès aux données sensibles, l’externalisation de la sauvegarde…

En plus de la sécurisation des locaux de l’entreprise, il convient d’adopter un certain nombre de bonnes pratiques :

• Investir dans du matériel de qualité, régulièrement mis à jour pour éviter les intrusions dans les failles logicielles non résolues ;
• Contrôler les infrastructures et équipements : Mon-Infra vous accompagne dans la maintenance des postes. Ne pas négliger la protection physique du matériel (alarmes, antivols, locaux protégés, vidéosurveillance…), et l’installation électrique (risque de surtension) ;
• Automatiser ses sauvegardes, sur une machine dédiée dans l’entreprise, ou sur un serveur sécurisé hébergeant les données sur le cloud, dans un data center ;
• Composer des mots de passe complexes, à renouveler à intervalles fixes ;
• Installer différents types d’antivirus (antispam, anti-spyware, anti-malware…) et un firewall contre les tentatives d’intrusion ;
• Sensibiliser le personnel en édictant des règles et les formaliser avec le document consignant la politique de sécurité informatique : usage des clés USB, sources de téléchargement de logiciels, éviter de travailler sur des données sensibles dans des environnements non sécurisés (recours au wifi dans des espaces publics…) ;
• Sensibiliser aux pratiques protectrices contre le phishing, de la gestion de sa messagerie électronique et de ses données personnelles, non-divulgation de mots de passe, paramétrage de la mise en veille d’ordinateurs après inactivité…
• Gestion des accès (droits des utilisateurs) aux données sensibles et suppression des comptes utilisateurs quand des collaborateurs quittent l’organisation ;
• Choix rigoureux de prestataires informatiques et assurer la présence d’une personne de la DSI lors de leur intervention sur les systèmes de l’organisation ;
• Sécurisation du wifi, usage de VPN, authentification des usagers de postes en mode nomade ;
• Gestion du matériel en fin de vie : purge et destruction des données, avant recyclage du hardware.