La mise en conformité des données informatiques
Ces dernières années, l’apparition de normes de mise en conformité des données informatiques a bouleversé l’industrie informatique. Il est fort possible que votre entreprise soit aujourd’hui directement concernée par ces normes. Si vous êtes un consultant ou une société privée, ces normes ne vous affectent peut être pas directement. Cependant il se peut que vos clients le soient. C’est pourquoi, quel que soit votre cas, les informations présentées ici sont importantes.
Les normes réglementaires affectent des domaines aussi larges que le respect de la vie privée, la sécurité, la rétention, la protection et la responsabilité des données. Des systèmes de vérification sont mis en places pour préserver l’information et les données. Des procédures d’investigation permettent de vérifier l’intégrité de la confidentialité, sécurité et protection des données.
Des mesures légales et commerciales protègent les sociétés en cas d’investigation, mais elles garantissent également la protection des données des consommateurs et des patients. Voici une liste des lois de mise en conformité les plus communes. Cette liste n’est pas exhaustive mais elle permet de se faire une idée des lois déjà en place.
- Sarbanes-Oxley Act
Plus connu sous le nom de SOX, cette loi rend les directeurs financiers directement responsables des rapports financiers. Des auditeurs indépendants révisent les contrôles et les procédés en place pour s’assurer que les rapports financiers sont exacts. Des contrôles des écritures et des procédés permettent d’éviter les activités frauduleuses. - Healthcare Insurance Portability and Accountability Act (1996)
Cette loi exige entre autre la mise en sécurité des informations du patient. - European Union Data Protection Directive
Cette directive établit un standard pour la protection des données privées dans l’ensemble de le Communauté Européenne. Tous les pays membres doivent proposer des législations nationales afin de garantir un certain nombre de « principes de base commun ». - Payment Card Industry Data Security Standard
Le 30 juin 2005, l’association des 4 principales cartes de crédit américaines (Visa, MasterCard, American Express, and Discover Network) a adopté un nouveau standard commun pour la sécurité des données (Payment Card Industry Data Security Standard; PCIDSS). Tous les commerçants acceptant ces cartes doivent s’y conformer. - Japan’s Personal Information Protection Act (2003)
Le 23 mai 2003, l’assemblée du Japon a adopté une loi sur la protection des données personnelles. Cette loi s’applique à l’ensemble des organisations publiques et privées qui collectent, manipulent ou utilisent des informations sur 5000 personnes et plus. - Gramm-Leach-Bliley Act
L’Acte Gramm–Leach–Bliley Act (Protection des données privées pour les institutions financiers) vise à la protection des données personnelles non publiques, stipulant que les données financières soient sécurisées, protégées et finalement recyclées de sorte que l’information soit totalement détruite. - Breach Notification Legislation
Une loi californienne (California’s Senate Bill 1386 (SB1386)) oblige à ce que les habitants de Californie soient informés en cas de faille de sécurité d’un système informatique contenant des informations personnelles.
Les mises en conformité des données peuvent être résumées en termes simples “Gardez-les, Protégez-les, Préservez-les”. Cela demande des équipements informatiques et des procédures supplémentaires pour maintenir le contrôle de ces informations.
L’un des aspects les plus importants est que les données stockées soient accessibles en totalité à tout moment. Lors de catastrophe au centre de stockage de données, les sociétés qui ont besoin de recouvrer rapidement l’accès à l’information se tournent vers Ontrack Récupération de Données. Dans d’autres cas, des logiciels qui facilitent la recherche rapide de données, tel que Ontrack PowerControls pour serveur Exchange, font partie des plans de conformité des départements informatiques.
L’un des risques les moins documentés est la panne des systèmes de stockage. Que se passe t-il lorsque le serveur utilisé pour la mise en conformité tombe en panne ? Comment conduire un audit des résultats financiers de fin de trimestre lorsque la base de données commerciales est corrompue ? A qui faire appel lorsque le serveur de messagerie tombe en panne en plein milieu d’une enquête par l’Autorité des Marchés Financiers ? Ces situations se produisent tous les jours. Pour minimiser les risques, les administrateurs de stockage peuvent adopter des procédures :
- Systèmes de stockage hors ligne — Eviter de forcer le fonctionnement d’un lecteur ou une centrale de stockage (disk array). Il y a généralement une bonne raison lorsqu’une carte contrôleur interrompt un lecteur. Forcer le redémarrage d’une centrale de stockage peut exposer le volume à une corruption du fichier système
- Reconstruire un lecteur en panne — Lorsque vous reconstruisez un lecteur en panne, il est important de permettre à la carte contrôleur de finir ce processus. Si un second lecteur tombe en panne ou se retrouve hors ligne, arrêter tout et chercher l’aide des services professionnels de récupération de données. Lors de la reconstruction, remplacer un 2 ème lecteur en panne change les données sur les autres lecteurs.
- Interruption de service — Si le problème remonte au support technique du fabriquant, n’hésiter pas à demander “Est ces que l’intégrité des données est en jeu”? ou, « Y a t’il des risques d’endommagement mes données » ? Si le technicien répond qu’il y a effectivement des risques potentiels pour les données, arrêter tout et chercher l’aide de services de récupération de données.
- Faire soi même la récupération — Il se peut que des départements informatiques disposent d’employés ayant travaillé avec des outils de récupération de données automatisés ou des utilitaires de gestion de disques durs. Certains utilitaires trouvés sur Internet se veulent gratuits et promettent de réparer des disques durs. Vérifiez la source de ces logiciels et assurez vous qu’ils proviennent d’une société réputée ayant mis en place des processus de développements fiables et d’assurance qualité. Des logiciels non testés peuvent engendrer des résultats imprévisibles.
Lorsque le PC ou le portable d’un utilisateur tombe en panne, n’assumez pas que les fichiers sont sauvegardés ou synchronisés sur le serveur. A l’inverse, ne pensez pas que les données ont disparu à jamais. Demandez l’aide d’une société spécialisée.
