Nous recensons et classons vos données sensibles, alignons chiffrement et accès sur leur classement, vérifions que vos sauvegardes résistent à un rançongiciel et que vous savez les restaurer, et faisons disparaître les données que vous n’avez plus de raison de garder.
Chiffrement, contrôle d’accès, sauvegarde : chaque mesure s’applique à un périmètre. Sans inventaire ni classement, on chiffre ce qui est facile, on sauvegarde ce qui est visible et l’on oublie les copies qui fuient.
Nous partons donc des données elles-mêmes : où elles vivent, qui y accède, combien de temps elles doivent exister. Les protections suivent ce classement, et une sauvegarde ne compte que si sa restauration a été éprouvée.
Un classement simple, porté par les métiers, qui décide des protections.
Vous obtenezUne cartographie des données et de leurs copies
Vous obtenezUne grille de classification et ses règles
Vous obtenezUne politique de chiffrement et de protection des données
Vous obtenezUn plan de sauvegarde testé et des durées de conservation appliquées
Les textes demandent une protection proportionnée à la sensibilité des données, le chiffrement là où il se justifie et la capacité de restaurer les données après un incident.
Le RGPD demande que les données personnelles soient traitées de façon à garantir leur sécurité et conservées pas plus longtemps que nécessaire ; responsable du traitement et sous-traitant mettent en œuvre des mesures adaptées au risque, dont, selon les besoins, la pseudonymisation et le chiffrement, et les moyens de rétablir la disponibilité des données en temps utile après un incident.12345
DORA demande aux entités financières d’identifier, de classer et de documenter leurs actifs informationnels, de maintenir un haut niveau de disponibilité, d’authenticité, d’intégrité et de confidentialité des données, au repos, en cours d’utilisation ou en transit, et de définir des politiques de sauvegarde selon la criticité ou le niveau de confidentialité des données, avec des tests périodiques des sauvegardes et des restaurations.6789
Son RTS impose une politique de chiffrement et de contrôles cryptographiques, conçue à partir d’une classification approuvée des données et d’une évaluation des risques TIC, qui couvre notamment le chiffrement des données au repos et en transit.101112
La directive demande aux États membres d’exiger des entités des politiques et procédures relatives à la cryptographie et, le cas échéant, au chiffrement, ainsi que la gestion des sauvegardes ; le ReCyF (version de travail) leur fixe l’objectif de mécanismes de sauvegarde et de restauration opérationnels, testés au minimum une fois par an.13141516
La CNIL recommande de chiffrer les postes nomades et les supports amovibles, de chiffrer les données au repos et en transit dans le cloud, de sauvegarder fréquemment en isolant au moins une sauvegarde hors ligne, de tester régulièrement leur restauration, et de supprimer les données de façon sécurisée avant la mise au rebut ou la réparation d’un matériel.171819202122
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous suivons la protection de vos données sensibles à intervalles convenus.
LivrablesNous concevons la classification, la politique de chiffrement et le plan de sauvegarde, et recommandons les mesures, que vous arbitrez.
LivrablesNous pilotons le programme avec votre DSI, vos métiers et votre DPO, sans effectuer les changements dans votre SI.
LivrablesNiveaux de sensibilité, exemples par métier et règles de manipulation associées : une grille à adapter à votre organisation.
Ce que l’on restaure, en combien de temps, et ce que l’on vérifie après : un protocole pour éprouver vos sauvegardes, pas seulement les compter.
Données sensibles, mesures de protection, tests de restauration et écarts dans un outil partagé avec vos équipes.
Non. Le chiffrement se décide à partir de la classification des données et des risques : c’est d’ailleurs ainsi que le RTS de DORA demande de concevoir la politique de chiffrement. Les données sensibles, les postes nomades, les sauvegardes et les flux qui sortent de votre réseau passent en premier.11
Seulement si au moins l’une d’elles est isolée hors ligne, hors de portée d’un attaquant qui contrôle votre réseau, et si vous avez vérifié que vous savez la restaurer. Nous testons les deux.2021
Il protège contre le vol d’un disque chez le fournisseur, pas contre un compte compromis ni contre le fournisseur lui-même lorsqu’il détient les clés. Qui gère les clés, et qui peut lire les données en clair, sont les vraies questions.
Non. Nous concevons, pilotons et vérifions ; vos équipes ou votre intégrateur déploient le chiffrement, les sauvegardes et les purges. Nous pouvons vous aider à trouver l’intégrateur adapté, que vous mandatez.
Dites-nous lesquels, où ils vivent et comment ils sont sauvegardés. Nous revenons vers vous avec une proposition de cadrage.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32016R0679-a5-p1-6processed in a manner that ensures appropriate security of the personal data, including protection against unauthorised or unlawful processing and against accidental loss, destruction or damage, using appropriate technical or organisational measures (‘integrity and confidentiality’).32016R0679-a5-p1-5kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the personal data are processed; personal data may be stored for longer periods insofar as the personal data will be processed solely for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes in accordance with Article 89(1) subject to implementation of the appropriate technical and organisational measures required by this Regulation in order to safeguard the rights and freedoms of the data subject (‘storage limitation’);32016R0679-a32-p1Taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, the controller and the processor shall implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, including inter alia as appropriate:32016R0679-a32-p1-1the pseudonymisation and encryption of personal data;32016R0679-a32-p1-3the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident;32022R2554-a8-p1As part of the ICT risk management framework referred to in Article 6(1), financial entities shall identify, classify and adequately document all ICT supported business functions, roles and responsibilities, the information assets and ICT assets supporting those functions, and their roles and dependencies in relation to ICT risk. Financial entities shall review as needed, and at least yearly, the adequacy of this classification and of any relevant documentation.32022R2554-a9-p2Financial entities shall design, procure and implement ICT security policies, procedures, protocols and tools that aim to ensure the resilience, continuity and availability of ICT systems, in particular for those supporting critical or important functions, and to maintain high standards of availability, authenticity, integrity and confidentiality of data, whether at rest, in use or in transit.32022R2554-a12-p1-1backup policies and procedures specifying the scope of the data that is subject to the backup and the minimum frequency of the backup, based on the criticality of information or the confidentiality level of the data;32022R2554-a12-p2Financial entities shall set up backup systems that can be activated in accordance with the backup policies and procedures, as well as restoration and recovery procedures and methods. The activation of backup systems shall not jeopardise the security of the network and information systems or the availability, authenticity, integrity or confidentiality of data. Testing of the backup procedures and restoration and recovery procedures and methods shall be undertaken periodically.32024R1774-a6-p1As part of their ICT security policies, procedures, protocols, and tools referred to in Article 9(2) of Regulation (EU) 2022/2554, financial entities shall develop, document, and implement a policy on encryption and cryptographic controls.32024R1774-a6-p2Financial entities shall design the policy on encryption and cryptographic controls referred to in paragraph 1 on the basis of the results of an approved data classification and ICT risk assessment. That policy shall contain rules for all of the following:32024R1774-a6-p2-1the encryption of data at rest and in transit;32022L2555-a21-p1Member States shall ensure that essential and important entities take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of network and information systems which those entities use for their operations or for the provision of their services, and to prevent or minimise the impact of incidents on recipients of their services and on other services. Taking into account the state-of-the-art and, where applicable, relevant European and international standards, as well as the cost of implementation, the measures referred to in the first subparagraph shall ensure a level of security of network and information systems appropriate to the risks posed. When assessing the proportionality of those measures, due account shall be taken of the degree of the entity’s exposure to risks, the entity’s size and the likelihood of occurrence of incidents and their severity, including their societal and economic impact.32022L2555-a21-p2-8policies and procedures regarding the use of cryptography and, where appropriate, encryption;32022L2555-a21-p2-3business continuity, such as backup management and disaster recovery, and crisis management;recyf:obj-13Les entités [importantes ou essentielles] mettent en œuvre des mécanismes de sauvegarde et de restauration opérationnels et les testent au minimum une fois par an.
Les entités [essentielles] définissent et maintiennent à jour des plans de continuité et de reprise d’activité adaptés aux besoins de leurs activités et services.F07-PE-04Prévoir des moyens de chiffrement des postes nomades et supports de stockage amovibles (ex. : ordinateur portable, clé USB, disque dur externe, CD-R, DVD-RW) tels que : le chiffrement du disque dur (de nombreux systèmes d’exploitation intègrent une telle fonctionnalité) ; le chiffrement fichier par fichier ; la création de conteneurs (dossier susceptible de contenir plusieurs fichiers) chiffrés.F22-PE-07Appliquer les précautions élémentaires du présent guide aux traitements dans le cloud. En particulier : chiffrer les données au repos et en transit et avoir une gestion des clés cryptographiques appropriée (voir la fiche n°21 - Chiffrement, hachage, signature). Il est à noter que l’utilisation des services de gestion de clefs proposés par le fournisseur de service implique que ce dernier a la capacité d’accéder aux données ; attribuer méticuleusement les accès et autorisations aux seules personnes habilitées à accéder aux ressources (données et applications) dans le cloud et appliquer le principe de moindre privilège (voir la fiche n°5 - Gérer les habilitations) ; authentifier les utilisateurs pour les accès aux services dans le cloud (voir la fiche n°4 - Authentifier les utilisateurs) et n’accorder que les habilitations nécessaires (voir la fiche n°5 - Gérer les habilitations) ; configurer les permissions liées aux ressources dans le cloud ; réaliser des sauvegardes (voir la fiche n°17 - Sauvegarder) et vérifier que le fournisseur dispose bien de lieux de sauvegarde géographiquement éloignés des centres de données.F17-PE-01Effectuer des sauvegardes fréquentes des données, que celles-ci soient sous forme papier ou électronique. Il peut être opportun de prévoir des sauvegardes incrémentales quotidiennes et des sauvegardes complètes à intervalles réguliers.F17-PE-03Isoler au moins une sauvegarde hors ligne, déconnectée du réseau de l’entreprise.F17-PE-06Tester régulièrement l’intégrité des sauvegardes et la capacité de les restaurer.F15-PE-06Supprimer de façon sécurisée les données des matériels avant leur mise au rebut, leur envoi en réparation chez un tiers ou en fin du contrat de location.