Sur le papier, l'évaluation de la sécurité des données d'un fournisseur du secteur de la santé paraissait approfondie : chiffrement des bases de données confirmé, contrôles d'accès fondés sur les rôles documentés, journalisation d'audit activée, chiffrement des sauvegardes vérifié. Le traitement des données structurées était bien gouverné. Ce que l'évaluation n'a pas fait apparaître, parce que personne n'a posé la question, c'est que l'équipe du service client du fournisseur stockait les formulaires d'admission des patients, les documents d'assurance et la correspondance dans un canal Microsoft Teams partagé, rattaché à un dossier SharePoint. Ce dossier n'avait jamais été classifié. Il n'avait jamais été inclus dans le programme de gouvernance des données. Les permissions avaient été définies par la première personne qui avait créé le dossier et n'avaient jamais été revues. Les journaux d'accès du dossier SharePoint n'existaient pas, car la journalisation d'audit de SharePoint n'avait jamais été activée pour cet espace de travail. Une enquête ultérieure sur une violation de données a établi que le dossier était accessible aux deux cents employés du fournisseur, sous-traitants compris, depuis quatre ans. Les données structurées étaient sécurisées. Les données non structurées, d'une sensibilité équivalente, n'avaient jamais relevé d'aucun programme de gouvernance.
Pourquoi c’est important
La dimension du risque lié aux données non structurées est importante pour la TPRM, car les évaluations de fournisseurs centrées sur la sécurité des données structurées (chiffrement des bases de données, contrôles d'accès, journalisation d'audit) passent systématiquement à côté de la majeure partie de la surface de données, là où les informations clients sensibles ont le plus de chances de se trouver et le moins de chances d'être gouvernées. Un fournisseur dont la base de données est parfaitement sécurisée et dont les plateformes collaboratives contiennent des années de correspondance client non gouvernée présente une posture de sécurité des données que l'évaluation des données structurées décrit fidèlement pour vingt pour cent du tableau et ignore totalement pour les quatre-vingts autres.
L'implication réglementaire est directe. Les réglementations sur la protection des données, notamment le GDPR, le CCPA et la loi HIPAA, s'appliquent aux données personnelles quel que soit leur format ou leur lieu de stockage. Le nom d'un patient dans un champ de base de données et le nom d'un patient dans un formulaire d'admission numérisé stocké dans un dossier SharePoint sont tous deux des données personnelles bénéficiant des mêmes protections réglementaires. L'enquête du régulateur sur l'étendue d'une violation de données portera sur tous les emplacements où se trouvaient les informations du patient, et pas seulement sur la base de données structurée couverte par le programme de gouvernance des données du fournisseur. Si les référentiels non structurés ne sont pas gouvernés, leur étendue, leur historique d'accès et l'impact de la violation ne peuvent pas être déterminés, ce qui crée la même lacune d'enquête qu'une journalisation insuffisante, mais due à un défaut de découverte des données plutôt qu'à un défaut de journalisation.
Du point de vue de la minimisation des données, c'est dans l'accumulation de données non structurées que la plupart des organisations, et leurs fournisseurs, présentent leur plus grande exposition à des données excédentaires. Les bases de données structurées disposent généralement de politiques de conservation définies et de processus de suppression automatisés. Les référentiels non structurés s'accumulent indéfiniment, car aucun processus automatisé ne vérifie la pertinence des documents, n'applique les politiques de conservation aux fichiers individuels ni ne supprime les documents dont la durée de conservation est dépassée. Une relation fournisseur commencée il y a des années peut avoir laissé une traînée de documents d'admission, de tickets de support et de correspondance contenant des données personnelles de clients dans des référentiels non structurés qui n'ont jamais fait l'objet de suppression, jamais été classifiés et jamais été évalués.
Là où la plupart des équipes se trompent
La défaillance la plus répandue consiste à limiter l'évaluation de la sécurité des données aux systèmes de données structurées (bases de données, entrepôts de données et plateformes formelles de gestion des données) sans s'intéresser aux données non structurées qui s'accumulent au fil des interactions opérationnelles du fournisseur avec les données clients. L'évaluation couvre la strate de données que le fournisseur gère explicitement et ignore celle qui s'accumule au cours des activités courantes. La plupart des questionnaires de TPRM portent sur le chiffrement des bases de données, les contrôles d'accès aux bases de données et la journalisation d'audit des bases de données. Ils interrogent rarement sur la gouvernance de la gestion documentaire, la sécurité des plateformes collaboratives ou la conservation des courriels et les contrôles d'accès à la messagerie.
La deuxième défaillance consiste à ne pas demander aux fournisseurs d'énumérer tous les emplacements où des données clients pourraient se trouver : pas seulement le système de référence principal, mais tout système susceptible de contenir une copie, un fichier de travail, un ticket de support ou une communication faisant référence à des données personnelles de clients. Dans la plupart des organisations, l'ensemble réel des emplacements contenant des données clients est nettement plus vaste que l'ensemble des emplacements explicitement couverts par le programme de gouvernance des données. L'écart entre ces deux ensembles constitue le risque lié aux données non structurées qu'aucune évaluation des données structurées ne fera apparaître.
- Évaluation limitée aux systèmes de données structurées : bases de données et plateformes de données formelles évaluées sans couverture équivalente des stockages de documents, des plateformes collaboratives et des systèmes de messagerie
- Aucun inventaire de tous les emplacements des données clients : évaluation des systèmes principaux sans se demander où d'autre les données clients peuvent s'accumuler au fil des processus opérationnels
- Gouvernance des plateformes collaboratives non évaluée : Teams, Slack, SharePoint et les plateformes équivalentes ne sont pas inclus dans le périmètre de l'évaluation de la sécurité des données
- Stockage de fichiers parallèle non traité : aucune évaluation visant à savoir si les employés du fournisseur conservent des copies de travail des données clients dans des espaces de stockage personnels ou non gouvernés
- Politique de conservation limitée aux données structurées : gouvernance de la suppression et de la conservation couvrant les bases de données, mais pas les référentiels de documents et de communications où les données s'accumulent indéfiniment
À quoi ressemblent les bonnes pratiques
Les programmes matures de gouvernance des données des fournisseurs traitent les données non structurées avec la même rigueur que les données structurées : ils découvrent où elles se trouvent, les classifient, leur appliquent des contrôles d'accès, font respecter les politiques de conservation et les incluent dans le périmètre d'audit et de surveillance. La couverture est complète plutôt que sélective, ce qui reflète le fait que les données sensibles se trouvent dans les documents et les communications tout aussi sûrement que dans les bases de données.
- Inventaire complet des données : tous les emplacements où des données clients peuvent se trouver sont documentés, y compris les stockages de documents, les plateformes collaboratives, les archives de messagerie et les systèmes de support, en plus des bases de données principales
- Classification et découverte des données non structurées : outils de découverte des données appliqués aux référentiels de documents et aux plateformes collaboratives pour identifier et classifier les contenus sensibles, et pas seulement aux bases de données structurées
- Gouvernance des plateformes collaboratives : contrôles d'accès, politiques de conservation et journalisation d'audit activés pour les plateformes collaboratives qui traitent des données clients, à un niveau équivalent à la gouvernance des principaux systèmes de données
- Automatisation de la conservation des données non structurées : application automatisée des politiques de conservation aux documents et aux communications comme aux enregistrements des bases de données, afin d'empêcher une accumulation indéfinie
- Contrôles du stockage parallèle : politiques et contrôles techniques empêchant les employés du fournisseur de stocker des données clients sur des disques personnels ou dans des espaces de stockage cloud non gouvernés
- Périmètre des incidents incluant les données non structurées : procédures d'enquête sur les violations qui incluent les référentiels non structurés dans l'évaluation de l'étendue, sans se limiter aux principaux systèmes structurés
Outils
Gouverner les données non structurées exige des outils capables de découvrir, de classifier et de contrôler des contenus répartis dans des référentiels hétérogènes, un défi technique fondamentalement différent de la gouvernance des bases de données structurées.
Découverte et classification des données non structurées : Microsoft Purview, Varonis, BigID, Spirion
Ces plateformes appliquent une analyse de contenu aux référentiels non structurés, en recherchant dans les documents, les courriels et les contenus des plateformes collaboratives des motifs de données sensibles, notamment des identifiants personnels, des informations financières, des données de santé et des identifiants de connexion. Microsoft Purview s'intègre nativement aux plateformes collaboratives Microsoft 365, ce qui permet de classifier et de gouverner les contenus de Teams, SharePoint et Exchange. Varonis est spécialisé dans la gouvernance des systèmes de fichiers et des plateformes collaboratives et fournit des informations sur les accès et des alertes pour les référentiels de données non structurées. Pour les praticiens de la TPRM, demander si un fournisseur utilise des outils de découverte des données couvrant les référentiels non structurés en plus des bases de données permet de savoir si son programme de gouvernance des données reflète l'ensemble de sa surface de données.
Sécurité des plateformes collaboratives : Microsoft Defender for Office 365, Google Workspace DLP, Nightfall
Les outils de sécurité des plateformes collaboratives appliquent des politiques de DLP à Teams, Slack, Google Workspace et aux plateformes équivalentes, en détectant et en empêchant le partage de données sensibles par des canaux non contrôlés. Nightfall fournit une DLP fondée sur les API pour les plateformes collaboratives cloud qui ne disposent pas d'outils de sécurité natifs. Pour les praticiens de la TPRM, demander si la couverture de DLP du fournisseur s'étend aux plateformes collaboratives, et pas seulement à la messagerie et au stockage de fichiers, permet de savoir si le vecteur le plus courant d'accumulation de données non structurées est gouverné.
Gestion du cycle de vie de l'information : Microsoft 365 Compliance, OpenText, Micro Focus
Les plateformes de gestion du cycle de vie de l'information appliquent les politiques de conservation, les gels juridiques et la gouvernance des suppressions aux référentiels de données non structurées, afin que les documents et les communications soient conservés pendant les durées requises et supprimés une fois les exigences de conservation remplies. L'application automatisée des politiques de conservation est le seul mécanisme réaliste pour gérer le volume de données non structurées qui s'accumule au fil des activités courantes. Pour les praticiens de la TPRM, demander si le fournisseur applique automatiquement des politiques de conservation couvrant les référentiels non structurés en plus des systèmes de données structurées permet de savoir si la gouvernance de la conservation est systématique ou sélective.
DLP sur les terminaux : Microsoft Purview Endpoint DLP, CrowdStrike, Forcepoint
Les outils de DLP sur les terminaux empêchent la copie de données sensibles depuis les appareils des employés vers des supports amovibles, des espaces de stockage cloud personnels ou des emplacements de fichiers non gouvernés, ce qui traite le problème du stockage parallèle au niveau des terminaux. Pour les fournisseurs dont les employés accèdent aux données clients sur des appareils gérés, la DLP sur les terminaux constitue le contrôle technique qui empêche l'accumulation de copies non contrôlées hors de la gouvernance de l'entreprise. Pour les praticiens de la TPRM, demander si le fournisseur dispose d'une DLP sur les terminaux qui empêche le stockage de données clients dans des emplacements non gouvernés permet de traiter le risque de stockage parallèle que la seule gouvernance des plateformes collaboratives ne couvre pas.
Enjeux de gouvernance
Le défi de gouvernance des données non structurées est le problème de la découverte : on ne peut pas gouverner ce qu'on ne trouve pas, et les données non structurées sont réparties dans un ensemble hétérogène de référentiels que même l'équipe informatique de l'organisation ne connaît pas toujours entièrement. Un nouvel espace de travail collaboratif créé par une équipe produit, un dossier OneDrive personnel utilisé par un responsable de la réussite client, une instance de support créée pour un segment de clientèle particulier : chacun peut accumuler du contenu client sensible hors du cadre de gouvernance formel de l'organisation, sans déclencher d'alerte ni exiger d'approbation. Gouverner les données non structurées exige à la fois une capacité technique de découverte et une culture selon laquelle les données sensibles ne sont stockées que dans des emplacements gouvernés.
Pour les programmes de TPRM, la question pratique de gouvernance est de savoir si le fournisseur dispose d'un inventaire complet des données incluant les référentiels non structurés et si son programme de gouvernance des données s'applique à cet inventaire complet, et pas seulement aux principaux systèmes structurés. Le niveau de preuve attendu pour la gouvernance des données non structurées est nécessairement différent de celui des données structurées : les journaux d'accès aux bases de données fournissent des preuves précises, tandis que les preuves de gouvernance des données non structurées peuvent comprendre les résultats des outils de découverte des données, la documentation des politiques de DLP et la configuration des politiques de conservation. Ajuster les attentes en matière de preuves à la nature particulière de la gouvernance des données non structurées est nécessaire pour une évaluation pertinente.
- Demander un inventaire complet des données : tous les emplacements où des données clients peuvent se trouver, et pas seulement le système de référence principal
- Inclure les plateformes collaboratives dans le périmètre de l'évaluation : Teams, Slack, SharePoint et les systèmes de messagerie sont les principaux référentiels de données non structurées de la plupart des organisations
- Interroger sur la couverture des outils de découverte des données : les outils de découverte et de classification couvrent-ils les référentiels non structurés en plus des bases de données ?
- Exiger des preuves de la politique de conservation des données non structurées : confirmation que la gouvernance de la conservation s'applique aux documents et aux communications, et pas seulement aux enregistrements des bases de données
- Interroger sur les contrôles du stockage parallèle : ce qui empêche les employés du fournisseur de stocker des données clients dans des emplacements personnels ou non gouvernés
Si vous êtes une petite équipe
Ajoutez à votre évaluation de la sécurité des données une question qui ouvre la discussion sur les données non structurées : au-delà de vos principaux systèmes de bases de données, quels autres emplacements de votre environnement pourraient contenir des données clients que nous vous avons communiquées, y compris le stockage de documents, les plateformes collaboratives, les systèmes de messagerie, les outils de support et les fichiers de travail sur les appareils des employés ? Cette question appelle une réponse portant sur l'inventaire complet des données plutôt que sur les seules bases de données, et elle fera presque toujours apparaître des référentiels non structurés qui ne figuraient pas jusque-là dans le périmètre de votre évaluation. Pour vos fournisseurs les plus risqués, demandez ensuite quelle gouvernance s'applique précisément à ces référentiels.
- Ajouter à votre évaluation une question sur l'ensemble des emplacements de données : tous les référentiels, et pas seulement les bases de données principales
- Interroger spécifiquement sur les plateformes collaboratives (Teams, Slack, SharePoint et messagerie) en tant que référentiels de données
- Pour les fournisseurs qui traitent des données sensibles sur le long terme, interroger spécifiquement sur la couverture des données non structurées par la politique de conservation
- Demander si les outils de découverte des données couvrent les référentiels non structurés en plus des bases de données
Ce qu’il faut exiger
Demandez directement :
« Au-delà de vos principaux systèmes de bases de données, où d'autre dans votre environnement les données que vous avez reçues de nous pourraient-elles se trouver, y compris dans les systèmes de gestion documentaire, les plateformes collaboratives, les systèmes de messagerie, les outils de support et les appareils des employés, et quelle gouvernance des données s'applique à chacun de ces emplacements ? »
« Appliquez-vous des outils de découverte et de classification des données aux référentiels non structurés (stockages de documents, plateformes collaboratives et systèmes de messagerie) comme à vos bases de données structurées, et pouvez-vous confirmer que les données sensibles de ces référentiels sont gouvernées par des contrôles équivalents ? »
« Quelle est votre politique de conservation et de suppression des données non structurées (documents, courriels et contenus collaboratifs) contenant des données personnelles de clients, et comment cette politique est-elle appliquée sans dépendre d'une suppression manuelle ? »
Preuves attendues
- Inventaire complet des données incluant les référentiels non structurés en plus des bases de données principales
- Confirmation de la couverture des outils de découverte des données : référentiels non structurés inclus dans le périmètre de découverte et de classification
- Preuves de gouvernance des plateformes collaboratives : contrôles d'accès, politiques de DLP et journalisation d'audit activés
- Documentation de la politique de conservation couvrant les données non structurées, avec confirmation de son application automatisée
Il faut demander à un fournisseur qui répond à la question sur l'ensemble des emplacements de données que « toutes les données clients sont stockées dans notre base de données » où sont stockés les tickets de support, où vont les documents d'intégration et où est conservée la correspondance avec les clients. La base de données contient les enregistrements. Les opérations accumulées au fil de la relation contiennent tout le reste.
Comment le prouver
Le GDPR, le CCPA et la loi HIPAA s'appliquent aux données personnelles quel que soit leur format ou leur mode de stockage. Les orientations réglementaires reconnaissent de plus en plus que la gouvernance des données non structurées est un élément distinct et obligatoire de la conformité en matière de protection des données, et non une extension facultative des programmes portant sur les données structurées. Démontrer sa diligence raisonnable exige de prouver que les référentiels de données non structurées ont été évalués dans le cadre de l'évaluation de la sécurité des données du fournisseur.
- Registres d'évaluation des fournisseurs documentant les questions sur l'inventaire complet des données, y compris les référentiels non structurés
- Confirmation de la gouvernance des plateformes collaboratives pour les fournisseurs utilisant Teams, Slack ou des plateformes équivalentes
- Preuves de la couverture des référentiels non structurés par la découverte des données
- Preuves de conformité à la politique de conservation pour les données non structurées
- Confirmation des contrôles du stockage parallèle pour l'accès des employés du fournisseur aux données clients
À retenir
Quatre-vingts pour cent des données d'entreprise sont non structurées : documents, courriels, plateformes collaboratives et artefacts accumulés de chaque interaction opérationnelle entre votre organisation et vos fournisseurs. La plupart des programmes de sécurité des données des fournisseurs gouvernent avec une grande rigueur les vingt pour cent structurés et presque pas les quatre-vingts pour cent non structurés. Les données sensibles d'une base de données et les données sensibles d'un dossier SharePoint sont soumises aux mêmes obligations de protection des données, sont tout aussi pertinentes dans une enquête sur une violation et ont autant de chances de faire l'objet des questions d'un régulateur. Évaluer la sécurité des données d'un fournisseur, c'est évaluer l'endroit où se trouvent réellement les données, et pas seulement l'endroit où le programme de gouvernance a été conçu pour regarder.