Un fournisseur d’analyse des achats servait quarante-trois entreprises du classement Fortune 500 dans le secteur manufacturier. Chaque client partageait des données de prix fournisseurs, des conditions contractuelles, des engagements de volume et des indicateurs de relation fournisseurs pour permettre le service d’analyse des dépenses du fournisseur. Les données d’un seul client étaient commercialement sensibles. L’ensemble agrégé, représentant les renseignements sur les prix et les contrats fournisseurs de quarante-trois grands industriels, constituait une cartographie complète de la dynamique des prix fournisseurs, des remises sur volume et des structures contractuelles dans tout le secteur. Les chercheurs en sécurité qui ont analysé la notification de violation du fournisseur ont constaté que l’attaquant avait privilégié l’ensemble agrégé des données de tous les clients plutôt que les enregistrements de chaque client : l’agrégat était bien plus précieux pour le renseignement concurrentiel et la manipulation du marché que les données fournisseurs de n’importe quel client pris isolément. Chaque client avait partagé des données adaptées à un service d’analyse des dépenses. Aucun n’avait autorisé la création d’un référentiel de renseignement concurrentiel couvrant tout le secteur. Ce référentiel avait été constitué implicitement, à partir de leurs contributions individuelles, sans que personne ne décide explicitement de le créer.
Qu'est-ce que le risque d'agrégation de données, concrètement ?
Le risque d'agrégation de données est le risque qui naît de la combinaison d'ensembles de données anodins pris isolément mais sensibles collectivement. Il relève du patrimoine de données du fournisseur plutôt que des données d'un client donné : il découle de la position du fournisseur en tant que sous-traitant commun à plusieurs organisations d'un même secteur ou d'un même contexte. Les clients qui évaluent la sensibilité de leurs propres données et concluent qu'elle est maîtrisable n'évaluent peut-être que leur contribution à un ensemble combiné dont la sensibilité globale est supérieure de plusieurs ordres de grandeur à celle de chaque contribution.
Le problème de l'agrégation se manifeste sur deux plans. Le premier est le renseignement concurrentiel : lorsqu'un fournisseur détient des données équivalentes provenant de plusieurs concurrents d'un même marché, l'ensemble de données combiné révèle des dynamiques de marché, des positionnements concurrentiels et des informations stratégiques qu'aucun ensemble de données pris isolément ne divulguerait. Les données de tarification fournisseurs d'un fabricant sont sensibles. Les données de tarification fournisseurs de quarante fabricants du même secteur révèlent l'ensemble du paysage tarifaire, quels fournisseurs accordent les meilleures conditions à quels clients, et où se trouvent des anomalies de prix susceptibles d'orienter une stratégie de négociation. L'agrégat constitue un actif de renseignement concurrentiel d'une valeur que les contributions individuelles ne laissent pas soupçonner.
La deuxième dimension est la réidentification et le profilage à grande échelle. Des ensembles de données anonymisés ou pseudonymisés individuellement, qui semblent sans danger pour la vie privée, peuvent devenir réidentifiables une fois combinés. Un fournisseur d’analyse de santé détenant des données de patients désidentifiées provenant de dizaines de systèmes hospitaliers peut détenir suffisamment d’enregistrements croisés pour que des patients soient identifiables à partir de leur parcours de soins entre établissements, un risque de réidentification qu’aucun ensemble de données d’un système hospitalier pris isolément ne présenterait. L’agrégation crée un nouveau risque pour la vie privée à partir de la combinaison de risques gérés individuellement.
Le risque d’agrégation des données des fournisseurs se concentre autour de cinq schémas précis de valeur et d’exposition :
- Renseignement concurrentiel entre clients : un fournisseur détenant des données opérationnelles équivalentes de plusieurs concurrents d'un même marché, créant des renseignements agrégés auxquels aucun client n'a accès individuellement
- Réidentification croisée entre clients : un fournisseur détient des enregistrements désidentifiés ou pseudonymisés individuellement provenant de plusieurs organisations qui, combinés, permettent de réidentifier des personnes figurant dans plusieurs ensembles de données
- Données de référence sectorielles : un fournisseur qui élabore des référentiels sectoriels et des produits d'analyse à partir de données clients agrégées révélant des dynamiques de marché qu'aucun client n'a autorisé à divulguer
- L’agrégat comme cible de violation : l’ensemble agrégé des données de tous les clients est nettement plus précieux pour les attaquants que les enregistrements de chaque client, ce qui fait du fournisseur une cible de plus grande valeur que ne le laissent penser les évaluations des risques client par client
- Entraînement d’apprentissage automatique sur des données agrégées : des modèles entraînés sur des ensembles combinés de données clients intègrent des schémas transversaux susceptibles de laisser fuir du renseignement concurrentiel par leurs résultats
Pourquoi c’est important
Le risque d’agrégation des données est important pour le TPRM, car il représente une catégorie de risque invisible au niveau de l’évaluation d’un client individuel et visible uniquement au niveau du portefeuille du fournisseur. Une évaluation TPRM individuelle qui examine la sensibilité des données qu’une organisation donnée partage avec un fournisseur et conclut que le risque est gérable peut être tout à fait juste quant aux données de cette organisation prises isolément, tout en passant à côté du risque agrégé que crée le fournisseur en détenant simultanément les mêmes données provenant de dizaines de concurrents.
L'amplification de l'impact d'une violation est la dimension aux conséquences les plus immédiates. Lorsqu'un fournisseur qui agrège les données de plusieurs concurrents d'un même secteur subit une violation, l'attaquant accède à un ensemble de renseignements concurrentiels qu'aucun client n'aurait pu imaginer voir exposé par le biais d'une seule relation fournisseur. La notification de violation présente les ensembles de données de chaque client comme touchés, mais la véritable valeur extraite était l'agrégat, qui n'a jamais été explicitement créé, jamais explicitement encadré et jamais soumis à une évaluation des risques par aucun client.
La dimension réglementaire est tout aussi importante. Les principes de minimisation des données et de limitation des finalités du GDPR s’appliquent au traitement agrégé comme au traitement individuel. Un fournisseur qui construit des référentiels sectoriels à partir des données de ses clients utilise ces données à une fin qui dépasse le service d’analyse contractuel, créant un produit transversal sans l’autorisation explicite des clients dont les données y ont contribué. Les DPA individuels peuvent autoriser l’analyse des données de chaque client sans autoriser la création d’agrégats transversaux servant de produits commerciaux.
Là où la plupart des équipes se trompent
La défaillance la plus constante consiste à évaluer la sensibilité des données uniquement de manière isolée plutôt qu’au regard de ce que le fournisseur détient pour l’ensemble de sa clientèle. Les évaluations des risques client par client sont intrinsèquement incomplètes pour cette catégorie de risque : le risque d’agrégation existe au niveau du fournisseur, et non au niveau du client, et son évaluation exige de comprendre l’ensemble de la clientèle et du portefeuille de données du fournisseur. La plupart des programmes TPRM évaluent les données que le fournisseur détient pour l’organisation évaluée. Ils ne demandent pas ce que le fournisseur détient pour l’ensemble de ses clients réunis.
La deuxième défaillance consiste à ne pas interroger les fournisseurs sur leurs restrictions d’utilisation croisée des données entre clients. De nombreux fournisseurs construisent des référentiels sectoriels, des analyses transversales et des ensembles de données agrégés à partir des données combinées de leurs clients, sans autorisation explicite. Les DPA individuels peuvent autoriser une analyse client par client sans préciser si le fournisseur peut combiner les ensembles de données des clients pour des produits transversaux. Les fournisseurs interprètent généralement ce silence sur l’utilisation croisée comme une autorisation.
- Évaluer la sensibilité des données isolément : risque de la contribution individuelle plutôt que valeur agrégée sur l'ensemble de la clientèle du fournisseur
- Ne pas s'interroger sur le chevauchement sectoriel de la clientèle du fournisseur : savoir s'il détient des données équivalentes de concurrents
- Utilisation agrégée entre clients non traitée dans le DPA : le silence sur la combinaison des données de différents clients est interprété comme une autorisation
- Valeur globale de la cible en cas de violation non évaluée : la valeur que représente pour les attaquants l’ensemble agrégé des données du fournisseur est nettement supérieure à ce que laissent penser les données de chaque client
- Contribution aux produits de référence non encadrée : des données clients alimentant les produits de référence commerciaux du fournisseur sans autorisation explicite
À quoi ressemblent les bonnes pratiques
Une gouvernance mature du risque d'agrégation exige d'évaluer non seulement la relation individuelle relative aux données, mais aussi la position du fournisseur sur le marché : combien de concurrents du même secteur partagent des données équivalentes avec lui, quels ensembles agrégés sont créés à partir des contributions combinées, et si l'utilisation des données entre clients est explicitement encadrée dans chaque DPA.
- Évaluation de la clientèle du fournisseur : comprendre quelles autres organisations du même secteur partagent des données équivalentes avec le fournisseur
- Restrictions d'utilisation des données entre clients dans le DPA : interdiction explicite de combiner les données du client avec celles de concurrents pour des produits agrégés sans autorisation
- Valeur globale de la cible en cas de violation intégrée à l’évaluation des risques : le portefeuille de données clients combinées du fournisseur est évalué comme une exposition au risque unifiée, et non comme la somme de risques individuels
- Autorisation de contribution aux référentiels : un consentement explicite est requis avant que les données clients n’alimentent les référentiels sectoriels ou les produits d’analyse agrégée du fournisseur
- Confirmation de la ségrégation des données : confirmation technique que les données du client sont isolées et ne sont combinées aux données de concurrents à aucune fin sans autorisation
Outils
Évaluer et gouverner le risque d’agrégation des données exige des renseignements sur les portefeuilles clients des fournisseurs et des contrôles techniques de cloisonnement des données.
Plateformes de renseignement sur les fournisseurs : Interos, ProcessUnity, BitSight
Les plateformes de renseignement sur les fournisseurs fournissent des informations sur les portefeuilles clients et les positions de marché des fournisseurs, ce qui permet d’évaluer si un fournisseur détient des données provenant de plusieurs organisations d’un même secteur. Les analyses de la chaîne d’approvisionnement de BitSight font apparaître des relations entre les fournisseurs et leur clientèle que des évaluations TPRM individuelles ne révéleraient pas. Pour les praticiens TPRM, utiliser des plateformes de renseignement sur les fournisseurs pour comprendre la concentration sectorielle d’un fournisseur apporte le contexte nécessaire à l’évaluation d’un risque agrégé que l’évaluation individuelle des données ne peut pas faire apparaître.
Architecture d'isolement des données : sécurité multilocataire, AWS Organizations, Azure Management Groups
Les contrôles de multilocation du cloud assurent un isolement technique des données entre les ensembles de données des clients, empêchant que celles-ci soient combinées au niveau du stockage ou des requêtes sans autorisations d’accès explicites entre locataires. Pour les praticiens TPRM, demander si le fournisseur utilise une architecture multilocataire avec isolement technique des données plutôt qu’un isolement logique constitue une question technique précise permettant de savoir si la combinaison des données de différents clients est techniquement empêchée ou simplement interdite par contrat.
Analyse préservant la confidentialité : apprentissage fédéré, calcul multipartite sécurisé
Les techniques d'analyse préservant la confidentialité permettent aux fournisseurs de dégager des enseignements agrégés entre clients sans accéder aux données brutes des clients ni les combiner : l'apprentissage fédéré entraîne les modèles chez le client sans que les données brutes quittent son environnement, et le calcul multipartite sécurisé permet un calcul agrégé sans qu'aucune partie ne voie les données d'une autre. Pour les professionnels du TPRM, la connaissance de ces techniques permet d'évaluer si les fournisseurs proposant des référentiels comparatifs entre clients recourent à des approches préservant la confidentialité ou à la combinaison de données brutes.
Enjeux de gouvernance
La difficulté de gouvernance du risque d'agrégation tient à son invisibilité au niveau de chaque évaluation. Aucune évaluation TPRM d'un client ne révèle le risque agrégé, car chacune ne voit que sa propre relation. Traiter ce risque exige soit une coordination entre clients, généralement irréalisable sur des marchés concurrentiels, soit une évaluation au niveau du fournisseur qui examine l'ensemble de son portefeuille de données plutôt que la seule relation individuelle.
Pour les programmes TPRM, l’approche de gouvernance pratique consiste à ajouter des questions sur la clientèle et le portefeuille de données du fournisseur aux évaluations des fournisseurs opérant dans des secteurs où l’agrégation de renseignements concurrentiels est plausible : fournisseurs d’analyse dans les achats, les RH, le juridique, la finance et la santé, qui servent couramment plusieurs concurrents sur un même marché. Ces questions n’exigent pas d’accéder aux données d’autres clients ; elles exigent de comprendre si le fournisseur détient des données équivalentes provenant de concurrents et si l’utilisation croisée entre clients est encadrée.
- Ajouter des questions sur la clientèle du fournisseur pour le risque de concentration sectorielle : quelles autres organisations du même secteur partagent des données équivalentes
- Ajouter aux DPA des restrictions d'utilisation des données entre clients pour les fournisseurs d'analyse servant des marchés concurrentiels
- Intégrer la valeur de l'agrégat en tant que cible dans la notation du risque fournisseur : un fournisseur détenant des renseignements concurrentiels à l'échelle d'un secteur doit être noté plus haut que ne le suggère la sensibilité des données individuelles
- Interroger sur l’architecture de cloisonnement des données : isolement technique ou interdiction contractuelle de combiner les données de différents clients
- Exiger une autorisation de participation aux produits de référence pour les fournisseurs proposant des produits d’analyse sectorielle
Si vous êtes une petite équipe
Pour vos fournisseurs d’analyse, d’achats, de RH et de services financiers, ajoutez une question à votre évaluation : combien d’organisations de notre secteur partagent avec vous des données équivalentes, et vos contrats vous interdisent-ils de combiner, à quelque fin que ce soit, des données provenant de clients concurrents, y compris pour des référentiels, des analyses agrégées et l’entraînement de modèles ? Cette question fait apparaître la position globale du fournisseur dans votre secteur et indique si la combinaison des données entre clients est restreinte contractuellement ou implicitement autorisée. Pour tout fournisseur qui ne peut confirmer l’existence de restrictions sur l’utilisation croisée des données, ajoutez une interdiction explicite lors du prochain renouvellement du contrat.
- Demander aux fournisseurs d’analyse combien de concurrents du secteur partagent avec eux des données équivalentes
- Ajouter aux DPA des restrictions de combinaison des données entre clients pour les fournisseurs de secteurs concurrentiels
- Intégrer la valeur de renseignement concurrentiel de l'agrégat dans les notations du risque fournisseur
- Demander si les référentiels sectoriels du fournisseur incluent vos données et sur quelle base d'autorisation
Ce qu’il faut exiger
Demandez directement :
« Combien d’organisations de notre secteur partagent avec vous des données équivalentes, et ces organisations sont-elles nos concurrents directs ? Nous souhaitons comprendre le renseignement concurrentiel global que représente l’ensemble combiné des données de vos clients. »
« Vos contrats vous interdisent-ils de combiner, à quelque fin que ce soit, des données provenant de clients concurrents, y compris pour des analyses agrégées, des référentiels sectoriels et l’entraînement de modèles, sans l’autorisation explicite de chaque client contributeur ? »
« Nos données sont-elles techniquement isolées des données des autres clients sur votre plateforme, ou l’isolement est-il uniquement contractuel, ce qui signifie qu’elles pourraient être combinées au niveau de la couche de données avec les autorisations appropriées ? »
Preuves attendues
- Divulgation de la concentration sectorielle de la clientèle : combien de concurrents du secteur partagent des données équivalentes
- Confirmation de la restriction de l’utilisation croisée des données entre clients dans le DPA
- Description de l'architecture technique d'isolement des données
- Confirmation de l’autorisation des produits de référence : sur quel fondement d’autorisation reposent les données clients intégrées aux produits sectoriels du fournisseur
Un fournisseur qui répond à la question sur la concentration sectorielle par « nous servons de nombreuses organisations de premier plan dans différents secteurs » a refusé de décrire sa concentration concurrentielle. Demandez précisément combien d’entreprises de votre secteur partagent avec lui des données d’achats, de RH ou financières. La réponse à cette question détermine si votre contribution est un simple point de données dans un service d’analyse ou une pièce d’un actif de renseignement concurrentiel couvrant tout un secteur.
Comment le prouver
Les principes de limitation des finalités et de minimisation des données du GDPR s'appliquent à l'agrégation entre clients en tant qu'utilisation secondaire. Dans certaines juridictions, des considérations de protection des données concurrentielles et de secret des affaires s'appliquent à l'agrégation de renseignements concurrentiels par les fournisseurs. Démontrer sa diligence raisonnable exige de prouver que le risque d'agrégation a été évalué au-delà de l'évaluation de la sensibilité des données individuelles.
- Dossiers d'évaluation de la clientèle des fournisseurs à forte concentration sectorielle
- Restriction de l’utilisation croisée des données entre clients dans la documentation du DPA
- Documentation de la notation du risque agrégé reflétant la valeur de l’ensemble combiné des données clients
- Preuves d’autorisation pour les référentiels
À retenir
Votre ensemble de données, pris seul, est gérable. Votre ensemble de données combiné à ceux de quarante concurrents est un actif de renseignement concurrentiel qui définit un secteur. Le fournisseur détient les deux, votre contribution individuelle et l’agrégat qui naît des contributions de tous, et c’est l’agrégat que ciblent les attaquants et que des concurrents paieraient pour consulter. Aucun client n’a autorisé individuellement la création de l’agrégat. Chacun n’a autorisé que son propre service d’analyse. L’agrégat est né de la combinaison, invisible pour chaque évaluation des risques individuelle et encadré par aucun DPA individuel. Évaluer le risque lié aux données des fournisseurs exige de comprendre non seulement ce que vous partagez, mais aussi ce que le fournisseur détient pour l’ensemble de votre secteur. Le risque agrégé est le niveau de risque du fournisseur, pas le vôtre. Mais c’est chez vous qu’arrive la notification de violation.