Article 32 de la GDPR : trois stratégies qui garantiront la sécurité de vos processus

L’article 32 de la GDPR , la loi européenne sur la protection des données personnelles, impose au responsable du traitement et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, incluant la pseudonymisation et le chiffrement des données à caractère personnel et des moyens pour garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement.

En outre, lors de l’évaluation du niveau de sécurité approprié, la loi oblige à tenir compte des risques que présente le traitement, lié notamment à la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite.

Concrètement, quelles sont les stratégies sécuritaires à  mettre en place en miroir pour répondre à l’article 32 de la GDPR ?

1 : la prévention des vulnérabilités pour empêcher la destruction illégale et l’accès non autorisé aux données

Pour contrer une violation ou une attaque ciblée, il est nécessaire de protéger les données et les applications contre les tentatives de piratage, les menaces Web et l’exploitation distante des vulnérabilités. Trend Micro Deep Security intègre différents modules de sécurité – anti-malware, réputation web, pare-feu, prévention des intrusions, monitoring de l’intégrité, contrôle applicatif et inspection de logs – qui permettent de protéger les serveurs, applications et données dans tous les environnements physiques, virtuels et Cloud. Cette plateforme de sécurité protège les applications et les données métiers contre les vulnérabilités évitant ainsi d’avoir à déployer des patchs dans l’urgence. Les solutions de sécurité réseaux sont également essentielles ! Deep Security active des pare-feux hôtes bidirectionnels qui limitent la surface d’attaque des serveurs physiques, virtuels et Cloud (filtrage granulaire, règles par réseau et géolocalisation) sur tous les protocoles IP et identifient les communications Command & Control entrantes et sortantes, l’un des élément clés  du cycle de vie d’une menace !

2 : l’intégrité des processus pour éviter toute altération du traitement 

Trend Micro Deep Security assure le monitoring de l’intégrité et surveille les fichiers critiques du système d’exploitation et des applications (répertoires, clés de registre et valeurs) pour détecter et consigner en temps réel les modifications non programmées et/ou malveillantes. Un système de liste blanche automatique d’événements de confiance est activé, basé dans le Cloud et géré par Trend Micro (Certified Safe Software Service). La fonction de contrôle applicatif détecte et stoppe automatiquement les logiciels non autorisés, scanne le système afin d’identifier quelles applications y sont hébergées, le verrouille et empêche de nouvelles applications de fonctionner si elles ne sont pas intégrées dans les listes blanches. La solution identifie également les menaces sans signature dont les menaces “zero day”.

3 : la prévention contre la perte de données pour empêcher toute divulgation non autorisée et leur perte  

La prévention des pertes de données joue un rôle essentiel dans la protection contre les fuites de données accidentelles ou malveillantes. Aujourd’hui, les entreprises doivent être en mesure d’identifier, de suivre et de sécuriser toutes les données stockées, en cours d’utilisation ou en cours de transfert. Il est de plus en plus difficile d’y parvenir du fait de l’augmentation des facteurs de risques, notamment avec les employés en déplacement et l’utilisation répandue de clés USB, du webmail, de la messagerie instantanée… Les solutions DLP (prévention des pertes de données) de Trend Micro identifient les données sensibles sur les ordinateurs portables, postes de travail et serveurs garantissant ainsi la sécurité des actifs essentiels de l’entreprise sur le réseau ou en dehors de celui-ci. Elles détectent les programmes malveillants de vol de données (réseaux de zombies, processus FTP masqués, enregistreurs de frappe, spywares et chevaux de Troie qui essaient de collecter et d’envoyer des données) et participent également à la formation des utilisateurs en concevant des boîtes de dialogue interactives personnalisées pour informer les employés des comportements à risques et demander une identification le cas échéant.

 

Leave a Reply

Your email address will not be published. Required fields are marked *