La conformité des données des institutions financières

Voici une statistique étonnante : 73 % des entreprises ont subi une fuite de données sensibles au cours de l’année écoulée, selon une étude de Microsoft.

Une statistique presque aussi surprenante est que seulement 23 % des entreprises utilisent largement l’automatisation pour la sécurité des données, l’un des moyens les plus importants pour éviter les problèmes de sécurité des données et de conformité.

Compte tenu de la lourdeur de la réglementation, les institutions financières ne peuvent pas faire partie des entreprises qui fuient des données sensibles et évitent l’automatisation. Qu’il s’agisse de la loi Sarbanes-Oxley (SOX), de la norme de sécurité des données de l’industrie des cartes de paiement (PCI-DSS) ou des nouvelles règles de confidentialité des données de la CPRA de Californie, les entreprises financières doivent prendre au sérieux la gestion des données. Cela signifie qu’elles doivent mettre en place l’automatisation adéquate.

Pourtant, de nombreuses institutions financières sont encore au milieu de la transformation numérique, avec des processus de conformité manuels ou des lacunes dans la couverture. Cela met les entreprises financières en danger. Si votre organisation fait partie de celles qui n’ont pas encore entièrement automatisé la conformité, voici les six étapes pour y parvenir.

Étape 1 : Définir votre plan d’automatisation

La première étape consiste à déterminer l’étendue complète des données attendues au sein de l’organisation, qui les possède et y accède, et quelles réglementations en matière de données s’appliquent à l’organisation. Pour ce faire, il faut généralement faire appel aux parties prenantes de l’entreprise. Dans le cadre de ce plan, vous devez également définir les différents objectifs et les catégories de sensibilité des données pour chaque groupe de données, classer les données en fonction de leur type et définir les niveaux de classification qui seront utilisés ultérieurement dans le processus d’automatisation.

Au cours du processus de planification, vous devez également définir et sélectionner les différentes technologies qui seront utilisées pour l’automatisation de la conformité des données. Les outils nécessaires découleront en grande partie de votre liste d’objectifs et d’exigences en matière de sécurité, mais ils devraient inclure une solution complète de découverte et de surveillance des données, un moteur de classification automatique des données, une solution de détection des menaces en temps réel basée sur le cloud et un système de provisionnement de sécurité automatisé.

Étape 2 : Inventaire des ressources de données

Une fois le plan en place, dressez un inventaire précis de l’univers des données de l’institution financière en analysant toutes les ressources de l’entreprise, les appareils utilisés par les employés pour travailler avec des données et tous les lecteurs du cloud public susceptibles de contenir des données de l’entreprise.

Veillez à sélectionner une solution qui préserve la vie privée des employés grâce à l’anonymisation, et communiquez cette information aux employés pour qu’ils acceptent que leurs appareils personnels soient scannés. Vous pouvez réduire la résistance à cette analyse en liant la recherche de données à la politique de votre entreprise en matière de travail à domicile.

Configurez votre solution de découverte des données de manière à ce qu’elle effectue un balayage continu après le balayage initial, afin de permettre une découverte continue des données à mesure que de nouvelles données sont créées.

Étape 3 : Catégoriser les données en fonction de leur classification

Une fois que le schéma complet des données est connu, étiquetez chaque élément de données d’entreprise selon le modèle de classification établi lors de la phase de planification. Chaque élément de données aura probablement plus d’une étiquette, et les étiquettes correspondront aux exigences de conformité, au niveau de sensibilité et aux besoins de sécurité. Grâce à ces balises, l’automatisation peut agir sur les données de manière intelligente et appliquer les cadres de gouvernance et de sécurité appropriés.

Un moteur de classification automatisé est essentiel pour baliser le grand volume de données au sein de l’organisation. Le processus de marquage doit commencer par la mise en place des règles de classification, l’exécution d’un processus de classification automatique, puis l’affinement de la classification automatique et la correction des erreurs de classification initiales par une révision manuelle.

Comme pour la découverte de données, le balisage doit se faire de manière continue après l’effort initial de catégorisation, afin que les nouvelles données soient également balisées automatiquement.

Étape 4 : Mettre en place une surveillance des données en temps réel

L’étape suivante consiste à mettre en place un système de surveillance des données et de détection des menaces pour assurer la conformité et la sécurité en permanence. Il peut s’agir d’un système unique de surveillance et de détection tout-en-un ou de plusieurs solutions de surveillance qui se chevauchent.

Quel que soit le système de sécurité choisi, assurez-vous qu’il effectue un balayage continu afin que votre organisation puisse surveiller les flux de données et les comportements à risque en temps réel. Elle doit être basée sur le cloud afin de couvrir l’ensemble du paysage des données et doit être capable de surveiller non seulement les ressources appartenant à l’entreprise, mais aussi les appareils et les services cloud que les employés utilisent dans le cadre normal de leur travail.

La bonne solution fournira en permanence un aperçu de haut niveau des données, mais permettra également d’accéder à des éléments de données spécifiques. Elle doit inclure un marquage automatique basé sur des règles définies par les équipes de conformité et de sécurité, une évaluation adaptative des risques pour repérer les problèmes avant qu’ils ne surviennent, ainsi que des indicateurs d’accumulation et d’exfiltration.

Étape 5 : Appliquer des contrôles de sécurité automatisés

Une fois toutes les données étiquetées, il faut mettre en place et appliquer des contrôles d’accès et de sécurité automatisés pour chaque catégorie de données. Le balisage effectué plus tôt dans le processus servira à guider et à déclencher les processus automatisés de conformité et de sécurité appropriés pour chaque élément de données.

La nature et la portée des contrôles de sécurité varieront en fonction de chaque institution financière, mais l’élément crucial est de s’assurer que tous les processus de conformité et de sécurité sont automatisés et ne nécessitent pas d’intervention manuelle. Les institutions financières voudront surveiller ces processus et les affiner au fil du temps, mais tous les processus doivent se dérouler automatiquement sans intervention manuelle afin que la conformité des données soit maintenue indépendamment de la charge de travail du personnel ou des erreurs humaines.

Étape 6 : Tester et affiner le système d’automatisation

La dernière étape de l’automatisation de la conformité des données est souvent minimisée, mais elle est l’une des plus importantes. Une fois l’automatisation en place, les institutions financières doivent tester rigoureusement chaque étape du processus par rapport aux objectifs définis, afin de s’assurer que l’automatisation fonctionne comme prévu. Même si la planification et la mise en œuvre sont correctes, il y aura toujours quelques défauts dans le système qui devront être corrigés avant qu’il ne fonctionne comme prévu.

Ce processus de test et de perfectionnement doit également être permanent. Dans le cadre du déploiement de l’automatisation, établissez un processus de révision périodique pour mettre à jour les règles de conformité en fonction de l’évolution des réglementations, adapter les contrôles de sécurité aux dernières menaces et faire évoluer l’automatisation de la conformité des données en fonction des besoins changeants de l’entreprise. Il s’agit notamment de revoir périodiquement toutes les étapes du processus d’automatisation pour s’assurer que le système continue à fonctionner conformément aux objectifs de conformité et de sécurité.

Automatiser la conformité des données n’est pas difficile. Elle nécessite simplement une bonne planification et la mise en place des bons outils.

Un outil qui facilite la conformité automatisée des données est Qostodian Recon™, notre solution automatisée de découverte, de classification et de surveillance des données. Pour voir Recon en action et apprendre comment il peut aider les institutions financières à répondre aux besoins de conformité des données, planifiez une démo dès aujourd’hui.