Conformité au Règlement général sur la protection des données (RGPD)

Présentation du RGPD

Le règlement général sur la protection des données est arrivé. Le RGPD est conçu pour améliorer la protection des données à caractère personnel et augmenter la responsabilité des organisations en cas de fuites de données. Avec des sanctions financières pouvant atteindre 4 % des revenus globaux ou 20 millions d’euros (en fonction du montant le plus élevé), ce règlement n’est pas sans conséquences. Indépendamment de l’endroit où se trouve le siège social de votre organisation, si cette dernière traite ou contrôle les données à caractère personnel des citoyens de l’UE, vous devez vous préparer.

Exigences spécifiques

Certaines des dispositions essentielles du RGPD imposent aux organisations les exigences suivantes :

• Le traitement des données à caractère personnel d’une manière qui garantit leur sécurité, « y compris la protection contre le traitement non autorisé ou illicite ». (Article 5)
• La mise en œuvre de techniques et de mesures organisationnelles afin de garantir une sécurité des données appropriée pour le niveau de risque, y compris « la pseudonymisation et le chiffrement des données à caractère personnel ». (Article 32)
• La mise en place d’une « procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». (Article 32)
• La communication « dans les meilleurs délais » des fuites de données à caractère personnel aux personnes concernées par les fuites de données, « lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés » de ces individus. (Article 34)
• La protection contre « la divulgation non autorisée de données à caractère personnel (...) [ou] l’accès non autorisé à de telles données. » (Article 32)

Chiffrer les données structurées et non structurées

CipherTrust Transparent Encryption fournit la protection de pointe spécifiée par le RGPD pour les données de fichiers. Grâce à CipherTrust Transparent Encryption, votre organisation peut rendre les données privées illisibles pour les pirates dans l’éventualité d’une fuite de données, évitant ainsi de procéder à l’exigence de communication de fuite de données stipulée dans l’article 34.

L’article stipule que la communication à la personne concernée n’est pas requise si l’organisation a « mis en œuvre les mesures de protection techniques et organisationnelles appropriées et [si] ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès, telles que le chiffrement. »

En plus d’éviter une procédure de communication coûteuse, vous pouvez empêcher des pertes de réputation majeures découlant d’une fuite de données médiatisée.

Empêcher l’accès non autorisé aux données à caractère personnel

Les produits et les solutions de Thales aident vos clients à empêcher les accès non autorisés aux données à caractère personnel, garantissant ainsi la conformité à l’article 32. Notre solution CipherTrust Data Security Platform, en particulier, permet la séparation des droits entre les administrateurs privilégiés et les propriétaires de données et prend en charge l’authentification à deux facteurs.

Tester, analyser et évaluer l’efficacité de la sécurité des données

CipherTrust Security Intelligence génère des journaux d’événements de sécurité détaillés qui s’intègrent facilement aux systèmes d’informations de sécurité et de gestion d’événements (SIEM) afin de produire les rapports de sécurité nécessaires pour la conformité au RGPD. Ces journaux d’information de sécurité du réseau d’entreprise produisent une trace vérifiable de tentatives d’accès acceptées et refusées des utilisateurs et des processus, fournissant des renseignements précieux sans précédent sur les activités d’accès aux fichiers. Ces journaux d’information peuvent signaler des accès inhabituels ou inappropriés aux données et accélérer la détection des menaces en interne, des pirates et de la présence de menaces persistantes avancées qui rendent la sécurité de périmètre inefficace.