Faut-il dégraisser les actifs informationnels conservés dans votre datacenter ?

Le fait d'avoir mis en place une politique complète de conservation des données vous procure un sentiment de confort, et même de sécurité, à l'égard des exigences de conformité. Mais avez-vous songé aux risques inutiles que cette politique, du fait même de sa robustesse, pouvait vous faire courir en cas de perte ou de détérioration des données conservées ? Si votre stratégie d'entreprise vous impose certaines pratiques de conservation des informations, veillez à ce que celles-ci soient contrebalancées par une politique de destruction tout aussi rigoureuse.

Responsable de la stratégie de gestion des données et de la protection des informations personnelles chez Sun, Michelle Dennedy, présente aux lecteurs d'Inner Circle sa vision d'un couplage des politiques de conservation/destruction — qui permet tout à la fois de répondre aux besoins métier de l'entreprise, de protéger les informations de ses clients, de réduire son risque global et de concentrer toute son énergie sur le développement de l'activité.

Inner Circle (IC): Quels sont les risques auxquels l'entreprise s'expose en conservant trop longtemps des informations devenues inutiles ?

Michelle Dennedy (MD): La détention d'informations sensibles n'apportant ni visibilité sur vos clients ni retours financiers vous expose à des pertes et à des dommages potentiellement désastreux. Les médias se font régulièrement l'écho de sinistres majeurs subis par de grands distributeurs, établissements bancaires ou agences gouvernementales suite à la conservation (puis à la perte) d'informations dont elles n'avaient plus aucun besoin. Tout stockage d'informations non utilisables peut être source de risques et de pertes évitables. De plus, les informations client utiles deviennent d'autant plus difficilement accessibles qu'elles sont enfouies sous des masses de données superflues. La plupart des datacenters souffrent ainsi d'une surcharge de l'infrastructure backend.

IC: Où se situe la frontière entre les informations à conserver à des fins de conformité et les informations à risque devant être détruites ?

MD: Le calendrier et le mode d'élimination des informations ne doivent pas être régis par les seules obligations légales de l'entreprise, mais également en fonction de ses orientations stratégiques. Si vous accordez à une information le statut d'actif intellectuel, vous êtes le mieux placé pour savoir dans quelles conditions (comment, quand et où) cet actif connaît sa pleine exploitation — ou devient au contraire un poids mort pour votre personnel et votre infrastructure technologique. La démarcation entre conservation d'informations utiles et destruction de données inutiles varie par conséquent d'une entreprise à l'autre. Selon la configuration de vos systèmes informatiques et de gestion des RH, il peut s'avérer imprudent de limiter la conservation de certaines données à la durée maximale prévue par la loi — les fins particulières poursuivies par votre entreprise pouvant fort bien justifier d'une dérogation à cette limite. Tout dépend de votre stratégie, de la ligne de conduite arrêtée par votre entreprise, du profil de risque adopté et du type d'information jugé utile pour vos clients et vos employés.

IC: Quelle différence faites-vous entre données et informations ?

MD: De nombreuses thèses universitaires s'affrontent sur ce point. N'étant pas moi-même docteur en informatique, je m'en tiens à une conception pragmatique en définissant l'information comme un sous-ensemble des données. La combinaison de différentes données permet de créer des informations exploitables à des fins de prise de décision, de planification, de mise en conformité ou de simple connaissance.

Dans cette perspective, l'information est une compilation de données isolées concernant des personnes, des objets, des repères temporels, des processus ou tout autre élément significatif. Vos systèmes ne font que stocker et servir des données &mdsah; laissant aux applications et/ou aux hommes le soin de transformer celles-ci en informations.

IC: Pourquoi est-il si important de bien connaître les informations en notre possession ?

MD: La plupart des acteurs économiques actuels se rejoignent autour du concept de risque. Il est partout question de conformité, de risque et de peurs — vulnérabilités cachées, réglementations imprévues, etc. Nous protégeons nos données par crainte des pénalités financières et du mécontentement qui pourraient sanctionner leur perte ou leur utilisation abusive

Mais l'équation du risque peut également être posée en termes d'avantages. Ce qui justifie le temps et les ressources consacrées à la protection d'une chose quelle qu'elle soit, c'est sa valeur. Nos informations sont précieuses dans la mesure où elles permettent de prendre les décisions grâce auxquelles nous gagnons ou économisons de l'argent.

Au début de chaque nouvelle année, j'établis ma planification budgétaire en visant des objectifs X, Y et Z. Et en fin d'année, je compare rétrospectivement les dépenses engagées avec les résultats obtenus au regard de mes objectifs stratégiques. Mais l'information est un moteur encore plus puissant que cela. Selon moi, l'information aura bientôt droit de cité dans le bilan de l'entreprise. Dès les années 1960, la contre-amirale Grace Hopper avait formulé une théorie selon laquelle l'actif informationnel aurait un jour sa propre section dans les rapports annuels.

L'intelligence décisionnelle découle de l'information, de même que le profit découle de l'intelligence décisionnelle exploitée dans des conditions respectueuses de l'efficience, de la légalité et de l'éthique.

IC: Mes données sont-elles plus exposées à certains moments qu'à d'autres ?

MD: Absolument. Tout dépend ici du type des données et du calendrier. Pour la plupart des distributeurs, les fêtes de fin d'année sont un moment critique — une faille de sécurité révélée durant cette période ne pouvant être que désastreuse. Par ailleurs, la divulgation de plans stratégiques ou d'éléments de propriété intellectuelle ultrasensibles peut remettre en cause la survie même de l'entreprise. Ainsi, une banque de consolidation qui perdrait ses précieuses données de compte s'aliénerait du même coup les clients dont elle a absolument besoin pour se rétablir et prospérer. En matière de finances et d'information, le timing est crucial.

La plupart des États des États-Unis ont d'ores et déjà légiféré en matière de notification des violations de données personnelles, et il est fortement question d'en faire autant en Europe et dans d'autres régions du globe. La détention de données telles que les numéros et les codes confidentiels de carte de crédit ou les numéros de sécurité sociale peut constituer un risque majeur — avec des pertes colossales à la clé. Songez à ce qui pourrait arriver si vous perdiez un ordinateur portable contenant des données de ce type... ou si une baie de disques de votre datacenter était envoyée en réparation sans avoir été préalablement protégée. Vous pouvez ainsi compromettre la confidentialité de plusieurs centaines de milliers ou de plusieurs millions de comptes utilisateur. Pour chaque compte perdu, la législation en vigueur et les pratiques habituelles du secteur peuvent vous obliger à dédommager le client qui vous a confié ses données en lui offrant deux années de protection de crédit. A 90 $ environ par client, le coût peut paraître acceptable, mais si vous multipliez cette somme par 100 000, voire par un million, le résultat est terrifiant — et cela peut vraiment vous arriver. Sans oublier les avocats, auditeurs, consultants, attachés de presse et autres spécialistes de la restauration de l'image de marque avec lesquels vous devrez passer un temps précieux pour réparer les conséquences d'un tel sinistre. Pire encore, s'il est établi que la violation de confidentialité est due à une négligence ou à une intention délictueuse, des peines d'emprisonnement pourront être prononcées de surcroît.

IC: Une politique de destruction de données efficace peut-elle assurer un avantage concurrentiel ?

MD: J'en suis persuadée. Dès lors que vous disposez d'une politique de conservation et que vous avez identifié les informations nécessaires à votre réussite et à votre mise en conformité, la mise en place et l'application d'une politique de destruction de données vous donnera toute latitude pour assurer votre activité quotidienne sans vous soucier de l'inventaire de la veille. Il s'agit là d'un immense avantage. La plupart des gens l'admettent volontiers : libérer son esprit des données du trimestre précédent, c'est dégager plus d'énergie pour la relation client, la fidélisation du personnel, les politiques publiques, l'événementiel, etc. Une conservation excessive n'est pas seulement source de vulnérabilité : elle vous empêche de rester concentrer sur la raison d'être de votre activité. Une approche sobre, efficiente et moderne ne peut être qu'un avantage concurrentiel.

IC: Quelles sont les options dont dispose l'entreprise pour se débarrasser des données ?

MD: La confidentialité des données est étroitement associée à la sécurité, et il appartient à chaque client de décider du niveau de sécurité qui lui convient. Avec l'annonce récente du service SDPS-DE (Sun Data Protection Service, Data Erasure)), Sun a dévoilé une offre résolument nouvelle en ce domaine. SDPS-DE propose des services d'effacement de données vous permettant de garder le contrôle physique sur vos actifs. Dans une économie mondialisée, il importe de bénéficier de services assurés de façon cohérente par un fournisseur unique, ce qui vous permet de faire appliquer vos politiques sur l'ensemble de vos sites. SDPS-DE respecte les politiques de destruction de données les plus rigoureuses des services de sécurité internes, ainsi que les directives des organismes de réglementation assurant l'audit de ces politiques.

SDPS-DE contribue également à une bonne gestion des actifs informatiques en offrant la possibilité d'éliminer les données sans aucune destruction d'équipement. Le fait de pouvoir redéployer les actifs existants vous épargne du même coup le dilemme environnemental associé à toute destruction de matériel. Ce nouvel outil contribuera de façon décisive à la réalisation de votre objectif stratégique global consistant à gérer le capital données en maximisant le profil informationnel de l'entreprise.

IC: Comment calculer le ratio coût/risque qui me permettra d'établir le montant des dépenses consacrées à la protection de mes clients, de mon organisation et de mon intégrité juridique ?

MD: J'utilise pour ma part une formule qui n'a rien de scientifique. Si VD est la valeur des données et RD le risque afférent à ces données, la condition du succès est que VD soit supérieur à RD. La quantification de ces deux variables dépend d'une accumulation de facteurs tels que la quantité et la nature des données détenue, l'ancienneté de votre entreprise, la configuration de son infrastructure informatique, la période de l'année, la qualité de l'équipe dirigeante et enfin l'extension — locale ou internationale — du rayon d'action de l'entreprise.

N'hésitez pas à remettre en questions vos décisions passées au regard du risque et de la valeur des données. Vous est-il arrivé de chercher à réduire un risque sans vous être préalablement demandé si les informations concernées en valaient la peine ? Faut-il cesser de capturer une information X pour recueillir à sa place une information Y dont la valeur est établie ? Enfin, faut-il commencer à stocker des données de façon intentionnelle et non plus simplement « au cas où » ?

IC: Les obligations en matière de destruction de données diffèrent-elles selon les régions du monde ?

MD: La législation relative à la destruction de données est malheureusement inexistante dans de nombreux pays - chacun ayant établi ses propres normes en matière de conservation et de validation de leur élimination. L'Union européenne interdit la conservation des données personnelles au-delà d'une durée compatible avec les fins légitimes pour lesquelles leur collecte a été autorisée. Cette exigence n'est précise qu'en apparence. Par exemple, certains États de l'UE ont promulgué une loi imposant de détruire les données dès que leur stockage n'est plus nécessaire, alors que leur législation en matière de RH oblige l'entreprise à conserver pendant très longtemps les données concernant le personnel — en contradiction directe avec la première obligation. Certains autres pays ont adopté une législation particulièrement rigoureuse obligeant à détruire les données peu de temps après leur collecte. En termes de mécanisme informatique, la difficulté consiste donc à implanter cet entrelacs de pratiques culturelles et de concepts juridiques dans un système technique binaire.

De même, tous les États n'ont pas la même appréciation de la notion de destruction réglementaire. La solution Data Erasure de Sun intègre la plupart des grandes normes définies de par le monde, et a obtenu la certification de nombreuses agences pour sa capacité à valider l'inaccessibilité des données détruites. Judicieusement utilisés, les services DE fournissent par conséquent un instrument supplémentaire pour penser et agir à l'échelle mondiale en assurant la conformité de l'entreprise et la bonne tenue de ses actifs informationnels. Conclusion : vous allez enfin pouvoir dormir sur vos deux oreilles !