Fuites de données : peut-on les éviter ? Les fuites de données figurent en bonne place parmi les événements redoutés par les entreprises puisqu’elles discréditent la capacité de l’entreprise à protéger ses données confidentielles, dont notamment, les données personnelles de ses clients. Si les attaques informatiques sont à blâmer, ces fuites de données sont aussi parfois dues aux collaborateurs de l’entreprise : dans la plupart des cas, elles proviennent d’une simple erreur humaine mais il peut aussi s’agir d’un vol de données commandité à un collaborateur par un concurrent de l’entreprise cible, ou d’un collaborateur qui agit par opportunisme, voyant dans la revente de ces données un intérêt pécuniaire non négligeable. Aucune entreprise n’est épargnée Toutes les entreprises, du grand groupe à la TPE mais aussi les administrations et collectivités, sont concernées par les fuites de données. Pas une semaine ne se passe sans qu’une nouvelle organisation ne soit mentionnée dans la presse pour cette raison. Les cyberattaques, principales causes de fuites de données, sont aussi les plus coûteuses pour les entreprises qui, bien que victimes, sont condamnables pour manquement en matière de sécurité des données clients, telles qu’en attestent les amendes de 20 et 18 millions de livres infligées à British Airways et Marriott pour les fuites de données qu’ils ont subies et qui s’avèrent préjudiciables pour leurs clients. Les entreprises doivent par ailleurs faire face à des menaces internes, souvent matérialisées par des erreurs humaines telles que l’hameçonnage où un employé d’une entreprise va communiquer des données confidentielles à une personne ou entité tierce qu’il pense être de confiance. Les entreprises, là aussi, ont une forme de responsabilité car elles se doivent de sensibiliser et former leurs collaborateurs aux bonnes pratiques en matière de cybersécurité. Il existe également des cas de fuites de données, plus rares, qui sont intentionnellement causés par des collaborateurs internes de l’entreprise. Limiter la portée des fuites de données Finalement, face à ces menaces protéiformes, il apparait quasiment impossible pour une organisation d’avoir la garantie d’éviter toute fuite de données. La retentissante affaire SolarWinds est là pour nous le rappeler : des entités gouvernementales de plusieurs pays ont été infiltrées et d’innombrables données confidentielles dérobées. Six départements du gouvernement américain, dont ceux de l’Énergie, du Commerce, du Trésor et le département d’État ont ainsi été victimes de cette cyberattaque massive. S’il est quasiment impossible d’éviter les fuites de données, on peut néanmoins en limiter leur portée, en particulier pour celles causées par un collaborateur, qu’il s’agisse d’erreurs ou de vols de données intentionnels. Si de par leur rôle au sein de l’entreprise, les collaborateurs ont besoin d’avoir accès à un certain nombre de données et ressources critiques, certaines d’entre elles peuvent ne pas leur être nécessaires dans le cadre de leurs missions. C’est la raison pour laquelle il est essentiel pour les entreprises d’appliquer le principe de moindre privilège qui consiste à limiter les droits / habilitations de tout individu sur le système d’information aux seules applications / données qui lui sont nécessaires dans le cadre de ses missions. Ainsi, toute fuite de données émanant d’un collaborateur sera circonscrite aux seules données auxquelles il a besoin d’accéder et non pas à l’ensemble des données critiques de la société. C’est l’un des principes sur lesquels repose Systancia Gate, solution d’accès réseau privé « zero-trust » qui donne aux collaborateurs des accès hautement sécurisés aux ressources choisies du système d’information et non pas à l’ensemble de celui-ci.