L'Union européenne considère le Règlement Général sur la Protection des Données (RGPD) comme le changement le plus important dans la régulation de la confidentialité des données depuis 20 ans. Depuis le 25 mai 2018, toutes les entreprises qui traitent et contrôlent des données personnelles au sein de l'UE doivent se conformer au RGPD ou faire face à des amendes massives. La non-conformité entraînera une amende pouvant aller jusqu'à 20 millions d'euros ou représentant 4% du chiffre d'affaires annuel, selon le montant le plus élevé.
Ce que vous devez faire pour être conforme au RGPD
Le RGPD, remplaçant la directive sur la protection des données 95/46/CE, comprend 11 chapitres et près de 100 articles. C'est une directive incroyablement détaillée, dont un grand nombre fait référence à la gestion de l'accès aux données:
- Mettre en œuvre les mesures techniques et organisationnelles appropriées: Vous devez démontrer que vous avez pris en compte et intégré la protection des données dans vos activités de traitement. [Articles 5, 24, 25, 28 et 32]
- Empêcher l'accès non autorisé aux données: L'accès non autorisé inclut également la destruction accidentelle ou illicite, la perte, l'altération ou la divulgation non autorisée de données personnelles transmises, stockées ou autrement traitées [Articles 4, 5, 23, 32]
- Informer les parties concernées d'un manquement: Vous devez informer votre autorité de surveillance et la tierce partie concernée de toute violation susceptible de «porter atteinte aux droits et libertés des personnes» dans les 72 heures suivant la première détection de la violation. [Articles 33, 34]
- Conserver des enregistrements impeccables: Vous devez conserver un registre des activités de traitement des données, y compris des informations sur les "destinataires auxquels les données personnelles ont été ou seront divulguées", c'est-à-dire qui a accès aux données. [Articles 5, 28, 30, 39, 47]
Les exigences complètes du RGPD sont disponibles au Journal officiel de l'Union européenne (document en anglais).
Pour les domaines Active Directory de Windows, UserLock et FileAudit peuvent vous aider à être conforme au RGPD
Nos produits UserLock et FileAudit contribuent ensemble à renforcer la sécurité d'accès à votre réseau, vous aidant ainsi à devenir conforme au RGPD et vous permettant de:
- Prouver que vous avez pris des mesures techniques pour améliorer la sécurité
- Empêcher l'accès non autorisé aux données
- Détecter une violation afin que vous puissiez avertir rapidement les autorités, atténuant les amendes
- Conserver une trace d'audit claire de l'activité du réseau, des fichiers et des dossiers pour prouver la conformité
Comment UserLock vous aide à adresser le RGPD en ce qui concerne les fichiers Windows, les dossiers et les partages de fichiers
La conformité commence par la sécurisation de toutes les connexions
L'objectif du RGPD est de protéger les données contre tout accès non autorisé. Ce mot «accès» représente le processus par lequel une personne utilise un compte pour se connecter activement à un système et ouvrir / lire / copier / télécharger des données personnelles - une action qui commence avec la connexion de cette personne.
La connexion est donc la première ligne de défense contre les accès non autorisés.
UserLock étend la sécurité des connexions pour s'assurer que quiconque se connectant à votre système d'entreprise (et accédant aux données) est réellement qui il prétend être. UserLock utilise plus qu'un nom d'utilisateur et un mot de passe pour confirmer une identité.
Le logiciel vous permet d'ajouter une authentification à deux facteurs (2FA) personnalisée aux connexions utilisateur Active Directory.
Il analyse également les informations contextuelles autour de chaque connexion - le jour et l'heure de connexion, l'adresse IP, le poste de travail de la connexion, et même la fréquence de connexion - et restreint les connexions seulement aux informations contextuelles approuvées par l'informatique.
Par exemple, un utilisateur ayant accès à des données soumises à la conformité RGPD se connecte après les heures de travail plusieurs fois successives à partir d'un ordinateur distant. Il y a trois drapeaux rouges ici - l'heure de la journée, le nombre de connexions et l'emplacement à partir duquel la connexion s'est produite. UserLock est assez intelligent pour détecter cette activité suspecte, et bloquer la connexion instantanément, tout en alertant les administrateurs.
La connexion vous fournit des indicateurs avancés indiquant qu'il peut y avoir un problème bien avant qu’un accès (violation de conformité) se produise.
Avec UserLock, une organisation peut:
- Vérifier l'identité d'un utilisateur avec plusieurs facteurs d'authentification lors de l'accès au réseau.
- Assurer l'accès au réseau en rendant les données personnelles identifiables, auditées et attribuées à un utilisateur individuel
- Empêcher l'accès non autorisé en rendant les connexions d'employés authentiques mais compromises inutiles pour les attaquants potentiels
- Éliminer le comportement négligent des utilisateurs, comme le partage de mot de passe, pour réduire le risque d'accès non autorisé de menaces internes
- Signaler les événements d'accès suspect en temps réel, ce qui signifie qu'un administrateur peut immédiatement répondre et protéger davantage l'accès au réseau et aux données personnelles
- Auditer tous les événements d'accès de manière centralisée afin de pouvoir détecter les menaces de sécurité et faire valoir la conformité réglementaire
La connexion est un point incontournable à la fois pour surveiller la conformité RGPD, ainsi que pour empêcher l'accès potentiellement inapproprié (violation de conformité).
Comment FileAudit vous aide à adresser le RGPD en ce qui concerne les fichiers Windows, les dossiers et les partages de fichiers
Surveiller l'accès à toutes les données personnelles
Le RGPD stipule que l'accès non autorisé aux données inclut la destruction accidentelle ou illicite, la perte, la modification ou la divulgation non autorisée de données personnelles transmises, stockées ou autrement traitées.
La surveillance de l'accès autorisé et non autorisé aux données sensibles est essentielle à la détection précoce des violations de données. La visibilité est la clé.
Pour les domaines Windows, l'audit natifs des fichiers est considéré comme inefficace, fastidieux et accablant pour suivre les événements de l'ensemble de l'organisation.
FileAudit est une plate-forme logicielle qui simplifie grandement l'audit d'accès aux fichiers et dossiers sur les serveurs Windows. Le niveau granulaire de la gestion des accès aux fichiers aide les organisations à dépasser les exigences réglementaires et à éviter les pénalités.
Avec FileAudit, une organisation peut:
- Identifier les accès inappropriés (et les tentatives d'accès) grâce à la surveillance et à l'alerte en temps réel, ce qui permet au service informatique d'examiner et de résoudre les problèmes
- Envoyer des alertes lorsque FileAudit détecte l'accès, la copie, la suppression ou le déplacement de fichiers en masse (une indication forte d'une violation de conformité)
- Indiquer d'où l'utilisateur a accédé au fichier, tant à partir de postes de travail sur le site que d'appareils mobiles à distance - le tout en suivant et en identifiant l'adresse IP source
- Aider à minimiser les risques d'accès à des moments inhabituels ou inattendus grâce à des paramètres d'alerte granulaires de date et d'heure
- Centraliser et archiver tous les événements d'accès aux fichiers se produisant sur un ou plusieurs systèmes Windows et chez un ou plusieurs fournisseurs de stockage dans le cloud, en générant une piste d'audit toujours disponible, consultable et sécurisée
FileAudit aide à prouver aux régulateurs que vous protégez les données personnelles efficacement en surveillant de manière exhaustive toute l'activité d'accès aux données trouvées sur les fichiers, les dossiers et les partages de fichiers. Les organisations peuvent donner des réponses précises aux questions concernant l'accès inapproprié, l'altération ou la destruction de données personnelles.