Close
  • Français
  • English

12/01/2015Edito – Une autre leçon à tirer de l’attaque contre Sony [par Bruce Schneier]

Des milliers d’articles ont décrit l’attaque de décembre contre Sony comme un signal d’alarme pour le secteur. Quelle que soit son origine (le gouvernement nord-coréen, un ex-employé mécontent ou un groupe de hackers indépendants), l’attaque a montré la vulnérabilité d’une grande entreprise et l’impact catastrophique de la publication de correspondances privées et de données confidentielles ou relevant de la propriété intellectuelle.

Si l’enseignement évident à tirer pour les entreprises est qu’elles doivent améliorer leur sécurité contre les attaques, l’attaque contre Sony donne aussi une autre leçon, aussi importante, quoique nettement moins mentionnée : les entreprises devraient avoir une politique volontariste d’effacement des données.

Une des tendances sociales de la numérisation de nos outils de communication sociaux et professionnels est la perte de l’éphémère. Ce qui auparavant se disait entre quatre yeux ou par téléphone est désormais écrit, dans des courriels, des SMS ou sur les plateformes des réseaux sociaux. Les notes de service que nous avions l’habitude de lire puis de jeter restent maintenant stockées dans nos archives numériques. Suite aux initiatives en relation avec les mégadonnées (le « Big Data »), nous gardons absolument toutes les données concernant nos clients, dans l’éventualité qu’elles puissent un jour servir.

Tout est désormais numérique, le stockage ne coûte pas cher, donc pourquoi ne pas tout garder ?

L’expérience de Sony illustre pourquoi il vaut mieux ne pas tout garder. Les hackers ont publié d’anciens courriels de dirigeants de l’entreprise, qui ont été pour l’entreprise une grande source d’embarras. Ils ont également divulgué d’anciens courriels d’employés, ce qui est en train de donner lieu à des actions en justice collectives (« class actions ») contre l’entreprise.  Ils ont publié des vieux documents. Bref, ils ont tout publié.

Si Sony avait eu une politique volontariste d’effacement des données, bon nombre de ces éléments n’auraient pas été volés, et donc pas publiés. Le corollaire du stockage des données est un risque sécuritaire : le risque de divulgation. Une telle divulgation pourrait être accidentelle. Elle pourrait résulter d’un vol de données, comme dans le cas de Sony. Elle pourrait même découler d’un litige. Mais quelle qu’en soit la cause, la meilleure sécurité contre le risque de divulgation est de ne pas avoir de données à divulguer.

Une politique d’effacement des données à l’échelle de l’entreprise a du sens. Les données des clients devraient être supprimées dès qu’elles ne sont plus immédiatement utiles. Les courriels internes peuvent probablement être effacés après quelques mois, et les autres documents après un à deux ans. Bien sûr, des exceptions existent, et les individus devraient avoir la possibilité d’identifier des documents et des correspondances à conserver plus longtemps. Mais dans tous les cas où la loi n’oblige pas l’entreprise à conserver un type particulier de données pendant une durée prescrite, l’effacement des données devrait être la norme.

Il en a toujours été ainsi, mais nombreuses sont les entreprises à l’avoir oublié à l’heure du Big Data. J’espère qu’à partir de maintenant, nous nous en souviendrons tous.