RGPD 2018 : pour une culture de la sécurité

Le Règlement européen sur la protection des données vous oblige à mettre en place différents processus de sécurité. Ces obligations ne doivent pas être considérées comme des contraintes, mais comme une incitation à généraliser ces mesures à tout votre patrimoine informatif. Pour de nombreux chefs d’entreprise, le RGPD se résume souvent aux risques d’amendes en cas de piratage et à la complexité des mesures à prendre. En découle la tendance d’acheter une « solution logicielle spéciale RGPD » comme nous commençons à en découvrir. Sur le papier, elle est capable de gérer la cartographie des risques, d’identifier et de recommander des analyses d’impacts à réaliser et de définir des plans d’actions à opérer en cas d’identification de risques. Toutes ces opérations sont principalement réalisées par un programme informatique.

Une culture de la sécurité

Mais « la conformité s’obtient par un effort soutenu et commun, combinant des mesures humaines (pour faire évoluer les mentalités et les réflexes), des mesures organisationnelles et des mesures techniques », rappelle Bruno Rasle, Délégué général de l’AFCDP (Association des Correspondants à la protection des Données Personnelles). Certes, ce Règlement est contraignant et complexe. Mais il présente un argument indiscutable : sans sécurité informatique, votre activité économique devient vulnérable. Vous devez profiter de la mise en place de différentes mesures telles que le RGPD ou la directive sur la sécurité des réseaux et des systèmes d’information (ou “directive NIS, Network and Information Security) approuvée le 6 juillet par le Parlement européen en seconde lecture, pour renforcer tout votre réseau informatique et protéger vos informations sensibles(brevets, fichier client, documents financiers…). Ne vous limitez pas à la sécurité des données à caractère personnel. L’impact d’une attaque informatique de type ransomware (virus cryptant les données sur tous les PC) peut être en effet très élevé en termes de coûts (conséquences juridiques, activité économique à l’arrêt, perte de données…) et de réputation. Tous les métiers doivent être impliqués afin d’insuffler une véritable culture de la sécurité. Cet objectif est transversal. Les services RH, financiers et juridiques doivent prendre conscience que les données font partie de leurs actifs, qu’elles sont extrêmement importantes pour eux et qu’ils doivent les protéger en conséquence.

Les bonnes pratiques

Cette culture de la sécurité doit commencer par rappeler les bonnes pratiques :

• L’installation des mises à jour de tous les logiciels et systèmes d’exploitation (Windows, Android, iOS…) ;
• La mise en place de mots de passe « forts » et uniques pour chaque compte et utilisateur ;
• Le contrôle des accès et des utilisateurs ;
• La sauvegarde des données sensibles. Une politique de sauvegarde rigoureuse et régulière peut faire la différence entre « plus de peur que de mal » et « la clé sous la porte » ;
• La sensibilisation des salariés afin qu’ils soient plus vigilants. 35 % des incidents de sécurité seraient causés par des collaborateurs, en interne (1) : fuite des informations, introduction de virus ou détérioration du matériel informatique sont autant de comportements mettant en danger l’intégrité d’une entreprise.

Comme pour la mise en conformité avec le RGPD, toutes ces mesures impliquent de faire appel à des experts. Même s’il existe là aussi des solutions permettant d’automatiser certains processus, rien ne peut remplacer un vrai accompagnement sur le long terme.

Résister aux coups durs

Chaque entreprise est particulière. Des consultants et des ingénieurs en cybersécurité restent indispensables pour vous proposer des solutions adaptées à vos moyens et spécificités. Mettre en place une politique de sécurité nécessite de prioriser les étapes afin de renforcer progressivement son réseau informatique et former le personnel. À la clé, les bénéfices sont triples :

• Votre conformité avec le RGPD rassure vos clients et vos interlocuteurs ;
• En jouant la transparence sur les mesures que vous avez prises pour le RGPD, vous disposez d’un atout majeur par rapport aux concurrents qui ne seront pas prêts ;
• La mise en place d’une politique de sécurité personnalisée renforce la résilience de votre entreprise, c’est-à-dire sa capacité à résister aux coups durs (piratage, dégâts des eaux, incendie…).