Conformité : faiblesses dans la suppression des données

Les vulnérabilités liées à la suppression des données sont omniprésentes. Par exemple, lorsque Donald Trump n'a plus besoin d'un document, il le déchire et le jette à la poubelle. Ensuite, tout un service est occupé à recoller les papiers déchirés. Car Trump est soumis à la loi sur les archives présidentielles de 1978, qui stipule que tous les documents dont il a eu à s'occuper doivent être conservés. Dans le cas contraire, il est passible de poursuites. C'est du moins ce qu'a rapporté le journal nord-américain Politico.

Cependant, la suppression des données est tout aussi importante que les exigences d'archivage. Une étude publiée par le Blancco Technology Group révèle les idées fausses les plus courantes que les décideurs ont sur l'effacement des données. Il en résulte des procédures d'effacement des données inadéquates et des risques de sécurité inutiles. L'étude, intitulée "Un faux sentiment de sécurité", menée par Blancco en collaboration avec Coleman Parkes, met en lumière la manière dont l'excès de confiance des entreprises met en péril la sécurité des données à un moment où une gestion saine des données devrait être une priorité absolue.

Plus des trois quarts (77 %) des personnes interrogées ont convenu que le grand nombre d'appareils en fin de vie pose un risque pour la sécurité des données de leur organisation, et 74 % se sont dites préoccupées par le risque de violation des données lié aux anciens appareils.

L'étude, qui a interrogé 1 850 décideurs des plus grandes entreprises d'Amérique du Nord, de l'APAC et d'Europe - dont 259 décideurs en Allemagne - montre que les processus d'effacement des données en fin de vie utilisés pour les dispositifs informatiques posent des risques de sécurité importants dans une entreprise sur trois en Allemagne. Les causes de ces risques sont notamment les suivantes :

• Utilisation de procédures de suppression des données inadéquates - 32 % des organisations ont déclaré utiliser des méthodes telles que le formatage, l'écrasement à l'aide d'outils logiciels gratuits ou payants sans certification appropriée, ou la destruction physique (démagnétisation et déchiquetage) sans piste d'audit. Ces méthodes n'offrent pas une sécurité totale. Cela signifie que les organisations sont confrontées à un risque résiduel potentiel d'infractions à la sécurité et de violations de la conformité.
• La thésaurisation des dispositifs de stockage mis au rebut en grande quantité et l'absence d'un concept clair pour traiter ces dispositifs de manière appropriée dans un délai déterminé - 78 % des entreprises en Allemagne ont admis stocker en masse les dispositifs mis au rebut. C'est la proportion la plus élevée de tous les pays dans lesquels l'enquête a été menée. Seulement 11 % des entreprises interrogées ont déclaré qu'elles suppriment les supports de données immédiatement après le déclassement. En revanche, 74 % ont déclaré qu'il leur faut plus de deux semaines pour le faire, ce qui augmente le risque de violation et de perte de données dans l'entreprise.
• L'absence d'une chaîne de responsabilité claire avec une piste d'audit correspondante pour les dispositifs informatiques qui ont atteint leur fin de vie, y compris les documents probants de transport vers une installation hors site où les dispositifs sont détruits - un cinquième (20 %) des entreprises en Allemagne ont déclaré ne pas avoir de piste d'audit pour la destruction physique, et 32 % ont admis ne pas enregistrer les numéros de série des disques durs. Ces lacunes dans la chaîne de conservation font courir aux entreprises en question un risque élevé de violation des données et de non-conformité.

En outre, l'étude montre que 20 % des entreprises allemandes ont recours à la destruction physique lorsqu'elles se débarrassent de leur ancien matériel en le démagnétisant ou en le faisant déchiqueter dans une déchiqueteuse. Cependant, le déchiquetage en particulier ne permet pas toujours de fournir une piste d'audit certifiée pour l'ensemble de la chaîne de conservation.

Autres résultats clés sur les entreprises :

• Un cinquième (20 %) des entreprises allemandes ne font pas de différence entre les disques durs et les disques durs lors de l'effacement des disques durs, mais utilisent un seul et même procédé à cette fin. Cela comporte le risque que les supports de données ne soient pas complètement purgés de toutes les données et que les normes de l'industrie en matière de suppression des données ne soient pas toutes respectées.
• En outre, les entreprises interrogées ont déclaré que 20 % de leurs dispositifs informatiques sont simplement conservés dans l'entreprise sans que les données les concernant soient effacées. Cela révèle une grave lacune en matière de sécurité qui devrait être comblée immédiatement.

Principales conclusions au niveau international :

• De nombreuses entreprises interrogées dans le monde entier utilisent différentes méthodes pour supprimer des données. Au total, 17 % utilisent la destruction physique (démagnétisation et déchiquetage), 13 % l'effacement et le cryptage cryptographiques, 12 % le formatage, 8 % un logiciel d'écrasement gratuit et 7 % un logiciel d'écrasement payant, mais sans certification appropriée pour l'effacement des données. Cependant, il est particulièrement préoccupant de constater que 4 % n'utilisent aucun processus d'effacement des données.
• Un pourcentage inquiétant de 80 % des entreprises interrogées dans le monde entier a admis avoir accumulé des masses d'appareils mis au rebut dans l'entreprise. De plus, de nombreuses entreprises laissent ces appareils inutilisés pendant un certain temps. Seulement 13 % des entreprises ont déclaré qu'elles essuyaient les disques immédiatement après leur mise hors service, alors que 57 % ont déclaré qu'il leur fallait plus de deux semaines pour le faire. Cela augmente le risque de violation et de perte de données dans les entreprises.
• Près des trois quarts (73 %) des personnes interrogées ont reconnu que la simple abondance de dispositifs disparates les rendait vulnérables aux violations de données lorsqu'on leur a demandé quelles étaient leurs plus grandes préoccupations en matière de sécurité liées aux dispositifs en fin de vie. En outre, 68 % se sont dits très préoccupés par le risque d'une éventuelle violation de données en raison des données sur les anciens appareils.

Le rapport complet, "Un faux sentiment de sécurité", et une analyse approfondie peuvent être consultés ici : http://www.blancco.com/false-security