Ordinateur volé, document confidentiel oublié dans une salle d’attente, piratage de mot de passe, écran de téléphone visible par tous, mot de passe trop simple, discussion confidentielle dans un lieu public, perte de contrôle des données sensibles : l’actualité continue de donner des exemples d’erreurs ou d’actes malveillants conduisant à des fuites d’informations préjudiciables.

Pour prévenir ces situations au sein des entreprises et administrations et les gérer si elles surviennent, AFNOR publie le premier guide proposant des méthodes robustes et partagées. C’est le fruit d’un an de travail mené par des professionnels de la sécurité des systèmes d’information, tous mobilisés pour partager leurs expériences, leurs expertises et leurs bonnes pratiques.

Fuites d’information : un risque qui se généralise

La prévention et la gestion de la fuite de données est devenue une préoccupation majeure en matière de sécurité des systèmes d’information. Avec un environnement informatique plus ouvert et en évolution permanente, les organisations doivent redoubler de vigilance pour protéger leur patrimoine informationnel.

Le guide AFNOR BP Z90-001 apporte des réponses aux questions suivantes : comment s’organiser pour prévenir les risques liés aux fuites de données ? Quelles actions mettre en place ? Comment construire une politique de prévention de la fuite d’information (en anglais « Data Leak Prevention DLP) » ? Comment transformer une fuite de données en opportunité ? Quelles sont les dispositions légales existantes en la matière ?

Des conseils concrets pour se protéger des fuites de données

Elaboré de manière collective, au sein d’un groupe de travail* composé de représentants d’organismes institutionnels, d’experts juridiques en sécurité des systèmes d’information, de cabinets de conseils et de sociétés utilisatrices, le guide de bonnes pratiques AFNOR BP Z90-001 a été créé pour accompagner les organisations dans leur problématique de sécurité de l’information par un ensemble de recommandations et de solutions techniques.

Facteur humain, concepts et grands principes d’une mise en place d’une politique de DLP, étapes de mise en œuvre et gestion de la fuite sont autant d’aspects qu’une organisation doit considérer.

Parmi les recommandations opérationnelles figure l’indispensable sensibilisation des salariés à la « discrétion professionnelle », quant aux informations données à des tiers. Le guide recommande également que les organisations identifient, au préalable, certains points cruciaux, tels que les types de fuites possibles, les vecteurs potentiels (personnel, réseaux et médias, téléphone, clé usb…) ou encore les moyens et outils pouvant être utilisés (e-reputation, solution logicielle, cryptage…).

Le guide précise aussi l’ensemble des étapes à suivre pour mettre en œuvre une politique préventive efficace (une équipe de projet dédiée, l’identification des données à risque, des actions et procédures à déclencher, le déploiement de la stratégie…) avant de détailler les axes d’une bonne gestion de la fuite d’information (avec notamment un chapitre sur la communication).

Un plan d’action-type pour gérer toute fuite de données

Quelles que soient les précautions mises en œuvre pour se prémunir d’une fuite d’informations, il est impossible d’atteindre le risque zéro. C’est pourquoi le guide AFNOR BP Z90-001 donne toutes les clés, étape par étape, pour transformer une fuite de données en opportunité : organisation de la cellule de crise, plan de gestion et traitement de la fuite, mise en place d’un éventuel plan de communication, retour à la normale…

Un point complet sur les dispositions légales en termes de fuites de données

Dernier sujet abordé par le guide : une présentation du contexte normatif, juridique et réglementaire en France, avant d’aborder ceux en vigueur dans les autres pays.
Premier document AFNOR sur le sujet, le guide BP Z90-001 pourra servir de base de réflexion à un projet à l’échelle européenne, et ainsi être encore enrichi de retours d’expériences.

Pour commander le guide BP Z90-001 « Prévention et gestion de la fuite d'informations - Protection du patrimoine informationnel »