Bonjour,
Le coup de la sauvegarde bien vu, je n'avais pas encore vu ce sujet abordé. Je te répondrais que les CGV (avant RGPD j’irais rafraichir dans quelques semaines / mois) des gros Amazon AWS, Dropbox, Google Drive et Office 365 disent clairement : nous ne vous garantissons pas la correcte suppression de vos données lorsque vous les supprimez.
Un adminsys pense aux sauvegardes ou aux disques dur retirés à chaud car présentant des défaillances hardware qui en offline ne reçoit pas l'ordre de suppression. La personne qui lit mieux va mettre en rapport cette phrase avec celle sur la propriété des données : vous nous cédez un droit d'usage non limité dans le temps et non limité géographiques pour toute exploitation de vos données. Et là on en comprend la finalité qui est d'éplucher les données et de les revendre.
On va donc voir comment ils évoluent sur ces sujets. Mais dans la problématique petite entreprise, je pense que les demandes de suppression vont pas être légion et une simple liste dans un tableur devrait faire l'affaire. A l'inverse la clause de portabilité me fait plus peur car si tu fournis un export de ta base, Mme Michu aidée de son petit fil informaticien dira c'est pas un format standardisé et donc faut me fournir les données dans tel ou tel format. Et là c'est le coup de développement pour convertir les données qui risque d'affoler tout le monde.
Pour la partie serveur, désolé mais on ne dit pas crypter (ça n'existe pas en français) mais chiffrer, ça pique les yeux sinon.
Chiffrer le disque D c'est un bon début, chiffrer le C c'est encore mieux. Mais il faut se poser la question autrement. Le RGPD est là pour prévenir et sanctionner les fuites de données personnelles. Un simple fichier excel avec les prospects ou clients d'une entreprise sont des données personnelles, si la clef usb sur laquelle se trouve le fichier est perdu et que cela fuite l'entreprise est attaquable. C'est clairement plus ce risque que tu trouveras dans les TPE / PME voir grand compte, l'humain est la faille.
J'ai vu deux comportements pour l'approche RGPD dans les TPE / PME :
- le premier le pire, on s'en fout on va pas tout changer pour une loi, si ça fuite et qu'on se fait pénaliser par la CNIL on fermera boutique pour renaître ailleurs ...
- le deuxième est de dire on sait qu'on est pas carré donc on fait le maximum possible pour prévenir les fuites au niveau technique et au niveau humain. Le but c'est de documenter toutes les sécurités et prouver les investissements qui ont été fait : audit du code des développeurs, confier l'admin des serveurs à des adminsys et pas aux dev, chiffrer partout où c'est possible sans refaire du dev (le serveur plutôt que la base de donnée), sensibiliser sur l'échange d'informations pour les humains en proposant d'autres solutions d'échanges, ...
Mais même dans ce deuxième cas, les entreprises savent qu'elles pourront avoir des fuites de données car chiffrer les disques des ordis portables ou des smartphones c'est contraignants et donc ils sont pas à l'abris d'un vol dans les transports ou de la perte d'une clef usb non chiffrée par exemple. Mais comme ils auront fait la documentation nécessaires et pris des tiers pour l'audit de code / sécu, l'infogérance pour les serveurs ils pourront démontrer qu'ils ont fait le nécessaire mais que la faille reste possible et humaine et seront donc moins sanctionné que les premiers.
Voilà l'état des lieux que j'en ai.
Le 14/05/2018 à 10:37, Vincent Duvernet a écrit :
Bonjour la liste.
Tout le monde semble avoir la tête dans la RGPD en ce moment. On voit les CGV et CGU des gros sites changer, les applications se mettre à jour. La marmite a fait un article assez complet pour les bloggeurs : https://wpmarmite.com/rgpd-wordpress/
mais pour le reste ? Concrètement ? Dans le principe je trouve ça bien mais au final, j'ai l'impression d'être de plus en plus déconnecté de notre métier.
Pour les backups par exemple :
- Mme Michu (encore et toujours elle) te demande de lui envoyer ses données et de les supprimer. Ce que tu fais
- Mer... tu dois restaurer un ancien backup suite à un travail de stagiaire restaurant par la même occasion les datas de Mme Michu.
- Wtf ? Il faut refaire la procédure me direz-vous. Donc, il faut garder un fichier contenant la liste des personnes à re-virer en cas de restauration de backup. Et donc ce fichier contient une donnée personnelle. Et on ne peut pas forcément détruire rétroactivement dans tous les backups.
Si on prend une petite structure, un serveur AD avec SQL Serveur, 10 personnes, un truc classique. Pas d'accueil de public.
- Est-ce que l'applicatif métier uniquement conforme suffit pour leur base métier ou bien faut-il crypter la partition D qui héberge la base SQL-server ?
- Si on doit crypter aussi la partition C, cela veut dire qu'il faut obligatoirement un KVM IP ou une console HP iLO / Intel RMM... pour pouvoir saisir la clé de décryptage du disque dur lors d'un reboot à distance du serveur ?
Office 365 a mis à jour son portail mais c'est une usine à gaz.
Quelqu'un aurait des informations claires et simples adaptées aux petites structures par hasard ?
Merci pour vos retours.
Vincent _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/