Monsieur Gadouche, quels sont, à vos yeux, les principes de base essentiels pour optimiser la sécurité des données?

«La notion-clé est celle de la gouvernance de la sécurité. C’est une notion que l’on trouve dans la norme ISO 27001 et dont les principes sont en grande partie repris dans le RGPD. Pour mettre en place cette gouvernance, il convient d’abord de faire une analyse du risque prenant en compte la sensibilité des données et les objectifs stratégiques de l’entreprise. De cette analyse découlent les mesures à prendre pour sécuriser les données et plus important, les raisons qui justifient ces mesures. Cette analyse de risque doit dépasser les seules obligations réglementaires. 

Une TPE ou une PME peut-elle, avec les moyens techniques et financiers dont elle dispose, satisfaire les exigences de sécurité du big data? 

«La sécurisation des données peut engendrer des surcoûts. Il faut donc toujours mettre en perspective les moyens à déployer avec les risques réels. Une entreprise doit d’abord cartographier clairement les données et l’usage qu’elle en fait pour adapter les moyens techniques de protection. Dans certains cas, il peut apparaître que des logiciels très coûteux que l’on pensait indispensables n’apportent pas de gains de sécurité tangibles. Il est alors possible d’y renoncer.

C’est pour cela qu’un audit détaillé des données et de leur exploitation est un prérequis indispensable. J’aimerais également préciser qu’en matière de sécurité des données, tout n’est pas qu’affaire de solutions techniques. La formation des collaborateurs, leur accompagnement, la justification des mesures, la définition d’une charte de sécurité sont autant d’éléments d’ordre comportemental tout à fait indispensables.

Il faut accepter l’idée de s’inscrire dans un processus d’amélioration continue.

Kamel Gadouche, directeur du Centre d’accès sécurisé aux données (CASD)

Quel conseil donneriez-vous à une entreprise qui souhaite valoriser son patrimoine data sans trop s’exposer?

«Ne pas hésiter à prendre un peu de temps pour la réflexion, tout en sachant que beaucoup de choses peuvent être faites rapidement. Il est ainsi possible d’organiser un atelier d’une journée avec les équipes internes, sous la supervision d’un consultant qui portera un regard extérieur, avec pour objectif de coucher sur le papier le contexte, les enjeux de sécurité au regard de la sensibilité des données, clarifier les objectifs puis définir une feuille de route pour le projet. Une fois les premières bases posées, il faut accepter l’idée de s’inscrire dans un processus d’amélioration continue et ne pas hésiter à se remettre en question pour optimiser les process.»