Classification des Données

La classification des données est le processus systématique de catégorisation des informations organisationnelles en fonction de la sensibilité, de la criticité pour l'activité, des exigences réglementaires et de l'impact potentiel d'une divulgation non autorisée ou d'une perte - sans classification claire, les organisations traitent toutes les données de la même manière (gaspillant des ressources en appliquant des contrôles maximaux à des données triviales ou en ne protégeant pas adéquatement des données hautement sensibles), rencontrent des difficultés à prioriser les investissements de sécurité, et peinent à se conformer à des réglementations telles que la LGPD, le RGPD et la PCI-DSS qui exigent l'identification et la protection différenciée des données personnelles et sensibles. Un cadre de classification typique utilise 4 à 5 niveaux hiérarchiques : Public (information déjà divulguée publiquement ou approuvée pour divulgation, sans impact en cas de fuite, les exemples incluent les communiqués de presse, les supports marketing, le contenu public du site web), Interne/Usage Interne (information destinée à un usage au sein de l'organisation, non destinée à un public externe mais dont la divulgation limitée ne causerait pas de préjudice significatif, comme les politiques internes, les organigrammes, les procédures opérationnelles), Confidentiel (information sensible dont la divulgation non autorisée peut causer un préjudice financier ou réputationnel modéré à l'organisation, nécessitant une protection par des contrôles d'accès et un chiffrement au repos, les exemples incluent les plans stratégiques, les données financières avant publication, les informations clients non publiques, le code source propriétaire), Restreint/Hautement Confidentiel (information extrêmement sensible dont l'exposition causerait un préjudice grave, nécessitant le niveau de protection maximal avec chiffrement au repos et en transit, MFA pour l'accès, journalisation d'audit complète, les exemples incluent la propriété intellectuelle critique, les données personnelles sensibles au titre de la LGPD, les informations de carte de crédit au titre de la PCI-DSS, les données de santé au titre de la HIPAA, les secrets commerciaux, les clés cryptographiques, les identifiants privilégiés). Chaque niveau de classification est associé à des contrôles obligatoires définissant comment les données doivent être stockées (exigences de stockage), transmises (normes de chiffrement), consultées (exigences d'authentification et d'autorisation), conservées (périodes de rétention) et détruites (méthodes de suppression sécurisée) en fin de vie utile.

Processus de Classification et Propriété

Une classification efficace nécessite d'établir une propriété claire des données où le propriétaire des données (généralement un responsable d'unité opérationnelle ou un propriétaire de processus) est chargé de déterminer la classification appropriée en fonction du contexte métier, de l'impact potentiel de la divulgation et des exigences réglementaires applicables - l'informatique peut fournir des conseils et des outils mais la décision finale revient au propriétaire qui comprend la valeur métier et la sensibilité des données. Le processus commence par la découverte et l'inventaire des données identifiant où résident les données (partages de fichiers, bases de données, SharePoint, stockage cloud, ordinateurs portables des employés), quels types de données existent (PII, financières, de santé, PI), qui les crée et les utilise, et les flux de données à travers les systèmes. Le propriétaire des données les classe ensuite en fonction du schéma de classification de l'organisation, en appliquant des libellés/étiquettes qui peuvent être des balises de métadonnées (automatisées), des marquages visuels (en-têtes/pieds de page sur les documents) ou des attributs du système de fichiers. La classification doit prendre en compte : le Risque d'agrégation où la combinaison de plusieurs données de faible sensibilité peut créer un ensemble de données de haute sensibilité (une liste de noms est Publique mais nom + numéro fiscal + adresse + revenus est Confidentielle), les Exigences réglementaires qui peuvent imposer une classification minimale (les données au titre de la LGPD sont automatiquement Confidentielles au minimum même si l'entreprise les considère à faible risque), les Obligations contractuelles telles que les accords de confidentialité (NDA) qui peuvent élever la classification des données de tiers, et les Aspects temporels où la classification peut évoluer dans le temps (les données financières sont Restreintes avant une publication de résultats, deviennent Publiques après divulgation). La reclassification doit être autorisée lorsque les circonstances métier changent, mais le déclassement d'un niveau de classification nécessite une approbation et une documentation justificative pour une piste d'audit.

Contrôles Techniques par Niveau de Classification

Chaque niveau de classification doit comporter des contrôles techniques obligatoires clairement définis et appliqués via des politiques et la technologie. Pour les données Publiques : aucune exigence de sécurité particulière, peuvent être stockées dans n'importe quel emplacement, transmises par e-mail non chiffré, accessibles sans authentification. Pour les données Internes : accès restreint aux employés et aux sous-traitants autorisés via des contrôles d'accès réseau, stockage dans des partages de fichiers d'entreprise ou un stockage cloud approuvé avec journalisation des accès, transmission via la messagerie d'entreprise (TLS en transit), aucun chiffrement au repos requis mais sauvegarde régulière obligatoire. Pour les données Confidentielles : contrôle d'accès basé sur le rôle et le besoin d'en connaître via un système IAM, chiffrement au repos utilisant AES-256 pour les bases de données et le stockage de fichiers, chiffrement en transit via TLS 1.2 ou supérieur pour les transmissions externes, MFA pour l'accès distant, journalisation d'audit de tous les accès et modifications avec rétention des journaux pendant 1 an au minimum, politiques DLP (Prévention des Pertes de Données) pour empêcher l'e-mail ou le téléversement non autorisés, le partage externe nécessite chiffrement et protection par mot de passe, sauvegarde chiffrée avec tests de restauration réguliers, et une période de rétention spécifique suivie d'une suppression sécurisée. Pour les données Restreintes : les mêmes contrôles que Confidentiel plus des modules de sécurité matériels (HSM) pour la gestion des clés, une segmentation réseau isolant les systèmes avec des données Restreintes, le MFA obligatoire pour tout accès y compris interne, une surveillance renforcée avec alertes en temps réel des anomalies, le partage externe interdit ou extrêmement limité avec approbation juridique, des clés de chiffrement gérées séparément des données chiffrées, des vérifications des antécédents pour le personnel ayant accès, et des contrôles de sécurité physique pour le matériel stockant les données. L'application des contrôles utilise une combinaison de technologie (chiffrement automatisé, DLP, contrôles d'accès), de politique (politiques d'utilisation acceptable, directives de classification) et de formation (sensibilisation des employés à une manipulation appropriée).

Étiquetage, Marquage et Application Automatisée

La classification manuelle où l'utilisateur sélectionne un libellé de classification pour chaque document est sujette aux erreurs, incohérente et non évolutive - l'automatisation est essentielle pour une classification des données efficace dans les organisations modernes générant des téraoctets de données chaque jour. La classification basée sur le contenu utilise la correspondance de motifs, les expressions régulières et l'apprentissage automatique pour classer automatiquement les données en fonction du contenu : elle détecte les numéros de carte de crédit (validant via l'algorithme de Luhn), les motifs d'identification fiscale, les adresses e-mail, les numéros de dossier médical et les mots-clés indicatifs d'informations sensibles, classant les documents contenant ces motifs comme Confidentiels ou supérieurs. La classification basée sur le contexte prend en compte des métadonnées telles que l'auteur (les documents créés par le directeur financier sont automatiquement Confidentiels), l'emplacement (tout ce qui se trouve dans le dossier "Board Materials" est Confidentiel) et l'application (les enregistrements dans la base de données RH sont Confidentiels car ils contiennent des PII). La classification basée sur l'utilisateur invite les utilisateurs à sélectionner une classification lorsqu'ils enregistrent un document ou envoient un e-mail, avec des valeurs par défaut intelligentes basées sur le contexte et une révision obligatoire avant déclassement. Technologies : Microsoft Information Protection (MIP) s'intègre à Office 365 en appliquant des libellés qui persistent avec le document (métadonnées intégrées), Azure Information Protection s'étend aux partages de fichiers sur site et au stockage cloud, Symantec DLP et Forcepoint DLP effectuent l'inspection et la classification du contenu, l'API Google Cloud DLP détecte et classe automatiquement les données sensibles dans GCP, et Varonis et Netwrix classent les partages de fichiers hérités via analyse. Les libellés doivent déclencher des contrôles automatisés : un document libellé Confidentiel se chiffre automatiquement lors de l'enregistrement, les e-mails comportant des pièces jointes Confidentielles nécessitent une confirmation avant un envoi externe, et le téléversement de données Restreintes vers un stockage cloud non approuvé est bloqué. Le marquage de métadonnées permet la recherche et la découverte des données par classification, facilitant les rapports de conformité (combien de documents Confidentiels avons-nous, où se trouvent-ils), la minimisation des données (supprimer les Confidentiels après la période de rétention) et la réponse aux incidents (si un bucket S3 fuit, identifier rapidement l'impact en fonction de la classification des données).

Cycle de Vie et Rétention des Données

Les données ont un cycle de vie de la création à la destruction éventuelle, et la classification éclaire les contrôles appropriés à chaque étape de ce cycle de vie. Création : la classification doit être déterminée au moment de la création (via une invite utilisateur, une détection automatique ou héritée d'un modèle/source), avec des contrôles appliqués immédiatement. Stockage : les données doivent résider dans des emplacements de stockage approuvés en fonction de la classification (Restreint uniquement dans un centre de données sur site avec sécurité physique, Confidentiel autorise les fournisseurs cloud approuvés avec chiffrement, Interne peut utiliser n'importe quel stockage d'entreprise), avec chiffrement, sauvegarde et contrôles d'accès correspondant au niveau de classification. Utilisation/Traitement : l'accès pendant l'utilisation nécessite une authentification/autorisation appropriée, la journalisation de qui a accédé et quand, et la prévention DLP du partage ou de l'exfiltration non autorisés. Partage : politiques de partage externe basées sur la classification (Public librement partageable, Interne uniquement via des méthodes sécurisées avec NDA, Confidentiel extrêmement restreint avec approbation juridique, Restreint jamais ou uniquement via des salles de données sécurisées), et partage interne via le principe du besoin d'en connaître. Archivage : les données non activement utilisées mais conservées pour des raisons de conformité ou métier sont déplacées vers un stockage d'archives à moindre coût tout en maintenant les mêmes contrôles de sécurité, avec un calendrier de rétention défini par la classification et les exigences réglementaires (LGPD, SOX, lois fiscales). Destruction : à la fin de la période de rétention ou lorsque le besoin métier cesse, des méthodes de suppression sécurisée basées sur la classification (Public suppression simple, Confidentiel écrasement avec des données aléatoires ou crypto-shredding via destruction de clés, Restreint destruction physique du support via une déchiqueteuse certifiée avec certificat de destruction). Mettez en œuvre des politiques de rétention automatisées dans SharePoint, Google Drive et les partages de fichiers qui suppriment ou archivent automatiquement les données à l'expiration de la période de rétention, avec une capacité de conservation légale pour suspendre la suppression pendant un litige.