Continuité des activités : découvrir les actifs attrayants de ses données

De nos jours, l’un des problèmes relatifs aux volumes de données est… les volumes de données. Il y en a tellement qu’il est pratiquement impossible d’effectuer un tri entre ce qui est fondamental, ce qui est important et ce qui est sans importance, ou presque.

Sans ces critères de différenciation, deux choix se présentent à vous : sauvegarder toutes vos données, si vous le pouvez, et espérer qu’elles puissent être récupérées assez rapidement au besoin, ou prier que si jamais il arrive quelque chose, vous pouvez récupérer ce dont vous avez besoin pour poursuivre les activités de l’entreprise.

Aucune de ces options n’est particulièrement satisfaisante en cas de catastrophe. Alors, comment pouvez-vous vous assurer que vous protégez les actifs attrayants de votre entreprise comme il se doit? La première étape est de comprendre en quoi ils consistent. Et cela exige de procéder à la classification de ses données, processus s’inscrivant dans la gestion du cycle de vie de l’information. Dès sa mise en œuvre, il vous permet d’établir quelles données doivent être protégées et à quel niveau, et quel est leur degré d’importance pour votre entreprise. Par exemple, toute propriété intellectuelle qui distingue vos produits de tous les autres vous donne une importante longueur d’avance par rapport à la concurrence. En cas de perte d’une telle propriété intellectuelle, votre entreprise pourrait en souffrir. D’un autre côté, une note sur les congés des employés est un document qui pourrait être peint sur le mur de l’immeuble sans que cela n’ait de répercussions significatives, et sa perte en cas d’écrasement de tête ne serait pas regrettée.

Les schémas de classification des données courantes sont classés en trois catégories. La première, connue sous différentes appellations telles que « données confidentielles » ou « données à diffusion restreinte », regroupe les données dont la perte aurait des conséquences catastrophiques pour l’entreprise. Il peut s’agir par exemple de renseignements permettant d’identifier des personnes, des numéros de carte de crédit, des données médicales, des données d’authentification (noms d’utilisateur, mots de passe, clés de chiffrement) ou de toute propriété intellectuelle, comme il a déjà été mentionné.

La deuxième catégorie, « données sensibles, destinées à un usage interne seulement ou privées », regroupe des données de sensibilité moyenne. Celles-ci comprennent notamment la plupart des courriels et des données commerciales (sauf si elles sont de nature confidentielle).

La troisième catégorie est celle des « données publiques », qui englobe, entre autres, les communiqués de presse et les documents de marketing qui ont été volontairement divulgués au public. Si une simple classification n’est pas suffisante, il existe des schémas plus complexes, tels que ceux décrits dans la publication 199 des FIPS élaborées par le National Institute of Standards and Technology des États-Unis, qui allient confidentialité, intégrité et disponibilité des données.

Ce que vous devez savoir ensuite est qui est en possession des données, qui peut y avoir accès et ce que chaque utilisateur peut en faire.

Puisque la classification manuelle des données serait extrêmement chronophage, voire impossible pour de nombreuses entreprises, des outils permettant de réaliser cette tâche ont été élaborés. Par exemple, Microsoft propose une trousse de classification des données, que l’on peut télécharger gratuitement, conçue pour aider une entreprise à identifier, à classifier et à protéger ses données se trouvant sur des serveurs de fichiers, tandis que HP offre la suite Atalla Information Protection and Control, qui assure la classification automatique des données au moment de leur création, dès l’installation du produit, et fait en sorte que les données conservent leur classification lorsqu’elles sont déplacées.

La classification de données peut représenter une montagne de travail et exiger beaucoup de temps, à un point tel que les employés internes ne peuvent tout simplement pas s’en occuper. Toutefois, cette tâche est bien trop importante pour être négligée; comme elle va au-delà des capacités du personnel interne, ça vaut le coup de faire appel aux services d’experts, tels que les spécialistes en continuité des activités de Rogers, afin de s’assurer que chaque donnée est protégée de la bonne manière, ce qui vous permettra de poursuivre vos opérations en cas de catastrophe.