Comment prévenir les atteintes à la sécurité des données

La sécurité des données est un sujet de préoccupation majeur dans le secteur des services financiers car elle est associée à d’énormes coûts financiers et de réputation. La cybercriminalité ciblant les entreprises financières est en augmentation.

En conséquence, l’attention portée aux questions de sécurité des données devrait concerner non seulement les membres du personnel des technologies de l’information, mais également le personnel chargé de la gestion des risques et de la conformité, ainsi que les membres des organisations de contrôle et les directeurs financiers. En outre, les professionnels de la gestion financière d’autres secteurs doivent être familiarisés avec les thèmes de la sécurité des données, en raison des risques financiers.

La fréquence et le coût croissants des violations majeures de la sécurité des données, qui affectent les banques, les entreprises d’investissement, les processeurs de paiement électronique, les réseaux de cartes de crédit, les détaillants et autres, en font un domaine dont il est pratiquement impossible de sous-estimer l’importance aujourd’hui.

Problèmes de sécurité des données:

La sécurité des données pour les entreprises qui acceptent les paiements par cartes de crédit et de débit implique de faire très attention au choix des processeurs de paiement électroniques. Ce secteur d'activité compte des centaines d'entreprises, mais seul un sous-ensemble est classé conforme à la norme PCI par le Conseil des normes de sécurité du secteur des cartes de paiement. Les principaux émetteurs de cartes de crédit (Visa, MasterCard, etc.) tentent généralement d'inciter les entreprises à utiliser uniquement des processeurs de paiement conformes à la norme PCI.

La sécurité des données concernant le traitement des cartes de crédit et des cartes de débit aux points de vente, telles que celles des caisses enregistreuses, des pompes à essence et des guichets automatiques, est de plus en plus compromise et compliquée par des systèmes de vol de numéros de cartes et de NIP. Beaucoup de ces systèmes utilisent le placement secret de puces RFID (puces d'identification par radiofréquence) par des voleurs de données sur ces terminaux pour "écrémer" ces données. La société de sécurité ADT est un fournisseur proposant un logiciel Anti-Skim, qui déclenche des alertes lorsque des violations de données de ce type sont détectées.

En outre, un évaluateur de sécurité qualifié (QSA) peut être engagé pour mener une enquête sur la vulnérabilité d'une entreprise à ce type de violation de la sécurité des données.

La sécurité des données dépend souvent de la sécurité physique des centres de données. Cela implique de veiller à ce que le personnel non autorisé soit tenu à l'écart. En outre, le personnel autorisé ne peut pas supprimer les serveurs, ordinateurs portables, clés USB, disques, bandes magnétiques, impressions, etc., contenant des informations sensibles provenant de sociétés. De même, des contrôles devraient être mis en place pour empêcher le personnel non autorisé de consulter des informations sensibles qui ne sont pas nécessaires à l'exercice de leurs fonctions.

Outre les protocoles et les procédures de sécurité en vigueur dans les locaux de votre entreprise, vous devez également examiner de près les pratiques de fournisseurs externes de services de traitement et de transmission de données. Par exemple, si une entreprise tierce héberge le site Web de votre entreprise, vous devez vous préoccuper de ses procédures de sécurité des données. La certification SAS-70 est une norme commune pour les procédures de sécurité adéquates concernant les réseaux internes, requise par la loi Sarbanes-Oxley pour les entreprises de technologie de l'information détenues par le public. L'utilisation des protocoles SSL est la norme pour traiter des données sensibles en ligne de manière sécurisée, telle que la saisie d'un numéro de carte de crédit lors du paiement d'une transaction.

Meilleures pratiques de sécurité du réseau:

Les principaux aspects de la sécurité des réseaux qui ont une incidence sur la sécurité des données sont les protections contre les pirates et l’inondation des sites Web ou des réseaux. Votre groupe de technologies de l'information interne et votre fournisseur de services Internet (ISP) doivent disposer de contre-mesures appropriées. C’est également un sujet de préoccupation concernant l’hébergement Web et les sociétés de traitement de paiements. Tous ces fournisseurs extérieurs doivent démontrer leurs protections.

Encore une fois, les meilleures pratiques qui caractérisent les réseaux de données, les centres de données et la gestion de données de votre propre entreprise sont les mêmes que celles que vous devriez confirmer sont en place chez tous les fournisseurs externes de services de traitement de données, de paiement, de réseautage et d'hébergement de sites Web. Avant de conclure tout contrat avec un fournisseur tiers, vous devez vous assurer qu'il dispose des certifications minimales appropriées émanant d'organismes externes indépendants (comme indiqué ci-dessus) et procéder à votre propre diligence raisonnable, sous la direction du personnel informatique de votre société disposant des informations d'identification appropriées. ou par des consultants externes qualifiés.

En dernier lieu, il est possible de souscrire une assurance contre les coûts associés aux violations de la sécurité des données. Ces coûts incluent les amendes et les pénalités imposées par les réseaux de cartes de crédit (tels que Visa et MasterCard) pour ces défaillances, ainsi que les frais qu’ils imposent aux émetteurs de cartes (principalement les banques, les coopératives de crédit et les sociétés de courtage) pour annuler des cartes de crédit et de débit., en émettant de nouveaux et en rétablissant les droits des membres de la carte en raison de violations causées par votre société, ainsi qu’ils tenteront de les facturer à votre société.

Une telle assurance peut parfois être proposée par des sociétés de traitement de paiements, ou directement par des sociétés d’assurance. Les détails de ces polices peuvent être détaillés, de sorte que l'achat d'une telle assurance nécessite beaucoup de soin.

_{Source principale: "Éviter les violations de données" Forbes, 7/18/2011.}