Formation sur les violations de données

Le contenu de la formation

1. 

   1. Qu’est-ce qu’une violation de données

   2:25

   Pour commencer, vos collègues découvrent qu’une violation de données à caractère personnel est une violation de la sécurité qui entraîne la destruction, la perte, l’altération ou la divulgation non autorisée de données personnelles, ou l’accès non autorisé à celles-ci. La leçon montre aussi ce qu’une violation peut signifier pour les personnes concernées.

2. 

   2. Identifier les violations de données

   1:50

   Phishing, piratage, personnes au sein même de l’organisation, simples erreurs, appareils volés : tout cela peut mener à une violation. La deuxième leçon passe ensuite aux signes qui peuvent indiquer qu’une violation est en cours.

3. 

   3. Réagir à une violation de données

   1:37

   La dernière leçon détaille ce qu’il faut faire dès qu’une violation est soupçonnée : déconnecter l’ordinateur du réseau, prévenir le service informatique, l’équipe sécurité ou un responsable, puis noter ce qui s’est passé et quelles données sont concernées.

Pourquoi c’est important

Une violation peut coûter à l’organisation la confiance de ses clients et entraîner des sanctions juridiques et des pertes financières. Le RGPD oblige l’organisation à notifier les violations importantes de données personnelles à l’autorité de contrôle dans un délai de 72 heures et à informer les personnes concernées dès que possible. Ni l’un ni l’autre n’est possible pour une violation que personne n’a remarquée.

Ce que vos collègues apprennent

• Le préjudice pour les personnes dépend de ce qui a été exposé. Des coordonnées bancaires divulguées pourraient mener à une usurpation d’identité, et des dossiers médicaux divulgués à une discrimination lors d’une candidature à un emploi.
• Un e-mail envoyé à la mauvaise personne peut constituer une violation. S’il contient des données personnelles que son destinataire n’aurait pas dû recevoir, il s’agit d’un accès non autorisé, au même titre qu’une intrusion dans une base de données clients.
• Les violations numériques peuvent être difficiles à remarquer. Ce qui les trahit, c’est une activité inhabituelle, comme des tentatives de connexion depuis des lieux inconnus, ou des fichiers qui apparaissent sans avoir été téléchargés ou qui disparaissent.
• La personne qui repère une violation n’est pas celle qui la répare. Le signalement déclenche le plan de réponse aux incidents de l’organisation, et essayer de réparer ou de supprimer quoi que ce soit pourrait gêner les collègues chargés de gérer la violation.
• Les détails d’une violation restent confidentiels jusqu’à ce qu’on soit autorisé à les partager. En parler trop tôt pourrait compliquer les efforts pour la contenir.