Schutzbedarfsfeststellung

Toutes les informations n’exigent pas la même protection. Un menu de cantine est anodin, une liste de salaires ne l’est pas. La détermination du besoin de protection permet d’appliquer vos mesures de protection aux bons endroits – y compris pour décider avec quelle rigueur les anciens supports de données doivent être effacés ou détruits.

Qu’est-ce qu’une détermination du besoin de protection ?

La notion provient de l’ BSI IT-Grundschutz. L’Office fédéral allemand de la sécurité des technologies de l’information (BSI) la décrit dans le standard BSI 200-2. Le point de départ est constitué des processus métier et des informations qui y sont traitées. Pour chaque information, on se demande : quel serait le pire dommage réaliste si elle tombait entre de mauvaises mains, était falsifiée ou n’était pas disponible ?

Le besoin de protection se transmet aux systèmes qui traitent ces informations. Un serveur contenant des dossiers du personnel a donc un autre besoin de protection qu’un serveur d’impression pour la cantine.

Catégories et règles d’évaluation

Catégorie	Signification selon le standard BSI 200-2
normal	Les conséquences d’un dommage sont limitées et maîtrisables.
Élevé	Les conséquences d’un dommage peuvent être considérables.
très élevé	Les conséquences d’un dommage peuvent atteindre une ampleur catastrophique, menaçant l’existence même de l’organisation.

On évalue des scénarios de dommages typiques, tels que les violations de lois et de contrats, l’atteinte au droit à l’autodétermination informationnelle, les conséquences financières ou les atteintes à l’image. S’y ajoutent trois règles :

• Principe du maximum : Un système reprend le besoin de protection le plus élevé des informations qu’il traite.
• Effet de cumul : De nombreuses données à besoin de protection normal peuvent ensemble entraîner un besoin de protection plus élevé.
• Effet de répartition : Lorsqu’une information est répartie sur plusieurs systèmes, le besoin de protection de chaque système peut être plus faible.

Besoin de protection et destruction de supports de données

Pour la destruction physique des supports de données, la norme DIN 66399 reprend la même idée. Elle prévoit trois classes de protection fondées sur le besoin de protection des données : la classe de protection 1 pour un besoin normal, 2 pour un besoin élevé et 3 pour un besoin très élevé. La classe de protection détermine le niveau de sécurité minimal requis. En savoir plus dans l’entrée Classe de protection (DIN 66399) et dans le guide DIN 66399 : classes de protection et niveaux de sécurité.

Le RGPD raisonne lui aussi en fonction du risque : l’art. 32 exige des mesures adaptées au risque pour les droits des personnes concernées. La détermination du besoin de protection en fournit une justification compréhensible.

Besoin de protection et Second IT

Une fois le besoin de protection clarifié, la méthode adaptée peut être choisie de façon ciblée. Second IT efface les supports de données fonctionnels avec Blancco et établit un certificat d’effacement signé numériquement pour chaque appareil. Les supports de données qui ne peuvent pas être effacés sont détruits en interne conformément à la norme DIN 66399 au niveau de sécurité H-5. La manière dont le traitement est protégé est décrite sous Sécurité des données chez Second IT.

Questions fréquentes sur la détermination du besoin de protection

Qui réalise la détermination du besoin de protection ?

Le plus souvent les responsables de la sécurité de l’information avec les responsables des services métier. Ils connaissent les informations et peuvent le mieux évaluer les conséquences d’un dommage. Les résultats sont justifiés par écrit.

La détermination du besoin de protection est-elle prescrite par la loi ?

En tant que notion, elle fait partie du BSI IT-Grundschutz, et non du RGPD. Pour les autorités et les entreprises qui travaillent selon l’IT-Grundschutz, elle est obligatoire. D’autres l’utilisent volontairement pour justifier le choix de mesures adaptées au risque exigé par le RGPD.

Quel rapport y a-t-il entre le besoin de protection et les anciens disques durs ?

Le besoin de protection des données stockées détermine avec quelle rigueur un disque dur doit être effacé ou détruit. En cas de besoin de protection élevé ou très élevé, des méthodes plus strictes et des justificatifs complets par support de données sont appropriés.

Qu’est-ce que le principe du maximum pour le besoin de protection ?

Un système reprend le besoin de protection le plus élevé des informations qu’il traite. Si un serveur contient des dossiers du personnel et des données non critiques, c’est le besoin de protection des dossiers du personnel qui s’applique. Cela détermine aussi avec quelle rigueur le serveur doit être effacé lors de sa mise hors service.

Quelle est la différence entre besoin de protection et classe de protection ?

Le besoin de protection provient du BSI IT-Grundschutz et comporte les niveaux normal, élevé et très élevé. La classe de protection (1 à 3) provient de la norme DIN 66399 et s’en inspire. Elle détermine le niveau de sécurité minimal requis pour la destruction.