Qu’est-ce que le masquage de données ?

Le masquage de données consiste à remplacer les données sensibles d’une base de données ou d’un magasin de données par des valeurs déguisées réalistes et fonctionnelles afin de renforcer les pratiques de sécurité des données.

Le masquage de données inclut souvent des techniques automatisées de manipulation de caractères ou de chiffres. Les entreprises y ont recours parce qu’il permet de masquer ou d’anonymiser des données de production sensibles et de haute qualité, notamment les données à caractère personnel (DCP) et les informations de santé protégées (PHI), pour les besoins du développement et des tests, de l’analyse, du service client et de la formation.

Grâce au masquage de données, vos précieuses ressources en personnel n’ont plus besoin de recréer des données en dehors des environnements de production pour répondre aux exigences de conformité. Il améliore également la cyber-résilience en protégeant les informations importantes de l’entreprise et des clients contre des sinistres tels que les attaques par ransomware.

Comment fonctionne le masquage de données et en quoi est-il nécessaire ?

Le masquage de données consiste à remplacer manuellement ou automatiquement des valeurs de données par des chiffres, des lettres, des caractères ou des combinaisons au sein d’une même base de données ou d’un même magasin de données. Cette pratique attire davantage l’attention depuis l’entrée en vigueur du règlement général sur la protection des données (RGPD) de l’Union européenne, qui oblige les entreprises à garantir la pseudonymisation de leurs données, c’est-à-dire à s’assurer que celles-ci ne peuvent pas servir à une identification personnelle.

Les entreprises et les organismes publics d’aujourd’hui ont de plus en plus besoin de masquer leurs données parce qu’ils dépendent d’opérations numériques. Les entreprises adoptent le masquage de données pour différentes raisons.

• Accélération de l’activité – Grâce au masquage des données, les entreprises qui stockent des informations sensibles sur leurs employés, leurs partenaires, leurs clients et leurs transactions peuvent continuer à utiliser ces données sans interruption, sans crainte de vol ou de perte de données et sans se préoccuper de leur conformité avec les règles du secteur ou du gouvernement. Les données masquées sont souvent utilisées pour le développement et les tests de logiciels, mais également pour l’informatique décisionnelle, la formation et l’analyse.
• Continuité de l’activité – Plus récemment, le masquage des données est devenu un outil puissant qui permet aux entreprises de protéger leurs données sensibles contre les cyberattaques de type ransomware à double extorsion, car même si les cybercriminels volent les données, ils ne pourront pas s’en servir.
• Protection des données – Grâce au masquage des données, les équipes peuvent empêcher les acteurs malveillants externes (cybercriminels, sous-traitants et tiers) et internes (menaces internes) d’accéder à des informations précieuses, et permettre à un plus grand nombre de personnes d’accéder aux données sensibles de l’entreprise pour exécuter des tâches utiles susceptibles d’accroître le chiffre d’affaires.
• Conformité – Les entreprises ne veulent pas payer d’amendes pour non-respect de réglementations sur la confidentialité telles que le RGPD et le CCPA (California Consumer Privacy Act).

Quelles sont les données à masquer ?

Les entreprises qui conservent des données sensibles conformément aux réglementations sectorielles et gouvernementales sur la confidentialité peuvent être tenues de les masquer. Le masquage de données concerne souvent ces types de données :

• Données à caractère personnel (DCP) – Ce sont les données qui, prises seules ou associées à d’autres détails, peuvent servir à établir l’identité d’une personne (par exemple, un nom, une adresse, un numéro de licence, un numéro de téléphone, un numéro de passeport, etc.).
• Informations de santé protégées (PHI) – Ce sont toutes les données d’un dossier médical qui peuvent servir à identifier une personne, et qui ont été créées ou partagées lors d’une consultation médicale (par exemple le nom, l’adresse, le numéro de dossier médical, les dates des services, les diagnostics, les numéros d’appareils, etc.).
• Données financières – Ces informations font partie d’une transaction et sont soumises aux règles de la norme PCI-DSS (Payment Card Industry Data Security Standard).
• Propriété intellectuelle – Il s’agit des informations considérées comme appartenant à une entreprise.

Quels sont les différents types de masquage de données ?

Voici quelques-uns des types de masquage de données les plus utilisés ; et pourquoi les entreprises y ont généralement recours pour protéger leurs informations sensibles :

• Masquage statique des données– Pour créer une nouvelle copie nettoyée d’une base de données ou d’un magasin de données, l’entreprise fait une sauvegarde de la production, la déplace dans un autre environnement ou via un air gap virtuel, puis masque manuellement ou automatiquement les données hors ligne et les recharge à des fins de dev/test, d’analyse ou de formation.
• Masquage dynamique des données – L’entreprise masque les données en temps réel lorsqu’elles passent directement d’un magasin de données de production à un autre emplacement, souvent la file d’attente de réponses d’une application telle que le service client.
• Masquage des données à la volée – Cette approche fonctionne également en temps réel. Elle est généralement utilisée dans les entreprises d’ingénierie, lorsque les données se déplacent directement entre le serveur de production et un autre serveur.
• Masquage déterministe des données – Dans ce cas, les entreprises choisissent de remplacer certaines données (par exemple, certains noms) par la même valeur (par exemple, 1) ou les mêmes caractères (par exemple, xyz) chaque fois qu’elles servent dans une source de données en dehors de la production, et ce afin de les utiliser plus rapidement, souvent à des fins de dev/test.

Quelles sont les méthodes et les bonnes pratiques de masquage des données ?

Les méthodes de masquage des données les plus courantes sont le brouillage (qui consiste à réorganiser les lettres ou les chiffres de manière aléatoire), l’annulation (qui consiste à remplacer les données par des valeurs nulles pour qu’elles n’apparaissent plus), la substitution (qui consiste à modifier les valeurs ou les mots réels), et le mélange (qui consiste à modifier les valeurs, et à les déplacer dans les colonnes et les lignes de la base de données ou dans les jeux de données). La variance (qui consiste à attribuer une valeur ou une date aléatoire à un champ) et le vieillissement des dates (qui consiste à modifier constamment une plage de dates), sont des techniques de masquage de données récurrentes pour les données transactionnelles.

Les entreprises qui appliquent l’une de ces méthodes devrons commencer par :

• Évaluer leurs données – Avant de masquer toute donnée, les équipes doivent comprendre leurs données sensibles, savoir qui est autorisé à y accéder, quelles applications et quelles personnes doivent y accéder et où elles se trouvent.
• Coordonner leurs équipes – Une seule équipe est rarement responsable de toutes les tâches de masquage des données. Les services doivent donc impérativement se coordonner pour maintenir l’intégrité référentielle. L’intégrité référentielle garantit que la valeur d’un attribut d’une relation dans une base de données relationnelle qui renvoie à un autre attribut existe bel et bien.
• Sécuriser leurs processus – Les ransomwares prolifèrent et le nombre de menaces internes augmente. Les entreprises doivent donc renforcer la sécurité partout, notamment en identifiant les personnes et les systèmes responsables de protéger leurs données et leurs protocoles de masquage des données.
• Tester leurs approches – Les équipes chargées de masquer les données doivent procéder à un contrôle de qualité pour s’assurer que les niveaux de sécurité qu’elles prévoient et les performances des systèmes et des applications répondront aux attentes une fois lancés.

Quelle est la différence entre masquage et chiffrement des données ?

Le masquage des données est plus facile à utiliser que le chiffrement des données. Les entreprises utilisent généralement le chiffrement, qui convertit et transforme les données en texte impossible à lire par les humains et les machines lorsque ces données sont au repos. Pour restaurer les données sous une forme utilisable, il faut un algorithme de décryptage correspondant et la clé de chiffrement d’origine. En revanche, il est possible de masquer des données qui sont au repos ou en transit. Il est également possible d’accéder immédiatement aux données masquées et de les utiliser pour alimenter des applications et accomplir des tâches régulières, notamment répondre aux questions des clients, tester ou développer du code, et effectuer des analyses sur des jeux de données.

Cohesity et le masquage de données

Les entreprises sont confrontées à une croissance exponentielle des données, à une augmentation du nombre de menaces de type ransomware et à des exigences de conformité plus strictes. Elles doivent donc améliorer la protection de leurs données sensibles tout en les rendant plus disponibles pour un usage professionnel. Cohesity Data Cloud améliore la cyber-résilience et l’efficacité opérationnelle en renforçant la sécurité et en automatisant des processus auparavant manuels.

Elle est conçue pour simplifier, faire évoluer et renforcer la gestion et la sécurité des données. La plateforme Cohesity est également alimentée par des informations issues de l’intelligence artificielle et du machine learning (IA/ML), et s’appuie sur les principes de sécurité Zero Trust. Ces principes permettent aux entreprises d’utiliser des applications tierces telles que le masquage de données pour mettre en place une défense multicouche.

En combinant la plateforme extensible de Cohesity avec des fournisseurs de masquage de données tels que DataMasque, vous bénéficiez de capacités de masquage intelligentes qui vous permettent de d’anonymiser vos données et d’en retirer les informations sensibles (notamment les DCP) avant de les partager avec d’autres équipes. Vous pouvez ainsi respecter plus facilement les règles de conformité. Grâce à cette solution facile à utiliser, les entreprises améliorent la protection de leurs données tout en renforçant la confiance de leurs clients, de leurs employés et de leurs partenaires.