Chiffrement des données
Transformation des données en une forme illisible sans clé, qui ne protège pas contre le rançongiciel mais peut dispenser de notifier les personnes concernées après une fuite et réduit ainsi la sévérité du sinistre.
Le chiffrement rend des données inintelligibles pour quiconque ne détient pas la clé permettant de les déchiffrer. On distingue le chiffrement en transit, qui protège les échanges sur les réseaux, et le chiffrement au repos, qui protège les données stockées sur les disques, les sauvegardes et les appareils mobiles. Pour l'assurance, son effet est souvent mal compris. Il ne protège pas contre le rançongiciel, qui chiffre à son tour des données déjà chiffrées, ni contre un attaquant qui a obtenu les identifiants d'un utilisateur légitime et lit donc les données en clair. En revanche, il change radicalement la portée d'une perte ou d'un vol de support : un ordinateur portable volé dont le disque est chiffré n'expose pas les données qu'il contient. Le règlement général sur la protection des données en tire une conséquence directe : l'obligation d'informer les personnes concernées d'une violation ne s'applique pas lorsque les données ont été rendues incompréhensibles à toute personne non autorisée, par exemple par un chiffrement dont la clé n'a pas été compromise. Le chiffrement réduit ainsi les frais de notification, de centre d'appel et de surveillance, et le risque d'action collective qui les accompagne.
Cas d'école : un commercial se fait voler dans un train un ordinateur portable contenant les coordonnées de 20 000 clients. Si le disque est chiffré et la clé n'a pas été compromise, l'article 34 du règlement général sur la protection des données dispense l'entreprise d'informer individuellement les clients ; sans chiffrement, elle doit les notifier un par un, avec les frais et le risque de réclamations qui en découlent.
data encryption, chiffrement au repos, chiffrement en transit
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.