Selon le gouvernement fédéral, les organisations doivent identifier les informations personnellement identifiables (PII) ainsi que les informations de santé protégées (PHI) pour différentes raisons et les traiter de manière sécurisée. Tout accès non autorisé ou toute diffusion de ces informations pourrait avoir de graves conséquences pour les personnes dont les données ont été compromises. De plus, comme le gouvernement a la responsabilité de protéger ces informations importantes, il promulgue et applique une législation qui réglemente l’utilisation des PII et PHI.
Comprendre l’importance et la valeur de ces données peut être considéré comme la première étape pour les garder en sécurité. L’accès non autorisé aux PII ou PHI peut être préjudiciable tant pour les individus que pour les organisations. Il est du devoir des professionnels CISSP de prendre les mesures nécessaires pour garder les PII et PHI en sécurité et à l’abri de toute menace externe ou interne.
Les informations personnellement identifiables (PII)
Les informations personnellement identifiables sont toutes les informations qui peuvent être utilisées dans le but d’identifier, de localiser ou de contacter un individu spécifique, soit combinées avec d’autres sources facilement accessibles, soit par elles-mêmes.
Les PII peuvent inclure des données liées à tout individu par le biais de dossiers médicaux, professionnels, financiers ou éducatifs. Plusieurs de ces ensembles d’informations qui pourraient être utilisés pour identifier un certain individu pourraient consister en un nom, une adresse électronique, des données biométriques, un numéro de téléphone, des empreintes digitales ou un numéro de sécurité sociale.
Les agences fédérales ont la responsabilité de sauvegarder toute information sensible, y compris les DPI d’un individu. Les professionnels CISSP doivent donc accorder une importance clé à la sécurisation de ces données.
Les informations de santé protégées (PHI)
Les informations de santé protégées sont toutes les informations liées à l’état de santé, à la fourniture de soins de santé ou au paiement de soins de santé qui peuvent en outre être liées à un individu spécifique. Cependant, les DPI sont interprétées de manière assez large et comprennent toute sorte d’historique de paiement médical ou de dossiers d’un patient.
Récemment, il est devenu de plus en plus important de protéger les DPI, bien que la société s’y soit fiée pendant si longtemps sans problème de sécurité majeur. Ce problème actuel de protection des IPI est principalement dû à l’augmentation des incidences des attaques de piratage. Avec les progrès technologiques et l’utilisation des ordinateurs, la protection des DPI est devenue essentielle pour chaque organisation. De nombreuses lois importantes ont été mises en œuvre sous différentes formes pour protéger les DPI, telles que FCRA, HIPAA, GLBA, Privacy Act, COPPA et FERPA.
Ces lois sont utilisées comme un moyen vital pour tenter de garantir que les organisations sont restreintes dans le partage des informations personnelles sensibles avec tout tiers. Elles doivent en outre fournir les exigences nécessaires pour protéger les PHI de la manière la plus appropriée. Les professionnels CISSP doivent comprendre et protéger les PHI des individus contre les cyberattaques dans les organisations liées où ces données peuvent être stockées par les individus pour leur propre intérêt.
Exemples de PII et pourquoi les CISSP ont un rôle à jouer
C’est une option rentable de collecter et de vendre les PII sur une base légale, mais malheureusement, les PII sont souvent exploités par des criminels ou des personnes malveillantes qui veulent voler l’identité d’une personne ou commettre des crimes. Pourtant, d’après les statistiques du FBI, l’usurpation d’identité est considérée comme l’un des délits dont la croissance est la plus rapide aux États-Unis, car elle peut causer d’importants dommages financiers et émotionnels aux victimes. De nombreux gouvernements ont donc créé des législations visant à limiter le processus de diffusion des informations personnelles en raison de la menace qu’elles représentent. Voici quelques exemples de DPI :
- Les DPI comprennent un numéro d’identification de tout individu, notamment le numéro de carte de crédit, le numéro de passeport, le numéro de permis de conduire, le numéro d’identification du patient ou le numéro de sécurité sociale.
- Les DPI comprennent également le nom des individus, notamment le nom de jeune fille de la mère, tout pseudonyme utilisé ou leur propre nom de jeune fille.
- Les informations sur les biens, comme l’adresse IP ou MAC, et d’autres identifiants statiques qui pourraient relier un individu spécifique de manière cohérente sont également considérées dans les DPI.
- Les informations sur les adresses, comme les numéros de téléphone (professionnels ou personnels), les adresses de rue et les adresses électroniques font partie des DPI.
- Les caractéristiques personnelles ou biologiques, notamment les scanners de la rétine, les empreintes digitales, les images de signes distinctifs, la signature vocale, les radiographies ou la géométrie du visage relèvent des DPI.
- En outre, les informations personnelles telles que les indicateurs géographiques, la date de naissance, le lieu de naissance, les activités, la religion, les aspects financiers, médicaux ou éducatifs, sont considérées comme des DPI.
L’identité d’un individu devient vulnérable dans certaines circonstances lorsqu’un ou plusieurs éléments des informations facilement accessibles mentionnées ci-dessus sont réunis, même s’ils peuvent sembler inoffensifs s’ils restent seuls. C’est là que les CISSP doivent intervenir pour protéger ces données sensibles.
Exemples d’informations de santé protégées (PHI) et rôle des CISSP
La loi sur la portabilité et la responsabilité de l’assurance maladie (HIPAA) exige l’adoption de certaines règles de sécurité pour la protection des informations de santé personnelles. Habituellement, les PHI sont considérées comme toute information liée à la santé qui peut être identifiée individuellement et produite ou reçue par les prestataires de soins de santé, y compris les opérateurs de plans de santé et les chambres de compensation de santé.
Les PHI peuvent être liées à la santé actuelle, passée ou future d’un individu, que ce soit en termes physiques ou mentaux. Les RPS peuvent également inclure l’état actuel d’un individu en matière de santé. En général, les PHI peuvent être utilisés pour l’identification de tout individu spécifique. En outre, il fait référence à l’information qui est maintenue ainsi que transmise sous une forme donnée telle que l’électronique, le papier ou la parole.
Cependant, les PHI ne font pas référence aux dossiers liés à l’éducation qui sont couverts par l’EFRPA ou l’Educational Family Rights and Privacy Act. Il ne fait pas non plus référence aux dossiers d’emploi conservés par tout employeur. Les règlements PHI font classiquement référence à une variété de champs différents qui peuvent généralement être utilisés pour identifier un individu. Il s’agit notamment de :
- Noms
- Toute date liée directement à une personne, telle que la date de naissance, la date de sortie, la date de décès et l’administration
- Télécopie et numéros de téléphone
- Adresses électroniques et postales (y compris les subdivisions géographiques telles que le pays et les codes postaux)
- Dossiers médicaux, bénéficiaire du régime de santé, certificat, numéros de sécurité sociale et de compte
- Identifiants de véhicule, biométriques, vocaux et d’empreintes digitales
- Images photographiques de caractéristiques reconnaissables et du visage complet
- Tout autre numéro, code ou caractéristique unique qui peut être utile pour reconnaître une personne
Les professionnels du PSIC doivent donc mettre l’accent sur la sécurité de ces données. Ceci est couvert dans la sécurité des actifs du domaine II de l’examen CISSP.
Différentes façons pour les CISSP de garder les PII et PHI en sécurité contre les attaques malveillantes
Une « base de sécurité » est un ensemble de caractéristiques de sécurité de base qui doivent être remplies par tout système ou service donné. Ces caractéristiques ou objectifs n’impliquent pas de mesures techniques et sont choisis pour être complets et pragmatiques. Par conséquent, il devrait y avoir un « document de mise en œuvre de la sécurité » distinct, contenant les détails sur la manière dont les différents objectifs de sécurité peuvent être atteints par un service ou un système spécifique. Ces détails dépendent généralement de l’environnement d’exploitation du service ou du système dans lequel il est déployé. En outre, il peut utiliser et appliquer les mesures de sécurité pertinentes de manière créative. Les dérogations à la ligne de base sont tout à fait possibles et attendues. Toute dérogation doit être marquée explicitement.
Le « scoping », quant à lui, est un système d’évaluation continue de toute situation, qui est généralement effectué par le biais de discussions, de consultations et de surveillance.
« Tailoring » est l’adaptation des besoins ou des spécifications en fonction des exigences opérationnelles actuelles par le biais de compléments, de modifications et/ou de suppressions sans s’écarter des normes.
Data ownership
Le fait d’avoir un contrôle total et des droits légaux sur une pièce unique ou un ensemble d’éléments de données est connu sous le nom de Data ownership. Elle définit et donne en fait des informations concernant le propriétaire légitime de tout actif de données spécifique et la politique de son utilisation, de son acquisition et de sa distribution mise en œuvre par le propriétaire des données.
Rémanence des données
La représentation résidentielle des données numériques est connue sous le nom de rémanence des données, qui restent même après les tentatives de les supprimer ou de les effacer.
Limitation de la collecte
L’utilisation de cadres de confidentialité peut être considérée comme des outils pour vous aider à réfléchir concernant la confidentialité des données et à encadrer les discussions sur la confidentialité pour comprendre ses exigences.
Il existe un forum pour les « pays engagés dans la démocratie et l’économie de marché » appelé L’Organisation de coopération et de développement économiques (OCDE). La devise de l’organisation est de fournir un cadre aux gouvernements pour comparer les expériences des politiques pour avoir les réponses aux problèmes communs et identifier les meilleures pratiques en coordonnant les différentes politiques internationales et nationales.
Les principes de l’OCDE sur la vie privée au niveau international donnent le cadre de la vie privée qui est le plus couramment utilisé. Les réseaux de protection de la vie privée se reflètent dans les lois émergentes ainsi que dans les lois existantes sur la vie privée et la protection des données, servant ainsi de base à la production de programmes de protection de la vie privée de première qualité et d’autres principes supplémentaires.
Les principes de protection de la vie privée : What CISSPs Must Know
Les principes de protection de la vie privée, selon les Lignes directrices régissant la protection de la vie privée et les flux transfrontaliers de données à caractère personnel, sont les suivants :
Principe de limitation de la collecte
Il doit y avoir des limites à la collecte de données personnelles et toute information de ce type doit être obtenue par des moyens équitables et légaux. En outre, le cas échéant, les données doivent être obtenues avec le consentement ou à la connaissance de la personne concernée.
Principe de qualité des données
Toutes les données personnelles obtenues doivent être pertinentes aux fins de leur utilisation, et seulement dans la mesure essentielle à ces fins. Les données utilisées doivent être complètes, exactes et mises à jour.
Principe de spécification des finalités
Les finalités de la collecte des données personnelles doivent être précisées au plus tard au moment de la collecte et lors de chaque utilisation ultérieure. En outre, elle est limitée à la réalisation des finalités pour lesquelles elle est prise et n’est pas incompatible avec les finalités lorsqu’il y a l’occasion d’un changement des finalités.
Principe de limitation de l’utilisation
Les données personnelles ne peuvent pas être mises à disposition, divulguées ou autrement utilisées à des fins autres que celles qui sont conformes aux lois et au consentement de la personne concernée.
Principe des garanties de sécurité
Les données personnelles doivent être protégées contre les risques potentiels tels que l’accès, l’utilisation, la modification, la distribution et la divulgation ou la perte non autorisés en mettant en œuvre des garanties de sécurité raisonnables.
Principe d’ouverture
Il doit y avoir une politique générale d’ouverture concernant les pratiques et les développements relatifs aux informations personnelles. Il doit exister des moyens facilement accessibles pour établir la nature et l’existence des informations personnelles, les objectifs clés de leur utilisation et l’identité avec l’adresse résidentielle habituelle du responsable du traitement des données.
Principe de participation des individus
Chaque individu doit avoir les droits suivants :
- D’obtenir des informations du responsable du traitement des données, et de confirmer si le responsable du traitement des données possède des informations le concernant ;
- D’avoir communiqué au responsable du traitement des données pour les données le concernant :
- Dans un délai pratique;
- A un prix (non excessif);
- De manière raisonnable ; et
- Sous une forme aisément intelligible ;
- De donner les raisons pour lesquelles la demande faite en vertu des alinéas (a) et (b) susmentionnés est refusée, et de la capacité de contester ce refus;
- De contester les données le concernant et de les faire modifier, compléter, rectifier ou effacer si la contestation aboutit.
Principe de responsabilité
Tout responsable de traitement doit être tenu de respecter les mesures donnant effet aux principes énoncés ci-dessus.