Aujourd’hui, le rôle de l’administrateur de bases de données (DBA) a évolué au-delà des responsabilités traditionnelles de maintien des systèmes de bases de données, d’assurance de la performance et de gestion des sauvegardes. Les DBA sont désormais des acteurs clés dans la mise en œuvre et le maintien des cadres de gouvernance des données. La gouvernance des données est essentielle pour que les organisations gèrent efficacement leurs actifs de données, assurant la qualité, la sécurité et la conformité aux réglementations. Dans cet article, nous explorerons le concept de gouvernance des données, son importance et le rôle crucial que jouent les DBA dans ce domaine fondamental.
Comprendre la gouvernance des données
La gouvernance des données fait référence à l’ensemble des pratiques, politiques et normes utilisées pour gérer et contrôler les données au sein d’une organisation. Elle englobe les processus et responsabilités qui garantissent que les données sont exactes, cohérentes, sécurisées et utilisées de manière appropriée. Une gouvernance des données efficace permet aux organisations de tirer le maximum de valeur de leurs données tout en minimisant les risques liés aux violations de données, à la non-conformité et à la mauvaise qualité des données.
Les composants de base de la gouvernance des données incluent:
- Gestion de la qualité des données: Assurer que les données sont précises, complètes et fiables
- Sécurité des données: Protéger les données contre les accès non autorisés et les violations
- Conformité des données: Respecter les lois et réglementations pertinentes
- Responsabilité des données: Attribuer des responsabilités pour les tâches de gestion des données
- Architecture des données: Structurer les données de manière à soutenir les besoins de l’entreprise
- Politiques et procédures de données: Établir des lignes directrices pour la gestion et l’utilisation des données
La gouvernance des données est cruciale pour plusieurs raisons, mais l’une des plus importantes est de garantir que votre organisation se conforme aux réglementations gouvernementales et industrielles, c’est-à-dire la conformité réglementaire.
La conformité réglementaire est l’objectif des organisations dans leurs efforts pour s’assurer qu’elles sont conscientes des lois, politiques et réglementations pertinentes et qu’elles prennent des mesures pour s’y conformer. Les réglementations dictent le type de données que nous devons protéger, le type de contrôles que nous devons utiliser et les pénalités en cas de non-conformité. Ces pénalités peuvent impliquer des individus qui violent volontairement la loi sur la vie privée. Selon le Département de la Justice des États-Unis, « tout fonctionnaire ou employé d’une agence, …qui divulgue volontairement le matériel (PII) de quelque manière que ce soit à une personne ou une agence non autorisée à le recevoir, sera coupable d’un délit et passible d’une amende de ne pas plus de 5 000$.
Il existe de nombreux types de réglementations qui impactent vos données et les mesures que vous devez prendre pour les protéger.
- Il y a des réglementations sur la gouvernance d’entreprise qui dictent la manière dont les entreprises sont dirigées et contrôlées ; des exemples de celles-ci incluent les codes d’État des entreprises, la Loi sur les échanges de valeurs mobilières de la SEC, la loi Sarbanes Oxley (SOX), la loi GLBA, la loi FACTA et la norme Bâle II.
- Ensuite, il y a les réglementations sur la protection et la confidentialité des données qui dictent comment les données doivent être sécurisées et protégées contre l’accès non autorisé. Quelques exemples de celles-ci incluent HIPAA, PCI-DSS, GDPR, ainsi que les réglementations nationales et des États américains telles que CA SB 1386 et CCPA (California Consumer Privacy Act).
- Enfin, il y a les réglementations sur la rétention et la demande de données spécifiant la durée pendant laquelle les données doivent être conservées. Plus les données doivent être conservées longtemps, plus il faut mettre en place de contrôles pour s’assurer qu’elles sont protégées. Des exemples de ces réglementations incluent FRCP, HIPAA, GDPR, CCPA et d’autres.
Bien sûr, la gouvernance des données implique bien plus que simplement aider à se conformer aux réglementations industrielles et gouvernementales. Les autres aspects de la gouvernance des données incluent l’amélioration de la qualité des données, la réduction des risques, la rationalisation de l’efficacité opérationnelle et la mise en place de politiques et de processus clairs de gestion des données pour permettre aux entreprises de fonctionner efficacement.
Le DBA et la conformité réglementaire
Traditionnellement, les DBA sont chargés de gérer les systèmes de bases de données et les applications qui y accèdent. Cela implique généralement de comprendre les structures de bases de données, les internes et les points d’accès, mais pas nécessairement une connaissance approfondie des données elles-mêmes. Néanmoins, les tâches de gouvernance des données peuvent avoir un impact significatif sur les devoirs d’administration des bases de données.
Chaque fois que les politiques et procédures de gestion des données changent, l’équipe DBA est inévitablement impliquée pour aider à les mettre en œuvre et assister les utilisateurs lors de l’accès et de la modification des données et des programmes qui y accèdent. De plus, lorsque des produits supplémentaires sont nécessaires, comme c’est souvent le cas, les DBA seront impliqués de diverses manières. Ces responsabilités incluent l’évaluation des fournisseurs et des produits, l’analyse de l’impact du produit sur les procédures existantes, l’installation et la documentation, ainsi que l’intégration du produit dans l’environnement.
En outre, le DBA devra être impliqué dans la fourniture de conseils sur la praticité des nouvelles politiques, procédures et produits, ainsi que sur l’impact sur la charge de travail existante. Concentrons-nous sur la manière dont plusieurs des exigences de gouvernance des données pour la conformité réglementaire impactent le DBA.
Bien qu’il existe de nombreux domaines à aborder pour se conformer aux réglementations, nous examinerons trois points importants, en commençant par les types de données protégées par les réglementations. Ensuite, nous examinerons deux des tâches importantes qui peuvent être nécessaires pour vos données protégées: l’anonymisation et la suppression défendable.
Types de données à protéger
Il existe quatre grandes catégories de données nécessitant une protection:
- PII – informations personnelles identifiables**
- PHI – informations de santé protégées**
- PCI – informations de carte de paiement**
- IP – propriété intellectuelle**
Le Département de la Sécurité Intérieure des États-Unis définit les informations personnelles identifiables (ou PII) comme toute information permettant de déduire directement ou indirectement l’identité d’une personne, y compris toute information liée ou pouvant être liée à cette personne. Cela couvre un large éventail de données collectées par la plupart des organisations.
HIPAA (Health Insurance Portability and Accountability Act) est une loi fédérale américaine qui protège les informations de santé et garantit l’accès, la portabilité et le renouvellement des soins de santé. La règle de confidentialité d’HIPAA définit les informations de santé protégées (PHI) comme toutes les formes d’informations de santé protégées des individus, qu’elles soient électroniques, écrites ou orales. Elle définit également les protections requises pour les données PHI pour toutes les organisations, pas seulement les prestataires de soins de santé.
La norme de sécurité des données du secteur des cartes de paiement (PCI DSS) est une norme de sécurité industrielle administrée par le Payment Card Industry Security Standards Council. Elle protège les informations des détenteurs de cartes de paiement (PCI), ce qui étend les exigences de protection des données avec des règles et des pratiques spécifiques pour protéger non seulement les informations personnelles, mais aussi les numéros de carte et les informations connexes.
Enfin, votre organisation peut avoir une propriété intellectuelle (IP) qu’elle souhaite protéger contre une exposition concurrentielle. Ces informations peuvent devoir être protégées uniquement en raison de votre désir de les garder privées, ou en fonction du secteur et du type d’informations, l’IP peut également être soumise à des exigences de conformité réglementaire.
L’identification de toutes les PII dans votre organisation peut être une tâche difficile. Elle nécessite d’identifier tous les éléments de données dans toutes vos applications et bases de données qui y correspondent. Le degré de difficulté dépendra du niveau de documentation existant, de l’existence ou non de modèles de données et d’un catalogue de données à votre disposition, et de votre pratique actuelle de gouvernance des données.
Mais l’identification n’est que la première partie du problème. Une fois identifiées, vous devez ensuite prendre des mesures pour protéger les PII, et je parlerai de deux questions que vous devrez établir : l’anonymisation des données et la suppression défendable des données.
Anonymisation des données
L’anonymisation des données, parfois appelée masquage des données, est un exemple de méthode que vous pouvez utiliser pour protéger les PII. Mais quel problème l’anonymisation des données résout-elle ?
De nombreuses organisations se reposent sur la copie des données de production dans un environnement de test pour développer et tester des applications. Mais copier simplement les données de la production vers le test expose les PII. Certaines des données sont sensibles et ne devraient pas être accessibles aux développeurs d’applications. Vous ne voulez pas exposer des informations telles que les salaires ou les numéros de téléphone de vos collègues et clients à tous vos développeurs ! Ou pire encore, exposer les détails des cartes de crédit des clients à tout le monde!
Mais vous ne pouvez pas non plus créer simplement une série de données incohérentes. Vous devez vous assurer que l’intégrité référentielle est maintenue lors des tests, même si les valeurs des données changent. Vous avez besoin de données utiles pour les cas de test. Et vous devez également vous assurer de conversions de données cohérentes.
Ce ne sont pas des exigences insignifiantes.
La solution consiste à déployer l’anonymisation des données, qui est le processus de protection des informations sensibles dans les bases de données non productives contre une visibilité inappropriée. Lorsque vous anonymisez les données, les données de production valides sont remplacées par des données cohérentes, utilisables, référentiellement intactes, mais non précises. Après l’anonymisation, les données de test sont utilisables comme en production; mais le contenu informatif est sécurisé.
Lorsque vous envisagez une solution d’anonymisation des données, vous devez garder à l’esprit les qualités souhaitables suivantes. En vous assurant que votre solution possède ces qualités, vous pouvez masquer en toute sécurité les données pour respecter les réglementations sur la confidentialité des données. Quelles sont ces qualités ?
La première est la permanence. Lorsque les données sont masquées ou anonymisées, elles ne peuvent pas être démasquées. La deuxième qualité est que le masquage doit être irréversible. Une fois les données anonymisées, elles ne doivent pas être réversibles, sauf si c’est ce qui est nécessaire. Et la qualité finale est que vous ne devez pas pouvoir inférer la valeur non masquée à partir de la valeur masquée. Il ne doit pas être possible d’inférer ou de déduire le contenu des données originales non masquées.
En fin de compte, si vous copiez des données de production dans un environnement de test, il y a des problèmes de confidentialité que vous devez aborder. Un processus d’anonymisation des données qui comprend quelles données sont des PII sensibles et les masque en conséquence est nécessaire pour se conformer aux réglementations sur la confidentialité des données que nous avons discutées plus tôt.
Si les données sensibles sont masquées de manière statique, peu importe si des pirates y accèdent. Car les valeurs des éléments de données ne seront pas correctes de toute façon!
Suppression défendable
Une autre tactique dont vous pourriez avoir besoin pour gouverner correctement les données est une solution pour supprimer les données. À première vue, cela semble simple, mais c’est vraiment plus complexe si vous plongez dans les détails. Ce qui est nécessaire est une stratégie et une méthodologie pour supprimer de manière défendable les données qui ne sont plus nécessaires à votre organisation.
La suppression défendable est la pratique de disposer systématiquement des données qui ne sont plus nécessaires à des fins légales, réglementaires ou commerciales. Cela fait partie d’une stratégie globale de gouvernance de l’information. La suppression défendable consiste à supprimer méthodiquement les informations stockées électroniquement lorsqu’elles ne sont plus utiles.
La suppression défendable peut réduire les coûts de stockage et les risques juridiques associés à la rétention des informations stockées électroniquement.
Chaque donnée suit un cycle de vie standard, où les données sont créées à un moment donné, généralement par le biais d’une transaction. Pendant une période de temps après la création, les données entrent dans leur premier état: elles sont opérationnelles, c’est-à-dire que les données sont nécessaires pour compléter les transactions commerciales en cours. L’état opérationnel est suivi de l’état de référence. C’est le moment où les données sont encore nécessaires pour les rapports et les requêtes, mais elles ne pilotent pas nécessairement les transactions commerciales. Après un certain temps, les données passent dans une zone où elles ne sont plus nécessaires pour compléter les transactions commerciales et la probabilité qu’elles soient nécessaires pour les requêtes et les rapports est minime voire nulle. Cependant, les données doivent encore être conservées pour se conformer aux réglementations et à d’autres fins légales, en particulier si elles concernent une transaction financière. C’est l’état d’archivage.
Enfin, après une période de temps désignée dans l’archive, les données ne sont plus nécessaires et peuvent être supprimées. Cela doit être fortement souligné : les données doivent être supprimées. Dans la plupart des cas, la seule raison pour laquelle des données plus anciennes sont conservées est de se conformer aux réglementations, dont beaucoup permettent d’intenter des poursuites. Lorsqu’il n’y a pas d’exigence légale pour maintenir ces données, il est juste et approprié pour les organisations d’exiger qu’elles soient détruites – pourquoi permettre à quelqu’un de vous poursuivre si ce n’est pas une exigence légale de le faire?
En outre, de nombreuses réglementations et lois exigent que les données soient supprimées à un moment donné. Le GDPR, par exemple, a le « droit à l’oubli ». Lorsqu’un client ou un client protégé par le GDPR demande à être oublié, vous devez pouvoir supprimer toutes ses données de vos systèmes. Et le « droit à la suppression » est en cours d’adoption dans de nombreuses réglementations et lois supplémentaires, comme la CPRA de la Californie.
Supprimer un seul enregistrement est un jeu d’enfant. Mais qu’en est-il de pouvoir supprimer tous les éléments de données interconnectés, où qu’ils se trouvent ? Cela peut être un problème épineux sans une solution qui comprend les complexités interconnectées du stockage et de la rétention des données.
Il existe des produits sur le marché qui peuvent aider les équipes de gouvernance des données dans l’anonymisation des données et la suppression défendable des données, tels que deepeo™ et Arcsys™ de Infotel Corp, basé à Paris, en France.
En conclusion
Bien que comprendre les réglementations et leurs exigences soit un travail pour les professionnels et les experts en la matière, les DBA doivent s’impliquer dans la mise en œuvre des logiciels et des processus qui mettent en œuvre ces exigences. Tout ce qui impacte les données dans la base de données est du ressort du DBA, et l’anonymisation et la suppression des données impactent certainement les données! En tant que tel, les DBA doivent participer aux travaux de gouvernance des données de leur organisation avec les professionnels, les auditeurs et l’équipe juridique de l’entreprise pour s’assurer que les données sont traitées de manière appropriée, efficace et efficiente.
À propos de Craig S. Mullins
Craig S. Mullins est président et consultant principal de Mullins Consulting, Inc., un consultant en or IBM et un IBM Champion pour les données et l’IA. Il possède plus de trois décennies d’expérience dans tous les aspects du développement de systèmes de bases de données, y compris l’administration des bases de données, la gestion des performances et la modélisation des données. Visitez https://mullinsconsulting.com.