Classification des données : publiques, internes, confidentielles, restreintes

La classification des Data est le processus qui consiste à organiser les données en catégories selon leur sensibilité et l'impact d'une divulgation, d'une modification ou d'une perte non autorisée. La classification guide toutes les décisions de sécurité ultérieures : le chiffrement requis, les personnes autorisées à accéder aux données, la manière dont elles doivent être stockées et transmises, ainsi que leur durée de conservation. Sans classification, les organisations appliquent soit trop de contrôles, ce qui gaspille des ressources, soit trop peu, laissant les données sensibles sans protection.

La plupart des organisations Commercial utilisent quatre niveaux de classification. Les données Public peuvent être librement communiquées à n'importe qui : supports Marketing, communiqués de presse. Les données Internal (ou Private) ne sont pas secrètes, mais ne doivent pas être communiquées à l'extérieur de l'organisation : annuaires des employés, politiques internes. Les données Confidential nécessitent une protection, car leur divulgation non autorisée nuit à l'organisation : rapports financiers, contrats. Les données Restricted (ou Highly Confidential) sont soumises aux contrôles les plus stricts : secrets commerciaux, PII, informations de santé protégées, identifiants.

Les systèmes de classification Government diffèrent des systèmes Commercial. Les données du Government des États-Unis sont classées Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret et Top Secret. Top Secret/SCI (Sensitive Compartmented Information) est le niveau le plus élevé et nécessite des installations spécialisées (SCIFs) ainsi que des enquêtes de sécurité. L'examen Security+ évalue les schémas de classification Commercial et Government, ainsi que les processus d'habilitation associés aux classifications Government.

Le propriétaire des données (un responsable métier, et non l'équipe IT) est chargé de classifier les données et de veiller à l'application des contrôles appropriés. Le dépositaire des données est le professionnel de l'IT qui met en œuvre et maintient les contrôles pour le compte du propriétaire. Cette distinction est importante : le propriétaire prend la décision de classification ; le dépositaire la fait respecter. Lorsque les propriétaires des données ne s'impliquent pas, les données restent souvent non classifiées ou sont affectées par défaut au niveau le plus bas, ce qui crée un risque dissimulé dans les ensembles de données de grande valeur.

Une fois les données classifiées, des étiquettes doivent être appliquées afin que les personnes qui les manipulent connaissent les exigences. L'étiquetage numérique comprend les balises de métadonnées, les propriétés des fichiers, les en-têtes et pieds de page des documents ainsi que les filigranes. L'étiquetage physique s'applique aux documents imprimés, aux supports de stockage et aux équipements. Chaque niveau de classification est associé à des règles de traitement précises : les données Restricted peuvent nécessiter un chiffrement en transit et au repos, un accès à deux personnes pour les sauvegardes, la destruction par broyage plutôt que le recyclage, ainsi que l'interdiction d'utiliser des services de stockage cloud non approuvés par l'équipe de sécurité.

La classification détermine directement les exigences de chiffrement. Les Public data n'ont généralement pas besoin d'être chiffrées. Les Internal data doivent être chiffrées en transit (TLS). Les Confidential data nécessitent un chiffrement à la fois en transit et au repos, ainsi que des journaux d'accès. Les Restricted data nécessitent généralement un chiffrement fort (AES-256), des modules de sécurité matériels (HSMs) pour la gestion des clés, un chiffrement au niveau des champs de la base de données et une rotation régulière des clés. Les outils de prévention des pertes de données (DLP) utilisent les étiquettes de classification pour déclencher des alertes ou bloquer les transferts de données sensibles.

La classification guide les décisions de contrôle des accès à chaque niveau. Les données Restricted ne doivent être accessibles qu'aux personnes dont le besoin d'en connaître est démontré, au moyen d'un contrôle des accès fondé sur les rôles ou sur les attributs. La classification influence également la gestion des accès privilégiés : un administrateur de base de données qui pourrait techniquement accéder à toutes les tables doit être empêché d'accéder aux tables de classification Restricted, sauf si son rôle l'exige explicitement. Les révisions des accès doivent vérifier de nouveau qu'aucun utilisateur ne conserve un accès supérieur à ce qui est nécessaire à ses fonctions.

PII désigne toute donnée permettant d'identifier une personne précise : nom, adresse, numéro de sécurité sociale, adresse e-mail, numéro de téléphone, données biométriques ou identifiants d'appareil. Les PII relèvent généralement du niveau de classification Confidential ou Restricted. Les organisations doivent déterminer où se trouvent les PII (découverte des données), les classifier correctement, appliquer les contrôles imposés par les réglementations (GDPR, CCPA, HIPAA) et définir des règles de conservation et d'élimination. Les PII sensibles — données financières, de santé ou biométriques — bénéficient de protections plus strictes que les PII générales.

PHI désigne toute information de santé permettant d'identifier une personne et protégée par HIPAA. Cela inclut les diagnostics, les dossiers de traitement, les codes de facturation et toute donnée pouvant être reliée à un patient. Les PHI sont toujours classifiées au niveau Restricted et nécessitent : le chiffrement, des pistes d'audit, un accès limité au minimum nécessaire, des accords d'associé commercial (BAA) avec les fournisseurs et une notification de violation dans les 60 jours suivant sa découverte. Une violation de PHI entraîne des obligations réglementaires qui ne s'appliqueraient pas à une violation de données classifiées Internal.

La classification s'applique pendant tout le cycle de vie des données. Lorsque les données arrivent au terme de leur période de conservation, elles doivent être détruites conformément à leur niveau de classification. Les données Restricted nécessitent un effacement cryptographique (destruction des clés de chiffrement), une désaimantation (destruction magnétique), un broyage physique ou une purge conforme à NIST 800-88. La simple suppression de fichiers ou le reformatage de disques ne suffit pas pour les données Confidential ou Restricted, car des outils de récupération de fichiers peuvent les reconstituer.

Les outils de prévention des pertes de données (DLP) appliquent automatiquement les politiques de classification. La DLP par inspection du contenu analyse les fichiers et le trafic réseau à la recherche de motifs correspondant aux critères de classification (numéros de sécurité sociale, numéros de carte bancaire, mots-clés liés à la santé). La DLP des points de terminaison empêche la copie de données classifiées sur des clés USB ou leur téléversement vers des services cloud non approuvés. La DLP réseau inspecte le trafic sortant. Les outils de classification fondés sur l'apprentissage automatique peuvent attribuer automatiquement des étiquettes à des données non structurées, comme des documents et des e-mails, en fonction de l'analyse de leur contenu.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que la classification des données organise les données en niveaux Public, Internal, Confidential et Restricted selon leur sensibilité et leur impact, que les propriétaires des données prennent les décisions de classification tandis que les dépositaires mettent en œuvre les contrôles, et que la classification détermine les exigences de chiffrement, de contrôle des accès et de destruction pour chaque niveau. Nous allons maintenant étudier les principes de GDPR et les droits des personnes concernées.