Étapes pour gérer les fuites de données dans le nuage (ITSAP.50.112)

Étape 1 : Détecter la fuite de données

La détection rapide des incidents de fuite de données est cruciale pour limiter les dommages potentiels. De plus, il est essentiel de reconnaître une exposition non autorisée de données afin de pouvoir détecter une fuite de données. Une telle exposition peut survenir de différentes façons, comme un courriel mal acheminé, un stockage en nuage non sécurisé ou un appareil physique égaré. La détection précoce est la clé et repose sur des systèmes de surveillance robustes et de bonnes connaissances des flux de données au sein de l’organisation. Vous pourrez ainsi évaluer rapidement la nature, la portée et l’impact potentiel de la fuite de données.

Utilisez les questions qui suivent afin d’assurer un triage efficace et une évaluation adéquate des dommages causés par une fuite de données :

• Quelle information a été compromise?
  • Le fait de connaître le type de données impliqué, qu’il s’agisse de renseignements personnels, financiers ou confidentiels, vous aidera à déterminer la gravité de la fuite.
• Où l’information a-t-elle été déplacée?
  • L’établissement des emplacements non prévus des données guidera votre stratégie de confinement.
• Comment l’information a-t-elle été déplacée?
  • Tentez de déterminer le mode de transfert des données, par exemple par clé USB ou par courriel, ce qui peut vous fournir des données précieuses sur la nature de la fuite et son potentiel de diffusion.
• À qui l’information a-t-elle été envoyée?
  • Il est essentiel de savoir qui a reçu les données pour orienter les efforts de confinement et de remédiation.
• D’où provient l’information?
  • Tracer l’origine des données fuitées vous aidera à déterminer les vulnérabilités potentielles de votre système.
• Quand la fuite a-t-elle eu lieu?
  • La détermination du moment auquel la fuite est survenue aura une incidence sur la stratégie de réponse et l’évaluation des répercussions potentielles.

Une détection précoce dépend d’une connaissance approfondie des aspects ci-dessus et permettra à votre organisation de répondre de manière efficace à la fuite et d’en atténuer les impacts.

Étape 2 Contenir la fuite de données

Il est très important de contenir immédiatement la fuite de données afin de prévenir les autres accès ou diffusions non autorisés des données. Cette étape exige que votre organisation maîtrise la fuite en cours en retirant les données des emplacements non sécurisés ou en restreignant l’accès aux données. Dans les environnements infonuagiques, contenir une fuite peut également nécessiter de collaborer avec les fournisseurs de services infonuagiques (FSI) afin de tirer parti de leurs outils et de leurs capacités pour sécuriser les données. Une réponse rapide est essentielle pour atténuer les vulnérabilités et limiter la prolifération des données.

Considérez les aspects suivants afin de confiner efficacement une fuite de données :

Fonctions de la plateforme

Utilisez les fonctions de la plateforme infonuagique offertes pour supprimer les fichiers concernés, ainsi que toutes les copies connues sur vos systèmes. Si la fuite est liée à un courriel, rappelez le message, si possible.

Destinataires directs

Pour toutes les formes de données, y compris les courriels, communiquez avec les destinataires et donnez-leur comme consigne de ne pas transférer les données et de ne pas y accéder. Demandez à tous les destinataires de supprimer l’information de leurs environnements et de vider leur corbeille.

Défis liés au confinement des données dans le nuage

Il est important de tenir compte des défis uniques associés au confinement des données dans les environnements infonuagiques. Il faut notamment :

• vérifier le retrait complet de la fuite de données après le nettoyage;
• déterminer si d’autres données ont été compromises après l’exposition des données fuitées.

Ces étapes mettent en évidence la complexité de la gestion des fuites de données dans les services infonuagiques et l’importance de réagir de manière rapide et stratégique afin d’atténuer tous les risques de manière efficace.

Étape 3 : Alerter les parties prenantes de la fuite de données

Après la détection et le confinement de la fuite de données, il est crucial d’alerter rapidement les parties prenantes internes et externes appropriées. Une communication efficace permet d’assurer une intervention coordonnée à l’incident et de limiter les dommages potentiels.

Afin de garantir un protocole d’alerte exhaustif, voici les mesures à prendre en considération :

Signalement interne

Communiquez immédiatement avec votre bureau des services TI pour l’aviser de la fuite. Le bureau des services TI représente l’autorité de remédiation et assurera le triage de l’incident en fonction du processus de gestion des incidents de sécurité de votre organisation. S’il ne l’est pas, il fera escalader l’incident à l’autorité de remédiation appropriée.

Signalement à la direction

Informez votre chaîne de gestion de l’incident, peu importe le type d’intrusion survenu. Votre chaîne de gestion vous fournira un soutien et des directives pour les efforts de remédiation et répondra aux questions, au besoin.

Communications sécurisées avec les FSI

Lorsque vous communiquez avec les FSI, utilisez des méthodes sécurisées. Assurez-vous que des membres du personnel des FSI détenant l’habilitation de sécurité appropriée ont repéré et supprimé toutes les copies possibles des données (si ce service fait partie de votre entente de service). S’il n’est pas possible d’utiliser des méthodes de communication sécurisées ou si le personnel détenant l’habilitation de sécurité n’est pas disponible, évaluez les avantages et les risques des communications avec les FSI avec votre gestionnaire.

Notifications externes

Selon la nature des données et de la fuite, des notifications externes peuvent être requises, notamment des notifications destinées aux personnes touchées, aux organismes de réglementation ou aux autres parties prenantes, tel qu’il est imposé par les lois, les réglementations ou les politiques qui s’appliquent.

Information supplémentaire pour les ministères du gouvernement et les secteurs des infrastructures essentielles

Pour les ministères du gouvernement du Canada et les secteurs des infrastructures essentielles, les notifications externes exigent le signalement des cyberincidents au Centre canadien pour la cybersécurité (Centre pour la cybersécurité) par téléphone au 1-833-CYBER-88 (1-833-292-3788) ou en ligne sur la page Signaler un cyberincident.

Ministères du gouvernement du Canada

En plus du signalement des incidents au Centre pour la cybersécurité, vous devez également suivre les procédures d’intervention en cas d’incident de votre ministère et le Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC).

Secteurs des infrastructures essentielles

En plus du signalement de l’incident au Centre pour la cybersécurité, vous devez également consulter les conseils tirés des Principes fondamentaux de cybersécurité à l’intention du milieu des infrastructures essentielles du Canada afin d’obtenir de plus amples renseignements.

Respect de la vie privée

Si une fuite de données risque de porter atteinte à la vie privée de Canadiennes ou Canadiens, signalez l’incident au Commissariat à la protection de la vie privée du Canada (CPVPC) sur la page de signalement de problème.

Étape 4 : Corriger la fuite de données

Après avoir confiné la fuite et avisé les parties pertinentes, vous devez mettre en œuvre des mécanismes de remédiation, ce qui comprend non seulement le traitement des impacts immédiats de la fuite, mais également la mise en place de mesures afin d’éviter que d’autres incidents se produisent. Les mesures de remédiation efficaces reposent sur un examen approfondi permettant d’établir les causes fondamentales de la fuite.

Pour garantir un processus de remédiation exhaustif, voici les mesures à prendre :

Collaborer avec votre FSI

Communiquez avec votre FSI afin de vous assurer que la fuite est entièrement confinée et servez-vous de son expertise pour nettoyer la fuite, ce qui comprend les fonctions de la plateforme pour le nettoyage des données, comme la suppression des étiquettes et des pointeurs ou l’effacement cryptographique.

Gérer les appareils et l’espace en nuage

Il convient de récupérer, de détruire et de remplacer tout appareil mobile, serveur ou espace de stockage du locataire du nuage touché dans lequel se trouvent les données ayant fait l’objet de la fuite. Vous pouvez faire appel à l’effacement cryptographique pour vous assurer que les données ne puissent pas être récupérées.

Réviser les politiques et procédures

Analysez l’incident afin de cerner toute faiblesse dans les politiques et procédures actuelles. Intégrez les leçons apprises de la fuite à ces politiques et procédures, en mettant l’accent sur l’amélioration des pratiques de gestion, de transfert et de stockage des données.

Communiquer avec les parties prenantes

Assurez-vous que toutes les parties prenantes, y compris les FSI et les organisations externes concernées, sont informées des mesures d’atténuation et de la progression des activités. Il est également important d’assurer la coordination de ces parties prenantes pour adopter une approche de remédiation holistique.

Considérations pour améliorer votre posture de sécurité dans le nuage

Pour améliorer votre posture de sécurité générale dans le nuage, votre organisation doit tenir compte de ce qui suit :

Responsabilité et collaboration

Il est important de comprendre que les propriétaires des données sont légalement responsables de la sécurité des données, même dans des environnements infonuagiques. Une collaboration efficace avec les FSI et des politiques internes claires sont essentielles à la protection des données.

Sensibilisation et formation

Pour prévenir les fuites de données, vous devez informer le personnel des risques de fuite de données et des techniques de traitement de données adéquates. Une formation périodique peut réduire considérablement la probabilité d’incidents futurs. Pour consulter la liste complète des cours du Centre pour la cybersécurité, consultez le site Web du Carrefour de l’apprentissage.

Amélioration continue

L’adoption d’une posture d’amélioration continue, l’apprentissage à la suite d’incidents et la mise à jour des politiques en conséquence sont des étapes essentielles pour améliorer les mesures de sécurité des données des organisations.

Élimination adéquate de l’équipement TI

L’élimination appropriée d’équipement réduit les risques de voir des auteurs de menace exploiter des données résiduelles laissées sur du matériel TI disposant d’une mémoire électronique ou de supports de stockage de données. Ce conseil s’applique dans les cas de fuites de données impliquant des services infonuagiques. Consultez le document Nettoyage des supports de TI (ITSP.40.006) pour obtenir des conseils supplémentaires sur l’élimination adéquate des supports informatiques.