Modèle de politique de classification
des données

1. Objectif

Expliquez les raisons pour lesquelles il est nécessaire de classer les données et les avantages que cela peut apporter.

L’objectif de cette politique est d’établir un cadre pour la classification des données en fonction de leur sensibilité, de leur valeur et de leur importance pour l’organisation, afin que les données sensibles de l’entreprise et des clients puissent être sécurisées de manière appropriée.

2. Champ d’application

Définissez les types de données qui doivent être classés et précisez qui est responsable de la classification, de la protection et du traitement adéquats des données.

Cette politique s’applique à toute forme de données, y compris les documents papier et les données numériques stockées sur tout type de support. Elle s’applique à tous les employés de l’organisation, ainsi qu’aux agents tiers autorisés à accéder aux données.

3. Rôles et responsabilités

Décrivez les rôles et responsabilités associés au travail de classification des données. Les différents services doivent désigner les personnes chargées d’exercer les fonctions associées à chacun de ces rôles.

Propriétaire des données – La personne responsable en dernier ressort des données et des informations collectées et conservées par son service ou sa division, généralement un membre de la haute direction.  Le propriétaire des données doit effectuer les tâches suivantes :

• Examen et catégorisation – Examiner et catégoriser les données et les informations recueillies par son service ou sa division
• Étiquetage des données – Attribution d’étiquettes de classification en fonction du niveau d’impact potentiel des données
• Compilation des données – Veiller à ce que les données compilées à partir de sources multiples soient classées selon au minimum le niveau de classification le plus sûr de toute donnée classée individuellement
• Coordination de la classification des données – Veiller à ce que les données partagées entre les services soient systématiquement classées et protégées
• Conformité de la classification des données (en collaboration avec les consignataires des données) – Veiller à ce que les informations ayant un niveau d’impact élevé ou modéré soient protégées conformément aux réglementations et directives nationales
• Accès aux données (en collaboration avec les consignataires des données) – Élaborer des directives relatives à l’accès aux données pour chaque étiquette de classification des données

Consignataires des données – Techniciens du service informatique ou, dans les grandes organisations, du bureau de la sécurité de l’information. Les consignataires des données sont responsables de la maintenance et de la sauvegarde des systèmes, des bases de données et des serveurs qui stockent les données de l’organisation. Ce rôle est en outre responsable du déploiement technique de toutes les règles établies par les propriétaires de données, ainsi que du bon fonctionnement des règles appliquées au sein des systèmes. Les responsabilités spécifiques des consignataires des données incluent :

• Contrôle d’accès – Veiller à ce que des contrôles d’accès appropriés soient appliqués, surveillés et audités conformément aux étiquettes de classification des données attribuées par le propriétaire des données
• Rapports d’audit – Envoyer aux propriétaires des données un rapport annuel portant sur la disponibilité, l’intégrité et la confidentialité des données classifiées
• Sauvegardes des données – Effectuer des sauvegardes régulières des données d’état
• Validation des données – Valider périodiquement l’intégrité des données
• Restauration des données – Restaurer les données à partir de supports de sauvegarde
• Conformité – Respecter les exigences relatives aux données spécifiées dans les politiques de sécurité, les normes et les directives de l’organisation en matière de sécurité de l’information et de protection des données
• Surveillance des activités – Surveiller et enregistrer les activités liées aux données, y compris les informations sur les personnes ayant accédé à ces données
• Stockage sécurisé – Chiffrer les données sensibles au repos pendant leur stockage, auditer l’activité des administrateurs de réseau de stockage (SAN) et examiner régulièrement les journaux d’accès
• Conformité de la classification des données (en collaboration avec les propriétaires des données) – Veiller à ce que les informations ayant un niveau d’impact élevé ou modéré soient protégées conformément aux réglementations et directives nationales
• Accès aux données (en collaboration avec les propriétaires des données) – Élaborer des directives relatives à l’accès aux données pour chaque étiquette de classification des données

Utilisateur de données – Personne, organisation ou entité qui interagit avec les données, y accède, les utilise ou les met à jour dans le but d’effectuer une tâche autorisée par le propriétaire des données. Les utilisateurs de données doivent utiliser les données conformément à l’objectif visé et se conformer à la présente politique et à toutes les politiques relatives à l’utilisation des données.

4. Procédure de classification des données

Décrivez chaque procédure de classification des données étape par étape. Précisez qui effectue chaque étape, comment la sensibilité des données est évaluée, ce qu’il faut faire lorsque les données ne correspondent pas à une catégorie établie, etc.

Exemple de procédure détaillée :

1. Les propriétaires de données examinent chaque donnée dont ils sont responsables et déterminent son niveau d’impact global, comme suit :

• Si ce niveau correspond à l’un des types prédéfinis d’informations restreintes mentionnés dans l’annexe A, le propriétaire des données lui attribue un niveau d’impact global « Élevé ».
• S’il ne correspond à aucun des types prédéfinis dans l’annexe A, le propriétaire des données doit déterminer le type d’information et les niveaux d’impact en se fondant sur les orientations fournies dans les sections 5 et 6 du présent document, et dans le document NIST 800-600 Volume 2. Le niveau d’impact global est le plus élevé des trois niveaux d’impact.
• S’il n’est toujours pas possible de déterminer le type d’information et le niveau d’impact global, le propriétaire des données doit consulter les consignataires des données pour résoudre le problème.

2. Le propriétaire des données attribue à chaque donnée une étiquette de classification basée sur le niveau d’impact global :

3. Le propriétaire des données consigne l’étiquette de classification et le niveau d’impact global de chaque donnée dans le tableau officiel de classification des données, soit dans une base de données, soit sur papier.

4. Les consignataires des données appliquent des contrôles de sécurité adéquats pour protéger chaque donnée en fonction de l’étiquette de classification et du niveau d’impact global enregistrés dans le tableau officiel de classification des données.

Exemple de procédure simple :

1. Les propriétaires des données examinent et attribuent à chaque donnée qu’ils possèdent un type d’information basé sur les catégories du volume 1 de la norme NIST 800-600.

2. Les propriétaires des données attribuent à chaque donnée un niveau d’impact potentiel pour chacun des objectifs de sécurité (confidentialité, intégrité, disponibilité), en se basant sur le guide de la section 6 du présent document. Le niveau d’impact global est le plus élevé des trois niveaux.

3. Les propriétairesdes données attribuent à chaque donnée une étiquette de classification basée sur le niveau d’impact global :

4. Les propriétaires des données consignent le niveau d’impact et l’étiquette de classification de chaque donnée dans le tableau de classification des données.

5. Les consignataires des données appliquent à chaque donnée des contrôles de sécurité de l’information en fonction de son étiquette de classification et de son niveau d’impact global.

5. Directive de classification des données

Créez un tableau décrivant chaque type d’information stockée par I’organisme et précisant l’impact de chacun des trois objectifs de sécurité, ainsi que les niveaux d’impact et la classification à attribuer à chaque type d’information.

Utilisez ce tableau pour déterminer le niveau d’impact global et l’étiquette de classification pour de nombreuses ressources d’information couramment utilisées dans l’organisation.

6. Détermination du niveau d’impact

Établissez un tableau qui aidera les propriétaires de données à déterminer le niveau d’impact de chaque donnée. Ce tableau décrira les objectifs de sécurité que vous souhaitez atteindre et les conséquences pour l’organisation d’un échec dans la réalisation de chaque objectif.

Utilisez ce tableau pour évaluer l’impact potentiel sur l’entreprise d’une perte de confidentialité, d’intégrité ou de disponibilité de ressources de données qui n’entrent dans aucun des types d’information décrits dans la section 5 et dans le volume 2 du NIST 800-600.

7. Annexe A

Décrivez les types d’informations qui doivent être automatiquement classés comme « Restreint » et se voir attribuer un niveau d’impact « Élevé ». Cette liste facilitera le processus de classification des données pour les propriétaires de données.

Types d’informations à classer comme « Restreint »

Informations d’authentification

Les informations d’authentification sont des données qui servent à prouver l’identité d’une personne, d’un système ou d’un service. Elles incluent par exemple :

• Mots de passe
• Secrets partagés
• Clés privées de chiffrement
• Tables de hachage

Informations électroniques protégées relatives à la santé (ePHI)

Les ePHI sont définies comme toute information de santé protégée stockée ou transmise sous forme électronique. Les supports électroniques incluent les disques durs des ordinateurs ainsi que les supports amovibles ou transportables, par exemple les bandes ou disques magnétiques, les disques optiques ou les cartes mémoire numériques.

La transmission est le déplacement ou l’échange d’informations sous forme électronique. Les moyens de transmission comprennent Internet, un extranet, des lignes dédiées, des lignes commutées, des réseaux privés et le déplacement physique de supports de stockage électronique amovibles ou transportables.

Informations relatives aux cartes de paiement (PCI)

Les informations relatives aux cartes de paiement sont définies comme un numéro de carte de paiement associé à un ou plusieurs des éléments de données suivants :

• Nom du titulaire de la carte
• Code de service
• Date d’expiration
• Valeur CVC2, CVV2 ou CID
• PIN ou PIN block
• Contenu de la bande magnétique de la carte

Informations personnelles identifiables (PII)

Les PII sont définies comme le prénom ou l’initiale et le nom d’une personne en combinaison avec un ou plusieurs des éléments de données suivants :

• Numéro de sécurité sociale
• Numéro de permis de conduire
• Numéro de carte d’identité
• Numéro de compte bancaire associé à un code de sécurité, un code d’accès ou un mot de passe permettant d’accéder à ce compte
• Informations médicales et/ou relatives à l’assurance maladie

8. Historique des révisions

Surveillez bien toutes les modifications apportées à votre politique de classification des données.