ISO 27002:2022 – Contrôle 8.11 – Masquage des données

Objectif du contrôle 8.11

Le masquage des données est une technique utilisée pour protéger les données sensibles – généralement toutes les données pouvant être considérées comme des informations personnelles identifiables (PII) – au-delà des protocoles standard de sécurité des informations d'une organisation tels que le contrôle d'accès, etc.

Le masquage des données est souvent mentionné dans les directives juridiques, statutaires et réglementaires ainsi que dans les lois régissant le stockage et l'accès aux informations sur les employés, les clients, les utilisateurs et les fournisseurs.

Attributs Table de contrôle 8.11

Le contrôle 8.11 est un préventif contrôler cela modifie le risque en suggérant une série de techniques de masquage des données qui protègent les informations personnelles et aident l'organisation à rester conforme à ce qui lui est demandé par les autorités judiciaires et les agences de régulation.

Propriété du contrôle 8.11

Le masquage des données est un processus technique complexe qui consiste à modifier des informations sensibles et à empêcher les utilisateurs d'identifier les personnes concernées par diverses mesures.

Bien qu'il s'agisse en soi d'une tâche administrative, la nature du masquage des données est directement liée à la capacité d'une organisation à rester conforme aux lois, réglementations et directives statutaires concernant le stockage, l'accès et le traitement des données. En tant que tel, la propriété devrait appartenir au Responsable de la sécurité de l'information, ou équivalent organisationnel.

Orientations générales sur la conformité

Le contrôle 8.11 demande aux organisations d'envisager le masquage des données à travers deux techniques principales : pseudonymisation et/ou anonymisation. Ces deux méthodes sont conçues pour dissimuler le véritable objectif des informations personnelles par le biais de la dissociation, c'est-à-dire en cachant le lien entre les données brutes et le sujet (généralement une personne).

Les organisations doivent faire très attention à ce qu'aucune donnée ne compromette l'identité du sujet.

Lorsqu’elles utilisent l’une ou l’autre de ces techniques, les organisations doivent prendre en compte :

1. Le niveau de pseudonymisation et/ou d’anonymisation requis, relatif à la nature des données.
2. Comment les données masquées sont accessibles.
3. Tout accord contraignant limitant l'utilisation des données doit être masqué.
4. Garder les données masquées séparées de tout autre type de données, afin d'éviter que la personne concernée ne soit facilement identifiée.
5. Enregistrement de la date de réception des données et de la manière dont elles ont été fournies à des sources internes ou externes.

Conseils – Techniques supplémentaires

La pseudonymisation et l'anonymisation ne sont pas les seules méthodes disponibles pour les organisations cherchant à masquer les informations personnelles ou les données sensibles. Control 8.11 présente 5 autres méthodes qui peuvent être utilisées pour renforcer la sécurité des données :

1. Cryptage basé sur une clé.
2. Annuler ou supprimer des caractères dans l’ensemble de données.
3. Nombres et dates variables.
4. Remplacement des valeurs dans les données.
5. Masquage des valeurs basé sur le hachage.

Conseils – Principes de masquage des données

Le masquage des données est un élément important de la politique d'une organisation visant à protéger les informations personnelles et à sauvegarder l'identité des personnes sur lesquelles elle détient des données.

En plus des techniques ci-dessus, les organisations doivent prendre en compte les suggestions ci-dessous lors de l'élaboration de leur stratégie en matière de masquage des données :

1. Mettre en œuvre des techniques de masquage qui ne révèlent que quantité minimale de données à quiconque l'utilise.
2. « Obfusquer » (masquer) certaines données à la demande du sujet et permettre uniquement à certains membres du personnel d'accéder aux sections qui les concernent.
3. Construire leur opération de masquage de données autour de directives juridiques et réglementaires spécifiques.
4. Lorsque la pseudonymisation est mise en œuvre, l'algorithme utilisé pour « démasquer » les données est conservé en toute sécurité.

Modifications et différences par rapport à la norme ISO 27002:2013

Aucun. Le contrôle 8.11 n'a pas de précédent dans la norme ISO 27002:2013 car il est nouveau.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

Notre plate-forme basée sur le cloud vous offre un cadre robuste de contrôles de sécurité des informations afin que vous puissiez vérifier votre processus ISMS au fur et à mesure pour vous assurer qu'il répond aux exigences de la norme ISO 27002:2022.

Contactez-nous dès aujourd'hui pour réserver une démo.