Sujets

Communiquer et stocker des données en toute sécurité

Stocker des données en toute sécurité

Dernière mise à jour : Juillet 2022

Pour la plupart des organisations de la société civile, l'une des décisions les plus importantes à prendre est de savoir où stocker leurs données. Est-il « plus sûr » de stocker des données sur les ordinateurs du personnel, sur un serveur local, sur des appareils de stockage externes ou dans le nuage ? Dans 99 % des cas, l'option la plus simple et la plus sûre consiste à conserver les données stockées au sein de services de stockage en nuage fiables. Les exemples les plus courants sont sans doute Microsoft 365 et Google Drive. Sans un programme de stockage en nuage intégré, il est probable que les données de votre organisation soient stockées à divers endroits, notamment sur les ordinateurs du personnel, sur des disques durs externes, voire sur des serveurs locaux. S'il est possible de sécuriser les données sur tous ces appareils, il est très difficile de le faire de manière satisfaisante sans dépenser beaucoup d'argent et sans engager une équipe informatique assez conséquente.

Lorsque vous choisissez un outil ou un service pour stocker vos données, assurez-vous de faire confiance à l'entreprise ou au groupe qui en est responsable. Une recherche rapide sur Google et la consultation d'experts en sécurité numérique peuvent vous aider à vérifier la fiabilité d'un fournisseur de technologie potentiel. Voici quelques questions à garder à l'esprit : Vendent-ils ou partagent-ils vos données privées ? Disposent-ils de ressources de sécurité appropriées au sein de leur personnel ? Offrent-ils des fonctions de sécurité (comme le 2FA) pour vous aider à protéger votre compte ?

Stockage des données et la société civile

Two long banks of computers in a server room.

L'avènement du stockage de données dans le nuage à un prix abordable (parfois gratuit) a rendu la vie plus facile (et plus sûre) pour de nombreuses organisations de la société civile aux ressources limitées. Malheureusement, nombreux sont ceux qui tentent encore d'héberger leurs propres serveurs avec un budget, un personnel et un support informatique relativement limités. En mars 2021, la menace d'une telle infrastructure organisationnelle est devenue réelle pour des dizaines de milliers d'organisations à travers le monde lorsqu'un acteur malveillant affilié au gouvernement chinois, appelé Hafnium, a déclenché une catastrophe mondiale en matière de cybersécurité avec une attaque sophistiquée sur des serveurs Microsoft Exchange auto-hébergés. L'attaque a compromis les serveurs locaux, permettant aux pirates d'accéder aux comptes e-mail de l'organisation, d'installer des logiciels malveillants supplémentaires sur les serveurs de la victime et les systèmes connectés, et finalement d'extraire des données sensibles. Bien que Microsoft ait rapidement publié une mise à jour et des instructions afin d'identifier et de supprimer les intrus potentiels une fois les piratages rendus publics, de nombreuses organisations n'avaient pas la capacité informatique d'appliquer rapidement ces mises à jour, ce qui les a laissées exposées pendant de longues périodes. L'ampleur et l'impact de ce piratage mondial révèlent le danger que courent les organisations civiques qui choisissent d'héberger elles-mêmes leurs serveurs de messagerie électronique et d'autres types de données sensibles, en particulier sans investir massivement dans du personnel spécialisé en cybersécurité.

Avantages du stockage en nuage

Même si vous prenez toutes les mesures nécessaires pour protéger vos ordinateurs contre les logiciels malveillants et le vol physique, il est toujours possible pour un adversaire déterminé de pirater votre ordinateur ou votre serveur local. Il leur est beaucoup plus difficile de déjouer les défenses de sécurité de Google ou de Microsoft, par exemple. Les entreprises de stockage en nuage fiables disposent de ressources de sécurité inégalées et ont tout intérêt à offrir une sécurité maximale à leurs utilisateurs. En bref, une stratégie de stockage en nuage fiable sera beaucoup plus facile à mettre en œuvre et à protéger au fil du temps. Ainsi, au lieu de vous soucier de sécuriser votre propre serveur, vous pouvez concentrer votre énergie sur une poignée de tâches plus simples.

Le fait de conserver l'essentiel de vos informations dans le nuage permet de faire face à toute une série de risques courants. L'ordinateur de quelqu'un a été oublié dans un restaurant ou son téléphone dans le bus ? Votre enfant a renversé un verre de jus sur votre clavier, ce qui rend votre appareil inutilisable ? Un membre du personnel a-t-il été infecté par un logiciel malveillant et doit-il réinitialiser son ordinateur ? Si la plupart des documents et des données se trouvent dans le nuage, il est facile de les resynchroniser et de repartir à zéro sur un ordinateur nettoyé ou entièrement neuf. De même, si un logiciel malveillant s'introduit dans un ordinateur ou si un voleur scanne un disque dur, il n'y a rien à voler si la plupart des documents sont accessibles via le navigateur web.

Quel fournisseur de stockage en nuage choisir ?

Les deux options de stockage en nuage les plus populaires sont Google Workspace (anciennement connu sous le nom de GSuite) et Microsoft 365. Si vous et votre personnel utilisez déjà Gmail, l'inscription de votre organisation à Google Workspace et le stockage des données dans Google Drive avec ses applications intégrées Google Docs, Sheets et Slides pour le traitement de texte, les feuilles de calcul et les présentations sont très utiles. De même, si votre organisation dépend d'Excel et de Word, le choix le plus simple est de s'inscrire à Microsoft 365, qui lui donne accès à Outlook pour le courriel et aux versions sous licence de Microsoft Word, Excel, Powerpoint et Teams.

Renforcer la sécurité des comptes en nuage des organisations

Si votre organisation choisit de configurer un domaine dans Google Workspace ou Microsoft 365, sachez que ces deux sociétés offrent des niveaux de sécurité plus élevés (gratuitement dans de nombreux cas) aux organisations de la société civile. Le Programme Protection Avancée de Google et Microsoft's AccountGuard fournissent des couches supplémentaires de sécurité encore plus renforcée à tous les comptes en nuage de votre parti, et vous aident à réduire considérablement les risques de hameçonnage efficace et de compromission des comptes. Si vous pensez que votre organisation satisfait aux conditions requises et que vous souhaitez la faire adhérer à l'un ou l'autre de ces programmes, visitez les sites Web indiqués ci-dessus ou contactez [email protected] pour obtenir une assistance supplémentaire.

Quel que soit le fournisseur que vous choisissez, le stockage sécurisé des données dans le nuage nécessite la mise en place de bons paramètres de partage et une formation du personnel afin de comprendre comment et quand partager (et ne pas partager) les dossiers et les documents. En général, vous devez créer des dossiers sur votre disque de stockage en nuage afin de limiter l'accès aux seuls membres du personnel qui en ont besoin pour certains fichiers. Vérifiez régulièrement votre système pour vous assurer que vous ne « surpartagez » aucun fichier (par exemple en activant le partage universel de liens pour des fichiers qui devraient plutôt être limités à quelques personnes).

Que faire si nous ne faisons pas confiance à Google, Microsoft ou d'autres fournisseurs de stockage en nuage ?

Si l'un de vos adversaires (par exemple, un gouvernement étranger ou local) peut légalement forcer Google ou Microsoft (ou un autre fournisseur de stockage en nuage) à remettre des données, il peut être absurde de les choisir comme options de stockage de données. Ce risque peut être plus élevé si votre adversaire est le gouvernement des États-Unis, par exemple, mais beaucoup plus faible si votre adversaire est un régime autoritaire. Gardez à l'esprit que Google et Microsoft ont tous deux pour politique de ne transmettre des données que lorsqu'ils y sont légalement obligés, et sachez que votre organisation pourrait elle-même être vulnérable au même type de demandes légales de la part de votre propre gouvernement si elle héberge des données localement. 

Dans les situations où le stockage en nuage de Google ou de Microsoft n'a pas de sens pour votre organisation, Keybase est une autre option à envisager. La fonction « Équipes » de Keybase permet à votre organisation de partager des fichiers et des messages en utilisant un chiffrement de bout en bout dans un environnement en nuage sécurisé, sans avoir à recourir à un fournisseur tiers. Par conséquent, il peut s'agir d'une bonne option pour le stockage sécurisé de documents et de fichiers au sein de votre organisation. Cependant, Keybase est moins familier pour la plupart des utilisateurs. Il faut donc savoir que l'adoption de cet outil nécessitera probablement plus de formation et d'efforts que les autres solutions susmentionnées.

Cela dit, si vous décidez de ne pas utiliser un stockage en nuage, il est essentiel que vous investissiez du temps et des ressources pour renforcer les défenses numériques des appareils de votre organisation et pour vous assurer que les serveurs locaux sont correctement configurés, chiffrés et protégés physiquement. Vous économiserez peut-être sur les frais d'abonnement mensuels, mais cela coûtera à votre organisation du temps et des ressources en personnel, et la rendra beaucoup plus vulnérable aux attaques.

Sauvegarde des données

Que votre organisation stocke des données sur des dispositifs physiques ou dans le nuage, il est important de disposer d'une sauvegarde. Gardez à l'esprit que si vous dépendez d'un dispositif de stockage physique, il est assez facile de perdre l'accès à vos données. Vous pourriez renverser du café sur votre ordinateur et en détruire le disque dur. Les ordinateurs du personnel pourraient être piratés et tous les fichiers locaux verrouillés par un ransomware. Quelqu'un pourrait perdre un appareil dans un train ou se le faire voler avec sa mallette. Comme mentionné ci-dessus, c'est une autre raison pour laquelle l'utilisation du stockage en nuage peut être un avantage, car ce dernier n'est pas lié à un appareil spécifique qui peut être infecté, perdu ou volé. Les Macs sont dotés d'un logiciel de sauvegarde intégré appelé Time Machine qui s'utilise avec un périphérique de stockage externe ; pour les appareils Windows, Historique des fichiers offre une fonctionnalité similaire. Les appareil iPhone et Android peuvent sauvegarder automatiquement leurs contenus les plus importants dans le nuage si cette option est activée dans les paramètres de votre téléphone.

Si votre organisation utilise un stockage en nuage (comme Google Drive), le risque que Google soit mis hors service ou que vos données soient effacées en cas de catastrophe est assez faible, mais l'erreur humaine (comme la suppression accidentelle de fichiers importants) reste possible. Il peut être intéressant de se tourner vers une solution de sauvegarde en nuage comme Backupify ou SpinOne Backup.

Si les données sont stockées sur un serveur local et/ou des dispositifs locaux, une sauvegarde sécurisée devient encore plus indispensable. Vous pouvez sauvegarder les données de votre organisation sur un disque dur externe, mais veillez à chiffrer ce disque dur avec un mot de passe fort. Time Machine peut chiffrer les disques durs pour vous. Vous pouvez également utiliser des outils de chiffrement fiables pour l'ensemble de vos disques durs, comme VeraCrypt ou BitLocker. Veillez à conserver vos dispositifs de sauvegarde dans un endroit distinct de vos autres dispositifs et fichiers. N'oubliez pas qu'un incendie qui détruit à la fois vos ordinateurs et leurs sauvegardes vous prive de toute sauvegarde. Pensez à conserver une copie dans un endroit très sûr, comme un coffre-fort.

Remarque : si vous utilisez un fournisseur de services en nuage dans un pays doté de lois spécifiques sur la localisation des données, consultez des experts juridiques afin de mieux comprendre comment une solution de stockage en nuage peut se conformer aux exigences locales. De nombreux fournisseurs de stockage en nuage, dont Google et Microsoft, proposent désormais des options qui permettent par exemple à certains clients de choisir l'emplacement géographique de leurs données stockées dans le nuage.

Stocker des données en toute sécurité

  • Stockez vos données sensibles exclusivement dans un service de stockage en nuage de confiance.
    • Veillez à ce que tous les comptes connectés utilisés pour accéder à un tel service soient dotés de mots de passe forts et d'un système 2FA.
  • Définissez et appliquez une politique afin de limiter les paramètres de partage au sein du nuage.
    • Formez l'ensemble du personnel sur la manière de partager correctement (et non de surpartager) les documents.
  • Si votre organisation opte pour le stockage local des données, investissez dans un personnel informatique qualifié.
  • Assurez la sécurité de vos sauvegardes de données en chiffrant les disques durs ou autres dispositifs de sauvegarde.