Exigences de la CCPA pour les entreprises

Exigences de la CCPA pour les entreprises

Dans ce dossier spécial, nous allons vous expliquer les exigences de la loi sur la protection de la vie privée des consommateurs de la Californie (CCPA) pour les entreprises.

Nous allons également vous détailler les éléments les plus importants de la CCPA.

Quelles sont les entreprises qui doivent se conformer à la CCPA ?

Contrairement au Règlement général sur la protection des données (RGPD) de l’Union européenne, qui s’applique à toutes les entreprises qui collectent ou traitent les données des résidents de l’UE, la CCPA ne s’applique qu’aux entreprises à but lucratif qui répondent à certains critères.

Toute entreprise qui répond à un ou plusieurs des critères ci-dessous est tenue de se conformer à la CCPA :

  • Avoir un chiffre d’affaires annuel brut supérieur à 22,64 millions d’euros
  • Collecter des informations sur 50 000 ménages ou résidents californiens ou plus chaque année
  • Gagner 50 % ou plus de son chiffre d’affaires annuel grâce à la vente des données de consommation des résidents de l’état de Californie.

À noter que ces exigences peuvent être actualisées ou étendues à un plus grand nombre d’entreprises. Il est donc dans votre intérêt de vous tenir au courant de toute modification de la CCPA si vous recueillez ou traitez les données des consommateurs américains.

Il n’y a pas que les entreprises ayant leur siège en Californie qui doivent se conformer à la CCPA. En réalité, toute entreprise qui fait des affaires en Californie ; qui collecte ou traite les données des résidents californiens est tenue de se conformer à la CCPA.

Quels sont les droits des consommateurs dans le cadre de la CCPA ?

Le CCPA a été introduit pour donner aux résidents de l’état de Californie un plus grand contrôle sur leurs données personnelles.

Les droits des consommateurs en vertu de la CCPA sont notamment les suivants :

  • Droit de savoir quelles données personnelles sont collectées par une entreprise
  • Droit de savoir quelles sont les données à caractère personnel détenues par une entreprise
  • Droit de savoir comment les données à caractère personnel sont utilisées par une entreprise
  • Restriction de l’utilisation et de la vente de données personnelles de mineurs (moins de 13 ans) sans le consentement des parents
  • Restriction de l’utilisation et de la vente de données personnelles de mineurs (13-16 ans) sans consentement direct de la personne concernée
  • Droit de supprimer toutes les données à caractère personnel détenues par une entreprise
  • Droit de refuser la vente de données à caractère personnel
  • Droit à la non-discrimination, en termes de prix ou de services, si les droits de la CCPA sont exercés
  • Droit d’intenter une action en justice contre les entreprises pour violation de la vie privée et pour non-respect des droits de la CCPA
  • Les demandes des consommateurs doivent être confirmées dans les 10 jours et honorées dans les 45 jours

Principales exigences de la CCPA pour les entreprises

Les entreprises doivent veiller à ce que les consommateurs soient informés de la collecte de leurs données personnelles avant que celles-ci ne soient recueillies. Les consommateurs doivent également avoir la possibilité de refuser la collecte ou la vente de leurs données. Par ailleurs, les données à caractère personnel ne doivent être collectées qu’à des fins spécifiques et légitimes.

Une politique de protection de la vie privée à l’échelle de l’entreprise doit être élaborée, maintenue et mise à la disposition des consommateurs. Elle doit expliquer les pratiques de l’entreprise en matière de protection de la vie privée, y compris les données collectées, la manière dont elles sont utilisées et si elles seront vendues ou non. En outre, la politique de protection de la vie privée doit expliquer les droits des consommateurs.

Les entreprises ont aussi l’obligation de maintenir des procédures pour répondre aux demandes des consommateurs d’accéder à leurs données, de supprimer leurs données et de refuser la vente de leurs informations personnelles. De plus, elles doivent élaborer et maintenir des procédures relatives à la collecte et à l’utilisation des informations personnelles des mineurs.

Les entreprises doivent offrir aux consommateurs deux méthodes pour demander des données et faire supprimer leurs données. L’une des méthodes obligatoires est un numéro de téléphone gratuit. Si une entreprise opère principalement en ligne, les entreprises doivent proposer une méthode basée sur le web.

Tout membre du personnel qui traite les données des consommateurs doit recevoir une formation sur les exigences de la CCPA. Quant à la surveillance de la conformité, elle doit être déléguée à une personne ou à une équipe dédiée.

Les entreprises doivent vérifier l’identité du consommateur avant de lui fournir ou de supprimer des données qui lui concernent une fois qu’ils reçoivent une demande.

CCPA et RGPD

La CCPA ne va pas aussi loin que le RGPD en ce qui concerne les exigences de sécurité des données pour les entreprises.

Cette loi ne précise pas les mesures de sécurité qui doivent être mises en œuvre pour protéger les données des consommateurs, mais elle exige que les entreprises mettent en place des protections adéquates pour protéger les données des consommateurs, y compris des mesures pour empêcher l’accès non autorisé aux données personnelles.

N’oubliez pas que des sanctions peuvent être imposées en cas de violation de données et que les consommateurs peuvent intenter une action en justice pour l’exposition de leurs données si l’entreprise détenant ces données a été négligente.

En cas de violation de la CCPA, les consommateurs peuvent être poursuivis en justice. Une violation importante des données pourrait donc s’avérer très coûteuse.

Comment TitanHQ peut vous aider à vous conformer à la CCPA

TitanHQ propose trois solutions qui peuvent aider les entreprises à se conformer à la CCPA. Il s’agit de SpamTitan Email Security, de WebTitan DNS Filtering et d’ArcTitan Email Archiving.

SpamTitan est une puissante solution de sécurité de la messagerie électronique. Elle offre la meilleure protection contre le spam et les principales causes de violation des données, telles que les attaques de phishing et les infections par des malwares.

WebTitan est une solution de filtrage DNS qui offre un niveau de protection supplémentaire contre les attaques de phishing et de malwares. Elle bloque les tentatives des utilisateurs de votre réseau informatique d’accéder à des sites web malveillants tels que ceux utilisés pour le phishing ou pour la diffusion de malwares. Elle peut aussi vous aider à éviter l’exposition des données des consommateurs.

ArcTitan est une solution d’archivage de la messagerie électronique. Elle aide les entreprises à protéger leurs données d’e-mails, à répondre aux exigences de conservation des e-mails, à trouver et à récupérer rapidement les messages électroniques lors du traitement des plaintes des clients.

Enfin, ArcTitan permet aux entreprises de trouver et supprimer rapidement les données personnelles si les consommateurs le demandent.

Quelles sont les exceptions au droit à la suppression des données selon la CCPA ?

Quelles sont les exceptions au droit à la suppression des données selon la CCPA ?

En vertu de la loi californienne sur la confidentialité des données personnelles des consommateurs (CCPA), les Californiens peuvent demander la suppression de leurs données personnelles, mais il existe des exceptions à cette règle que vous devez connaître.

Toutes les données personnelles ne doivent pas être supprimées.

Qui doit se conformer à la CCPA ?

La CCPA donne aux Californiens de nouveaux droits sur leurs données personnelles.

À partir du 1er janvier 2020, les organisations qui exercent leurs activités dans l’État de Californie sont tenues de se conformer à cette réglementation si :

  • Elles ont un revenu annuel brut supérieur à 22,64 millions d’euros
  • Elles traitent les données personnelles de 50 000 consommateurs ou plus
  • Si elles tirent plus de 50 % de leur revenu annuel de la vente d’informations personnelles.

Le droit de suppression des données personnelles de la CCPA

L’un des nouveaux droits accordés aux consommateurs californiens est le droit de faire supprimer leurs données personnelles.

La CCPA s’applique aux données qui identifient, concernent, décrivent ou peuvent être associées à un individu ou à un ménage, directement ou indirectement.

Lorsque les consommateurs exercent leur droit de suppression de leurs données personnelles, les organisations sont tenues de s’y conformer dans un délai de 45 jours. Mais il existe des exceptions à ce droit.

A noter toutefois que, si les données ne doivent pas être supprimées, le consommateur doit en être informé au plus tard 45 jours après la réception de la demande. Ce délai ne s’applique pas aux données contenues dans les systèmes d’archivage ou de sauvegarde.

La suppression des données personnelles stockées dans une archive ou une sauvegarde peut être retardée jusqu’à la prochaine consultation ou utilisation de l’archive ou de la sauvegarde.

Lorsqu’une demande de suppression de données est reçue, l’organisation concernée doit prendre des mesures raisonnables pour vérifier que la demande de suppression de données a été envoyée par la personne à laquelle elles se rapportent.

Voici maintenant les 9 exceptions au droit de suppression des données personnelles en vertu de la CCPA.

Exceptions au droit à la suppression des données selon la CCPA

Les entreprises ne sont pas tenues par la loi de supprimer les données nécessaires à l’exercice de 9 activités spécifiques suivantes.

Activités transactionnelles

Les données n’ont pas besoin d’être supprimées si elles sont nécessaires pour mener à bien la transaction pour laquelle elles ont été collectées ou pour fournir les biens ou les services qui ont été demandés par le consommateur.

Les données n’ont pas besoin d’être supprimées si elles sont « raisonnablement prévues dans le cadre de la relation commerciale continue d’une entreprise avec le consommateur, ou si elles sont nécessaires à l’exécution d’un contrat entre l’entreprise et le consommateur ».

Activités de sécurité

L’exception concerne également les données à caractère personnel, telles que celles contenues dans les journaux d’un serveur, et qui sont nécessaires pour détecter des incidents de sécurité, pour protéger contre des activités malveillantes, trompeuses, frauduleuses ou illégales.

En effet, les données qui permettent la poursuite des personnes responsables ne doivent pas être supprimées.

Erreurs

Les données à caractère personnel qui sont nécessaires pour déboguer, identifier ou réparer des erreurs ne doivent pas non plus être supprimées.

Liberté d’expression

Si la CCPA contribue à protéger la vie privée des consommateurs, cette mesure est considérée comme secondaire par rapport à la liberté d’expression.

Il n’est pas nécessaire de supprimer les données personnelles pour permettre l’exercice de la liberté d’expression, pour garantir le droit d’un autre consommateur à exercer son droit à la liberté d’expression, ou pour exercer un autre droit prévu par la loi.

Conformité à la CCPA

Les données personnelles ne doivent pas être supprimées si elles sont nécessaires pour assurer la conformité avec la loi californienne sur la protection de la vie privée dans le cadre des communications électroniques.

Conformité juridique

Les données personnelles ne doivent pas être effacées si elles doivent être utilisées dans le cadre d’une conformité juridique, telle que les lois sur la conservation des données.

Recherche menée dans l’intérêt public

Les informations personnelles des consommateurs qui sont utilisées pour des recherches menées dans l’intérêt public n’ont pas besoin d’être supprimées.

Cela comprend les données personnelles qui sont collectées et conservées pour des recherches scientifiques, historiques ou statistiques.

C’est également le cas si la suppression des données risque de nuire gravement à la réalisation d’une recherche, à condition que le consommateur ait préalablement donné son consentement pour que ses données personnelles soient utilisées à des fins de recherche.

Utilisations internes attendues

Les données ne doivent pas être supprimées si elles sont nécessaires pour permettre uniquement des utilisations internes raisonnablement alignées sur les attentes du consommateur sur la base de la relation du consommateur avec l’entreprise.

Autres utilisations internes

Les données à caractère personnel ne doivent pas être supprimées si elles sont nécessaires à d’autres utilisations internes qui, de manière licite, sont compatibles avec le contexte dans lequel le consommateur a fourni ses données personnelles.

Mise en œuvre de la conformité à la CCPA

Le procureur général de Californie est chargé de faire respecter la CCPA. Il a le pouvoir d’imposer des sanctions financières en cas de non-conformité à cette loi.

Le montant de la sanction peut aller jusqu’à plus de 2 260 euros par infraction ou plus de 6 790 euros pour une infraction intentionnelle.

Quant aux consommateurs californiens, ils sont autorisés à intenter des actions en justice contre les organisations en cas de violation de leurs données personnelles. Ils peuvent également réclamer des dommages-intérêts, dont le montant est compris entre 90 et 680 euros par violation de données.

Le RGPD, la conservation et l’archivage des emails

Le RGPD, la conservation et l’archivage des emails

Dans ce dossier, nous allons vous expliquer comment le RGPD, ou Règlement Général sur la Protection des Données, s’applique à la conservation et à l’archivage des e-mails. Nous allons également voir comment l’archivage des e-mails peut vous aider à vous conformer au RGPD.

Qu’est-ce que le RGPD ?

Le RGPD de l’Union européenne (UE) a introduit de nouvelles exigences pour les entreprises le 25 mai 2018. À compter de cette date, les entreprises qui collectent ou traitent les données personnelles des citoyens de l’UE sont tenues de mettre en place des mesures pour protéger ces informations. Le RGPD a également donné aux citoyens de l’UE de nouveaux droits sur leurs données personnelles.

A qui s’applique-t-il ?

Le RGPD s’applique aux données personnelles sous toutes leurs formes, quel que soit l’endroit où elles sont stockées. Cela signifie que les données personnelles contenues dans les comptes de messagerie électronique sont également couvertes par cette réglementation.

Les boîtes de réception et les dossiers de messagerie électronique peuvent contenir une multitude de données personnelles et ces informations sont soumises aux exigences strictes du RGPD en matière de confidentialité et de sécurité.

Archivage des emails et conformité RGPD

Les données de la messagerie électronique doivent être conservées pour se conformer aux lois du pays ou de l’État dans lequel votre entreprise exerce ses activités et pour respecter la législation spécifique à votre secteur d’activité.

Le RGPD a également des implications sur la conservation des e-mails. Le RGPD n’impose aucune durée minimale ou maximale en ce qui concerne leur conservation.

Pourtant, cette réglementation exige que les données personnelles soient conservées sous une forme permettant d’identifier un individu pendant une durée qui n’excède pas celle nécessaire à la réalisation des objectifs pour lesquels les données ont été collectées ou traitées.

Le RGPD autorise la conservation des données personnelles, y compris les données de la messagerie électronique, à condition que les informations soient traitées à des fins d’archivage.

Le RGPD oblige les entreprises à mettre en œuvre des mesures de sécurité pour garantir la protection des données personnelles.

Selon l’article 5(f), les données personnelles doivent être protégées « contre la perte, la destruction et la détérioration accidentelles, en utilisant les mesures techniques ou organisationnelles appropriées ».

Le moyen le plus simple de garantir la protection des données de la messagerie électronique est d’utiliser le chiffrement et le stockage des e-mails dans un environnement sûr et sécurisé.

Ceci, afin de protéger les utilisateurs des accès non autorisé à leurs comptes de messageries et pour éviter la suppression accidentelle et l’altération des données. Le moyen le plus simple d’y parvenir est d’utiliser une solution d’archivage des e-mails.

Archivage et sauvegarde : quelles différences ?

Il importe d’expliquer la différence entre l’archivage et la sauvegarde des e-mails. En effet, si les deux peuvent être utilisées pour stocker les messages, il existe des différences importantes.

Une sauvegarde est un dépôt temporaire de données de la messagerie électronique pour garantir la récupération des e-mails en cas de perte de données. En général, les données ne sont sauvegardées que pour une durée limitée, souvent jusqu’à ce qu’une nouvelle sauvegarde soit créée. Cette solution permet de restaurer le service de messagerie ou les données d’un compte de messagerie à un moment précis.

L’archivage des e-mails, par contre, sert au stockage sécurisé et à long terme des e-mails. Elle permet de rechercher et de récupérer rapidement les messages électroniques en cas de besoin.

Comment mettre en place une solution d’archivage RGPD ?

De nombreuses entreprises utilisent déjà une solution d’archivage des e-mails pour se conformer aux réglementations de l’État, du gouvernement fédéral ou du secteur dans lequel elles interviennent.

L’archivage des e-mails est également très utile pour l’eDiscovery et le traitement des plaintes des clients. De plus, l’archivage peut être utilisé ou pour éviter la perte de données pour pouvoir les récupérer en cas de sinistre.

Une solution d’archivage des e-mails est importante pour la conformité au RGPD, car elle permet de stocker les données de la messagerie électronique en toute sécurité, tout en évitant la perte de données et les accès non autorisés aux comptes de messagerie électronique. Elle permet également de retrouver, de récupérer ou de supprimer rapidement les données personnelles contenues dans les e-mails, en toute sécurité.

ArcTitan, la solution d’archivage sécurisé des e-mails de TitanHQ, est la solution d’archivage idéale pour la conformité au RGPD. ArcTitan comprend un chiffrement de bout en bout des données de la messagerie électronique et des contrôles d’accès – y compris les contrôles basés sur les rôles – pour garantir que les données de messagerie électronique sont protégées contre les accès non autorisés. De plus, ArcTitan crée un enregistrement inviolable de toutes les données de messagerie pendant la durée de votre politique de conservation des données de la messagerie électronique.

Au cas où vous devrez retrouver des e-mails spécifiques, l’archive peut être consultée et les messages peuvent être récupérés rapidement et facilement. C’est par exemple le cas lorsqu’un citoyen de l’UE demande à accéder à ses données personnelles ou lorsqu’un individu demande la suppression de ses données personnelles selon les normes du RGPD.

Pour plus d’informations sur ArcTitan, contactez l’équipe de TitanHQ dès aujourd’hui.

Quelles sont les exigences de la CCPA en matière de sécurité des données ?

Quelles sont les exigences de la CCPA en matière de sécurité des données ?

Le 1er janvier 2020, la nouvelle loi californienne sur la protection des consommateurs (CCPA – California Consumer Privacy Act) est entrée en vigueur, donnant aux résidents de l’État un plus grand contrôle sur l’utilisation et la vente de leurs données personnelles.

Dans cet article, nous examinons les exigences de la CCPA en matière de sécurité des données pour les entreprises et les conséquences de la non-conformité à cette loi.

Qu’est-ce que la loi californienne sur la protection des consommateurs ?

La Californie a déjà adopté certaines des lois les plus strictes des États-Unis en matière de protection de la vie privée des consommateurs, mais avec la CCPA, ce concept va un peu plus loin.

La CCPA a été assimilée au Règlement général sur la protection des données (RGPD) de l’Union européenne, car elle donne aux résidents californiens des droits similaires sur les données personnelles collectées et utilisées par les entreprises.

La CCPA exige des entreprises d’informer les résidents californiens des catégories de données qu’elles collectent, avant ou au moment de la collecte. Ces derniers ont un droit d’accès à toutes leurs informations personnelles qui sont détenues par une entreprise et un droit de savoir avec qui ces données personnelles ont été partagées.

Ils ont également le droit de refuser et d’empêcher que leurs données personnelles soient vendues. Par ailleurs, ils peuvent demander que leurs données personnelles soient supprimées. Ils ont le droit à l’égalité des services et des prix et ne peuvent faire l’objet d’une discrimination ou se voir refuser des biens ou des services ou des niveaux de service s’ils choisissent de ne pas vendre leurs données personnelles.

Qui doit se conformer à la CCPA ?

Depuis le 1er janvier 2020, la CCPA s’applique à toutes les entreprises qui font des affaires avec des résidents de la Californie, peu importe le lieu où l’entreprise est basée, si l’une des conditions suivantes est remplie :

  • L’entreprise génère des revenus d’au moins 22696000 euros par an
  • La société recueille, achète, vend ou partage les données personnelles d’au moins 50 000 personnes
  • L’entreprise tire au moins 50 % de ses revenus de la vente de données à caractère personnel.

L’ACCP ne s’applique pas aux institutions d’assurance, aux agents et aux organisations de soutien, qui sont couverts par différentes lois des États.

Exigences de la CCPA en matière de sécurité des données

LA CCPA ne précise pas quelles mesures de sécurité doivent être mises en œuvre pour protéger les données personnelles des résidents de la Californie. Cependant, les entreprises ont le devoir de mettre en œuvre des mesures de sécurité raisonnables en fonction du niveau de risque, conformément aux autres lois de l’État.

Selon la CCPA, des sanctions peuvent être appliquées en cas de « violation de l’obligation de mettre en œuvre et de maintenir des procédures et des pratiques de sécurité raisonnables ».

Étant donné qu’une action en justice peut être engagée contre les entreprises en cas de violation de données personnelles, il est important que les entreprises veillent à ce que des mesures appropriées soient prises pour les protéger et pour empêcher la violation des données.

LA CCPA ne précise pas quels contrôles doivent être mis en œuvre ni ce qui constitue des « procédures et pratiques de sécurité raisonnables ».

Un rapport sur les atteintes à la protection des données de 2016, publié par le procureur général de Californie, constitue un bon guide. Il comprend une liste de 20 contrôles qui, selon le Centre pour la sécurité sur Internet (CIS), sont nécessaires pour se protéger contre les vecteurs de cyberattaques connus. Ces contrôles devraient donc servir de guide pour les exigences de la CCPA en matière de sécurité des données.

Comment TitanHQ peut vous aider à vous conformer aux exigences de la CCPA en matière de sécurité des données ?

L’email est le vecteur d’attaque le plus couramment utilisé pour le phishing et pour la diffusion de malwares. Des mesures de protection doivent donc être mises en place pour assurer la sécurité des systèmes de messagerie électronique.

Les attaques de phishing ont souvent un composant web où les informations d’identification sont récoltées, et de nombreux téléchargements de malwares se font via Internet. Les contrôles sur Internet sont par conséquent essentiels pour protéger les entreprises contre les cyberattaques et les violations de données.

En raison du risque d’attaque via la messagerie électronique et le web, la protection des emails et des navigateurs figure parmi les premières mesures recommandées par le CIS.

C’est un domaine dans lequel TitanHQ peut apporter son aide. Nous avons développé deux puissantes solutions de sécurité basées dans le cloud et qui peuvent vous aider à répondre aux exigences de la CCPA en matière de protection des données.

SpamTitan Email Security est une puissante solution de filtrage du spam qui protège les boîtes de réception de vos employés des menaces basées sur la messagerie électronique. SpamTitan intègre plusieurs couches de contrôles antispam et antiphishing, dont le Sender Policy Framework (SPF), le protocole Domain-based Message Authentication (DMARC), le Realtime Blackhole List (SURBL), l’analyse bayésienne, et bien d’autres. SpamTitan utilise deux moteurs antivirus pour bloquer les menaces de malwares connues et le sandboxing pour protéger contre les vulnérabilités et la perte de données liées aux attaques du type « zero day ».

WebTitan est une solution de filtrage DNS basée dans le cloud. Elle protège vos employés contre les menaces web et les attaques de phishing. Elle empêche également les utilisateurs de réseaux câblés et sans fil d’accéder à des sites web malveillants.

Ces solutions vous aideront à assumer vos responsabilités en matière de sécurité de la messagerie électronique et du web et à protéger votre organisation contre les attaques de phishing et de malwares et contre les téléchargements de ransomwares. Ensemble, ces solutions vous aideront à prévenir les coûteuses atteintes à la protection des données et à éviter les amendes de l’ACCP qui en résultent.

Sanctions en cas de non-respect de la CCPA

Chaque violation intentionnelle est passible d’une amende maximale jusqu’à environ 6 800 euros par dossier. Les violations involontaires sont passibles d’une amende jusqu’à environ 2 269 euros par dossier.

Il existe également une cause d’action privée au sein de l’ACCP. En cas d’atteinte à la protection de leurs données, les victimes peuvent intenter une action en justice pour une violation de la CCPA. Ceci peut impliquer le paiement de dommages-intérêts légaux de 90 à 680 euros pour chaque résident californien touché par la violation.

Il est également possible de demander des dommages-intérêts réels – le montant le plus élevé étant retenu – ainsi que d’autres mesures de redressement déterminées par les tribunaux. Les recours collectifs sont également autorisés en vertu de la CCPA. Et pour finir, sachez que le procureur général de Californie peut dans ce cas intenter une action en justice contre la société plutôt que d’autoriser l’introduction de poursuites civiles.

Une attaque de ransomware force un fournisseur de soins de santé à déclarer faillite

Une attaque de ransomware force un fournisseur de soins de santé à déclarer faillite

Les dangers des attaques de ransomware ont été démontrés lorsque plus de 5 000 patients en Californie ont définitivement perdu leurs dossiers médicaux stockés dans un établissement de soins de santé à la suite d’une attaque de ransomware.

Wood Ranch Medical de Simi Valley, en Californie, a subi l’attaque le 10 août 2019. Des ransomwares ont été déployés et exécutés sur ses serveurs, contenant les dossiers médicaux de 5 835 patients. L’attaque a causé des dommages permanents aux systèmes informatiques, et comme les copies de sauvegarde des dossiers des patients étaient également chiffrées, ils ont été définitivement perdus. On ne connait pas le montant exigé par les pirates pour qu’ils fournissent les clés de déchiffrement au cas où la rançon aurait été payée.

Sans les dossiers des patients et à cause du fait que l’organisation devait reconstruire totalement sa pratique médicale à partir de zéro, la décision a été prise de fermer définitivement l’établissement. Les patients ont été forcés de trouver d’autres prestataires de soins de santé et n’ont plus accès à leur dossier médical.

Il s’agit du deuxième fournisseur de soins de santé aux États-Unis qui a été forcé de fermer ses portes en raison d’une attaque de ransomware. Le Brookside ENT and Hearing Center de Battle Creek, au Michigan, a également fermé son cabinet cette année à la suite d’une attaque similaire. Dans cette affaire, les propriétaires de l’établissement ont refusé de payer la rançon, et les dossiers des patients étaient restés chiffrés. Ils ont été conscients qu’il n’était pas possible de reconstruire le cabinet à partir de zéro et ont annoncé leur retraite anticipée.

On ne sait pas exactement comment le ransomware a été installé dans chacun de ces incidents. Il n’est donc pas possible de déterminer les mesures qui auraient dû être mises en œuvre et améliorées pour prévenir les attaques. Toutefois, dans les deux cas, la récupération des fichiers à partir des sauvegardes n’était pas possible.

Le but d’une sauvegarde est de s’assurer qu’en cas de problème, les données seront récupérables. La récupération des fichiers peut prendre beaucoup de temps et nécessiter des temps d’arrêt en raison de l’attaque qui risque d’être coûteuse, mais les données ne seront pas perdues définitivement.

Afin de s’assurer que la récupération des fichiers est possible, les sauvegardes doivent être testées. Les fichiers peuvent être corrompus pendant le processus de sauvegarde et la restauration des données peut ne pas être possible. Si les sauvegardes ne sont pas testées pour s’assurer que les fichiers peuvent être restaurés, il ne sera pas possible de garantir leur restauration en cas de sinistre.

Ces incidents mettent également en lumière une autre règle fondamentale de la sauvegarde. En fait, il ne faut jamais stocker une seule copie de sauvegarde sur un ordinateur en réseau ou connecté à Internet.

En cas d’attaque de ransomwares, il est fort probable que les copies de sauvegarde sur les périphériques en réseau seront chiffrées et le seul moyen de les récupérer est de payer la rançon.

Là encore, il n’est pas certain que le paiement d’une rançon offre une garantie que les données seront récupérées. Les fichiers peuvent être corrompus par le processus de chiffrement/déchiffrement et les attaquants peuvent décider de ne pas fournir tout simplement les clés pour déchiffrer les fichiers.

Une bonne alternative que vous pouvez adopter pour prévenir de telles catastrophes est d’adopter la règle de sauvegarde 3-2-1. Cela signifie que 3 sauvegardes doivent être créées et être stockées sur 2 supports différents, avec 1 copie gardée en toute sécurité hors site sur un appareil qui n’est pas en réseau ou connecté à Internet.

Ce que vous devez savoir sur les lois sur la conservation des données commerciales

Ce que vous devez savoir sur les lois sur la conservation des données commerciales

Beaucoup de gens croient que seules les entreprises réglementées doivent conserver les e-mails et d’autres fichiers numériques. C’est une idée fausse et dangereuse. Les lois sur la conservation des données touchent la plupart des entreprises, qu’elles soient réglementées ou non.

Les lois que vous devez respecter dépendent du pays dans lequel vous exercez vos activités. Aux États-Unis, la liste des réglementations est longue : SOX, HIPPA, Franks-Dobbs, Gramm Leach Bliley, et même le USA Patriot Act. En Europe, il existe des lois spécifiques pour les pays membres de l’UE, ainsi que pour l’Union européenne dans son ensemble.

Saviez-vous que vous pourriez commettre un crime si vous supprimez un e-mail ? Vous réutilisez des supports de sauvegarde qui peuvent aller à l’encontre de la loi ? Faites cela avec une intention malveillante et vous risquez de purger 20 ans de prison aux États-Unis. Le défaut de produire des e-mails pour les vérificateurs peut également amener la SEC (Security and Exchange Commission) à imposer une amende aux entreprises financières.

Voici un résumé de certains des règlements particuliers et voici comment ils ont vu le jour. En raison du grand nombre d’organismes de réglementation et de règles qui se chevauchent, certaines organisations décident de tout conserver, et pour toujours. La raison est que certaines règles stipulent que le document A doit être conservé pour la période B et le document C doit être conservé pour la période D.

Les règlements peuvent encore se compliquer, car les différentes périodes et règles de conservation s’appliquent à différents types de données. Il est plus simple de supposer que vous avez besoin d’une copie inviolable et hors site de toutes les communications commerciales, des dossiers de paie et de santé, et des transactions comptables, et ce, pour toujours.

SOX

Après le scandale Enron aux États-Unis, le Congrès a adopté la loi Sarbanes-Oxley de 2002 pour faire en sorte que les entreprises démontrent la véracité de leurs états financiers. L’objectif était d’étayer l’affirmation « Tout va bien ici. Les affaires vont bien » avec des faits réels pour protéger les investisseurs contre la fraude (dans le cas d’Enron).

À cette fin, tout type de données comptables doit être conservé pendant 7 ans. Étant donné que les e-mails peuvent contenir des informations concernant les audits de la société et l’examen des états financiers réalisés par le comptable, ils doivent alors être conservés pendant cette période.

Les mesures prises dans le cadre de l’exploitation de l’entreprise sont également liées aux résultats financiers, de sorte qu’elles doivent être conservées pendant sept ans. Bref, le mieux serait donc de conserver tous vos e-mails pendant au moins 7 ans.

HIPAA

L’HIPAA est la Loi sur la transférabilité et la responsabilité en matière d’assurance maladie. Il a été adopté sous le mandat du président Clinton pour permettre aux Américains de conserver leur assurance maladie lorsqu’ils perdent leurs emplois. Cette cruelle partie du capitalisme a été remplacée par la nouvelle loi sur la santé du président Obama, mais les exigences de l’HIPPA en matière de paperasserie demeurent.

On pourrait penser qu’une loi appelée « assurance maladie… » s’adresserait uniquement aux professionnels de la santé. Bien au contraire, la loi s’applique aux discussions sur la santé de toute personne, y compris votre personnel. Il peut s’agir d’un employé qui demande un congé médical pour consulter un médecin ou pour s’occuper d’un enfant malade ; ou bien d’un parent vieillissant. Du moment que la communication se fait par e-mail, l’HIPPA exige que vous conserviez le message pendant six ans.

Les règles au Royaume-Uni

Watson et Hall ont passé en revue les règles en matière de détention de documents au Royaume-Uni. Leur matrice regroupe les exigences de communication et de conservation par secteur : finance, gouvernement, communication et conformité interentreprises.

Selon Watson et Hall, les entreprises basées au Royaume-Uni sont tenues de conserver les dossiers fiscaux pendant trois ans ; les messages texte sur téléphone cellulaire pendant un an (ce serait difficile) ; et les e-mails pendant un an, à moins que vous soyez une entreprise financière, auquel cas l’exigence est de six ans.

Les fournisseurs d’accès internet (FAI) et les entreprises hébergeant des sites web sont tenus de conserver un registre de leur activité sur internet pendant 4 jours et des informations sur la connexion Internet pendant un an.

Lois allemandes sur la conservation des données

Iron Mountain, l’entreprise américaine d’archivage de documents et de données informatiques, a dressé une liste pour l’Allemagne. En effet, les entreprises allemandes et les entreprises opérant en Allemagne sont tenues de conserver les communications commerciales pendant 6 ans et les données salariales et comptables pendant 10 ans.

Archivage des e-mails avec ArcTitan Cloud

Les exigences eDiscovery stipulent que les e-mails doivent être conservés et consultables pendant 6 ans. Par conséquent, il est important d’utiliser un système d’archivage d’e-mails – comme ArcTitan – qui donne aux utilisateurs un accès en ligne à ce qui est archivé hors ligne et hors site.

Il existe une alternative consistant à suivre un processus fastidieux pour restaurer des fichiers de données d’e-mails à partir d’une sauvegarde afin de rechercher ce qui pourrait être demandé à votre entreprise. Cependant, il s’agit d’un processus lourd et sujet aux erreurs.

ArcTitan inclut un navigateur en langage naturel via lequel vous pouvez rechercher dans les archives de votre messagerie électronique tous les éléments liés, par exemple, à « Fusion avec Acme Company ». Cet outil permet à votre entreprise de rester en conformité avec les réglementations en vigueur et de se conformer facilement aux exigences eDiscovery.