Stanislas de Rémur (Oodrive) : “L’extra-territorialité des lois américaines pose question dans la gestion des données sensibles”

Quelle solution proposez-vous ? 

Nous proposons un service de travail collaboratif et de partage de fichiers qui met l’accent sur la sécurisation des données sensibles. Ce dernier point est même devenu la partie la plus importante de notre travail, dans la mesure où les entreprises ont souvent du mal à vérifier comment sont contrôlées leurs informations: qui a accès à quoi, quand elles sont archivées, etc. Toutes ces mesures sont désormais centralisées par le responsable de la sécurité des systèmes d’information (RSSI), qui prend une importance croissante dans les entreprises et siège de plus en plus souvent dans les comités exécutifs. Notre solution vise à la fois à l’aider dans la gestion des données elles-mêmes, et dans l’attribution des accès à chaque type d’information. 

Comment définit-on si une donnée est sensible ou non ? 

Ça dépend d’énormément de choses. On peut segmenter les informations en fonction des personnes ou des départements qui les produisent et y accèdent, en fonction du type de document, etc. Ça dépend aussi de l’industrie et de la politique de l’entreprise : certaines, notamment dans les institutions bancaires, considèreront que 100% de leurs données sont sensibles. D’autres, dans l’énergie ou d’autres industries, estimeront que 7% le sont. 

Quelles sont les spécificités à la protection des données sensibles dans l’industrie bancaire ? 

L’un des sujets majeurs, actuellement, est l’extra-territorialité des lois américaines. Les grandes entreprises françaises, et les banques en particulier, n’ont aucune envie que leurs données importants soient visibles et analysables par les entreprises américaines. Un rapport de l’Assemblée Nationale (de 2016, NDLR) démontrait ainsi que près de 50% des amendes infligées à l’extérieur par le gouvernement américain allaient vers des entreprises françaises. BNP Paribas, par exemple, avait travaillé avec des pays (Cuba, Iran, Soudan et Libye) qui ne contrevenaient à aucune loi européenne, mais à une loi américaine, et s’est retrouvé à devoir payer une amende importante. Les banques cherchent donc à s’assurer que leurs données sensibles sont hors de portée de cet arsenal législatif. 

Il y a aussi la question de la communication entre les institutions : nous avons par exemple travaillé à construire des canaux de partages spécifiques pour les échanges de données entre banques centrales nationales et la BCE. Et enfin, à l’heure du cloud, il devient important de pouvoir échanger des informations hautement sensibles de manière dématérialisée. Avant, ça se faisait beaucoup par clé USB, mais désormais, il faut développer des architectures sécurisées permettant l’accès à distance.