Blog | 7 juillet 2021

Comment votre organisation peut-elle bénéficier d'un manuel de gestion des incidents ?

Featured Image

Les chances que votre organisation soit victime d’une violation de données s’élèvent désormais à 1 sur 4.

Rien qu’en 2021, nous avons observé une accumulation de violations de données et d’incidents de ce type dans tous les secteurs et toutes les entreprises. Ces gros titres ont accru l’inquiétude des consommateurs quant à la collecte de leurs données personnelles. Les mesures d’exécution et les amendes ont eu des conséquences plus tangibles.

Bien qu’une violation de données puisse sembler inévitable, il est surprenant que la plupart des entreprises ne réfléchissent pas à la manière dont elles comptent gérer les incidents lorsqu’ils se produisent.

Demandez à n’importe quelle entreprise qui a été victime d’une violation de données et vous aurez une idée des défis que pose ce type d’événement au jour le jour. Vous devez exécuter les tâches requises dans les délais impartis pour rester en conformité avec les réglementations. Trouver, coordonner et communiquer avec toutes les parties prenantes concernées (sécurité, informatique, logistique, marketing et direction) peut constituer le principal obstacle à cette mise en conformité.

Pour éviter ce scénario catastrophe, un responsable moderne de la protection de la vie privée doit automatiser autant que possible la réponse. Vous pouvez le faire en préparant un guide de gestion des incidents.

Créez un manuel de gestion des incidents

Il est essentiel d’avoir un plan d’attaque prêt à intervenir en cas de violation de données.

Un manuel de gestion des incidents sera votre guide de formation aux violations de données et votre liste de contrôle des réponses aux incidents. Il doit couvrir tous les types d’incidents auxquels votre organisation pourrait être confrontée, les membres de l’équipe qui seront responsables des différentes tâches et les étapes qui répondent aux exigences de notification de toutes les juridictions et réglementations applicables.

Essentiellement, un manuel de gestion des incidents est un guide pratique sur la façon de signaler les événements, de définir les responsabilités et de gérer les procédures de réponse. Vous l’utiliserez pour :

  • Avoir une vision claire du statut des incidents au sein de votre organisation.
  • Élaborer et exécuter des réponses réglementaires approfondies, fondées sur la recherche, aux violations de données.
  • Automatiser les étapes de l’enquête grâce à la mise en place de flux de travail personnalisés.
  • Suivre les risques et les incidents pour créer une piste d’audit complète.
  • Relier les cartes de données et les fournisseurs aux incidents pour voir les données affectées.

Pour obtenir le maximum d’avantages d’un guide de gestion des incidents, les responsables de la protection des données doivent couvrir six étapes. Cela leur permet de gérer une crise de manière opportune, coordonnée et globale.

Étape 1 : Se préparer

La première étape consiste à se préparer à une violation de données en créant une équipe de réponse aux incidents (IRT). Cette section du manuel de réponse aux incidents doit définir les rôles, les objectifs et les buts de chaque membre de l’IRT. Elle décrit également les plans et les délais d’intervention pour des types d’incidents spécifiques. L’objectif de cette section est d’aider votre IRT à comprendre les responsabilités et obligations de chacun lorsqu’un événement se produit.

Étape 2 : Enquête

La deuxième section de votre guide de réponse aux incidents couvre les premières mesures que votre IRT prendra lorsqu’un incident se produira. Cette section comprend la détermination des types de données concernées, la validation des informations fournies et l’identification des éventuelles données personnelles oubliées. À ce stade de l’intervention, vous devrez également déterminer les juridictions et les lois sectorielles concernées. Si d’autres équipes ou personnes doivent être impliquées dans la résolution, il convient de leur transmettre les incidents à ce stade.

Étape 3 : Évaluer

Une fois que l’IRT a déterminé si les informations à risque sont protégées par des lois juridictionnelles ou sectorielles, l’étape d’évaluation du manuel de réponse aux incidents entre en vigueur. Cette étape consiste à classer le niveau de gravité de l’incident et à décider d’un plan de remédiation. À ce stade, vous devez également informer les personnes concernées, les organismes de réglementation, les clients et les fournisseurs.

Étape 4 : remédier à l’incident

Vous avez choisi un plan de remédiation. À cette étape du guide de la réponse aux incidents, il est temps d’exécuter votre plan. Votre plan de remédiation doit comporter une stratégie de confinement pertinente afin de limiter les dommages causés aux ressources de l’organisation. À ce stade de la réponse à l’incident, collectez toutes les preuves pour les préserver au cas où une activité criminelle serait impliquée. Suivez les preuves électroniques selon un processus documenté et reproductible. La dernière partie de cette étape consiste à effectuer une analyse technique pour déterminer ce qui a provoqué l’incident.

Étape 5 : Notifier

La dernière étape pour résoudre l’incident consiste à informer les parties concernées. Dans cette partie du manuel de réponse aux incidents, incluez une stratégie de communication et de divulgation pour les publics externes et les parties prenantes internes. Créez des modèles que l’IRT peut utiliser pour élaborer rapidement des communications et des rapports pour les organisations et les agences externes.

Étape 6 : Comprendre les leçons apprises

Un guide d’intervention en cas d’incident est un document vivant. Après un incident, il doit être mis à jour avec tout nouveau processus ou procédure basé sur l’expérience. La dernière étape d’une réponse à un incident consiste à effectuer un bilan. Déterminez la cause première de l’incident et identifiez toute tactique qui aurait amélioré la prise de décision et le temps de réponse.

Regardez le webinar « Gestion des incidents : instaurez la confiance dès la conception ! »

Conclusion : Réponse aux incidents liés à la protection des données personnelles en deux fois moins de temps

La réponse aux incidents reste la pierre angulaire de la gestion des données personnelles. Un guide de réponse aux incidents peut aider votre organisation à réduire les risques et à remplir ses obligations légales grâce à un plan cohérent, fiable et automatisé.

Une plateforme d’évaluation des risques peut également réduire de moitié le temps nécessaire à votre IRT pour répondre à un incident. Une telle technologie permet à votre équipe de prendre des décisions de notification précises et opportunes dans un panorama de violations de données de plus en plus complexe.

Regardez le webinar « Gestion des incidents : instaurez la confiance dès la conception ! »

OneTrust Incident Management est conçu pour gérer les incidents de manière centralisée, automatiser les tâches et conserver les registres pour la conformité et la notification. Associé à OneTrust DataGuidance, vous pouvez créer des flux de travail automatisés et adaptés au contexte pour réagir aux incidents en fonction des réglementations de chaque juridiction. Ces outils aident les responsables de la protection des données à réduire l’écart entre la protection des données et la sécurité en automatisant les avis d’incidents et en conservant les pistes d’audit nécessaires à la conformité.

Onetrust All Rights Reserved