Le cloud d'AWS est-ils conforme au RGPD ?

OUI. Amazon Web Services certifie que l’ensemble de ses services et fonctionnalités disponibles respectent les normes les plus élevées en matière de confidentialité et de protection des données personnelles imposées par le RGPD. AWS souhaitait se mettre en conformité avec le Règlement deux mois avant son entrée en vigueur, le 25 mai 2018, afin d’offrir, tant à ses clients qu’à ses partenaires, un environnement dans lequel ils peuvent développer leurs propres produits, services et solutions conformes au RGPD.

Comment se mettre en conformité RGPD sur le cloud ?

1. Chiffrez les données 2. Contrôlez leur accès 3. Assurez une surveillance continue de votre système.

Les avantages de la protection des données dans le cloud

L Parmi les avantages de la protection des données dans le cloud, elle permet aux entreprises de : Sécurisez les applications et les données dans plusieurs environnements tout en conservant une visibilité complète sur toutes les activités des utilisateurs, des dossiers et des fichiers. Identifiez et atténuez de manière proactive les risques, tels que les menaces de sécurité, les comportements suspects des utilisateurs, les logiciels malveillants et autres. Mieux gouverner l'accès. Définir des politiques. Prévenez et détectez les pertes et interruptions de données.

Comment les entreprises peuvent mieux protéger leurs données dans les environnements cloud

Pour protéger et sécuriser avec succès leurs données dans les environnements cloud, les entreprises doivent d'abord savoir : Quelles données elles ont et où elles se trouvent. Quelles données sont exposées, comment elles sont exposées et les risques potentiels. Quelles applications sont consultées et par qui. Que se passe-t-il dans leurs applications (par exemple, comment les gens y accèdent et les utilisent). Quelles données ils doivent protéger et à quel niveau. Avec ces informations en main, les entreprises doivent ensuite mettre en place une offre de protection des données cloud cohérente, unifiée et automatisée, qui les aidera à découvrir, classer, surveiller, protéger et sécuriser leurs applications et leurs données dans plusieurs environnements .

Protection des données chez AWS

Amazon Web Services a terminé l’intégralité de l’audit de conformité de ses services au RGPD certifiant que l’ensemble de ses services et fonctionnalités disponibles respectent les normes les plus élevées en matière de confidentialité et de protection des données personnelles imposées par le RGPD. AWS souhaitait se mettre en conformité avec le Règlement deux mois avant son entrée en vigueur, le 25 mai 2018, afin d’offrir, tant à ses clients qu’à ses partenaires, un environnement dans lequel ils peuvent développer leurs propres produits, services et solutions conformes au RGPD. Maintenant que tous ses services sont conformes au RGPD, AWS peut accompagner ses clients et partenaires dans leur mise en conformité au RGPD à plusieurs niveaux : Sécurité des données personnelles Services d’aide à la mise en conformité Data Processing Addendum RGPD Conformité au code de conduite CISPE Formation et Summits https://aws.amazon.com/fr/blogs/france/services-daws-deja-conformes-rgpd/

Les entreprises peuvent réduire la probabilité d'une violation de données et ainsi réduire le risque d'amendes à l'avenir, si elles choisissent d'utiliser le cryptage des données personnelles. Le traitement des données personnelles est naturellement associé à un certain degré de risque. Surtout de nos jours, où les cyberattaques sont presque inévitables pour les entreprises au-dessus d'une certaine taille. Par conséquent, la gestion des risques joue un rôle de plus en plus important dans la sécurité informatique et le chiffrement des données convient, entre autres, à ces entreprises. En général, le cryptage fait référence à la procédure qui convertit le texte clair en un code haché à l'aide d'une clé, où les informations sortantes ne redeviennent lisibles qu'en utilisant la clé correcte. Cela minimise le risque d'incident lors du traitement des données, car les contenus cryptés sont fondamentalement illisibles pour les tiers qui ne disposent pas de la bonne clé. Le cryptage est le meilleur moyen de protéger les données pendant le transfert et un moyen de sécuriser les données personnelles stockées. Cela réduit également le risque d'abus au sein d'une entreprise, car l'accès est limité uniquement aux personnes autorisées disposant de la bonne clé. Le règlement reconnaît également ces risques lors du traitement de données à caractère personnel et place la responsabilité sur le responsable du traitement et le sous-traitant à l'art. 32(1) du Règlement général sur la protection des données pour mettre en œuvre des mesures techniques et organisationnelles appropriées pour sécuriser les données personnelles. Le RGPD ne définit délibérément pas quelles mesures techniques et organisationnelles spécifiques sont considérées comme appropriées dans chaque cas, afin de tenir compte des facteurs individuels. Cependant, il fournit au responsable du traitement un catalogue de critères à prendre en compte lors du choix des méthodes de sécurisation des données personnelles. Il s'agit de l'état de la technique, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement. En plus de ces critères, il faut toujours tenir compte de la gravité des risques pour les droits et libertés de la personne concernée et de la probabilité que ces risques se manifestent. Cela se résume essentiellement à ce qui suit : plus les risques liés au traitement des données sont élevés et plus ils sont susceptibles de se manifester, plus les mesures de sécurité prises doivent être strictes et plus de mesures doivent être prises. Le cryptage en tant que concept est explicitement mentionné comme une mesure technique et organisationnelle possible pour sécuriser les données dans la liste de l'art. 32(1) du RGPD, qui n'est pas exhaustif. Encore une fois, le GDPR ne mentionne pas de méthodes de chiffrement explicites pour s'adapter aux progrès technologiques rapides. Lors du choix d'une méthode, il faut également appliquer le catalogue de critères ci-dessus. Le cryptage des données personnelles présente des avantages supplémentaires pour les contrôleurs et/ou les sous-traitants. Par exemple, la perte d'un support de stockage mobile crypté à la pointe de la technologie qui contient des données personnelles n'est pas nécessairement considérée comme une violation de données, qui doit être signalée aux autorités de protection des données. De plus, en cas de violation de données, les autorités doivent considérer positivement l'utilisation du cryptage dans leur décision d'infliger une amende conformément à l'art. 83(2)(c) du RGPD.

RGPD & données personnelles : comment être conforme sur AWS

Q: Quels sont les droits fondamentaux des utilisateurs et vos obligations ?

Nous pouvons vous en citer 4 : - Droit à la portabilité des données - Droit à l’oubli - Protection des données dès la conception - Notification en cas de fuite de données

rgpd-donnees-personnelles-atteindre-conformite-aws

Depuis son application en mai 2018, le Règlement Général sur la Protection des Données (RGPD, dit GDPR en anglais « General Data Protection Regulation ») impose davantage de rigueur et de transparence dans le traitement des données personnelles sur les plateformes numériques (sites, applications, etc.).

Quelle que soit votre activité (grande entreprise, organisation publique…), vous êtes amené à traiter des données à caractère personnel via vos systèmes d’information. Mais employez-vous correctement les “best practices” en matière de sécurité et de conservation des datas ?

Si vous avez déployé votre infrastructure sur un cloud public (AWS, Google Cloud, Azure, etc.), le principe de la responsabilité partagée s’applique dans la mise en oeuvre de cette conformité. En clair : le cloud provider est responsable de la sécurité du cloud. En tant qu’utilisateur, vous êtes responsable du traitement des données, de votre sécurité et de votre conformité sur cet espace.

RGPD données personnelles AWS Responsabilité partagée cloud responsable du traitement

Bien conscients de la difficulté que cela représente, les cloud providers ont créé plusieurs outils pour vous permettre d’être en règle. C’est le cas d’AWS.

Qui doit appliquer le RGPD ? Qu’entend-on par données personnelles ? Comment les chiffrer ? Comment mettre en place une surveillance et un contrôle d’accès ? Découvrez, dans cet article, l’ensemble des informations pour y voir + clair sur ce vaste sujet, ainsi que les services disponibles chez AWS pour être « RGPD friendly ».

RGPD sur le cloud : notre table des matières

Qui est concerné par le RGPD ? Qu’est-ce qu’une donnée personnelle ?
RGPD & données personnelles : les droits fondamentaux des utilisateurs et vos obligations
Le cloud AWS respecte-t-il le RGPD ?
Quels sont les services proposés par AWS pour aider à vous mettre en conformité avec le RGPD ?
AWS propose, par ailleurs, 4 services particulièrement intéressants pour vous accompagner dans cet objectif « RGPD friendly »

Qui est concerné par le RGPD ? Qu’est-ce qu’une donnée personnelle ?

Avant toute chose, redéfinissons ce règlement et ce qu’est une donnée personnelle.

Le Règlement Général sur la Protection des Données

Il encadre le traitement de données personnelles sur le territoire de l’Union européenne. Il renforce le contrôle par les citoyens de l’utilisation qui peut être faite des données les concernant. Il harmonise ce sujet à l’échelle de l’Europe.

Toute organisation, publique et privée, qui traite des données personnelles pour son compte ou non, est concernée par ce texte dès lors :

qu’elle est établie sur le territoire de l’Union européenne,
et/ou que son activité cible directement des résidents européens.

La donnée personnelle

C’est une information à partir de laquelle un individu peut être identifié ou identifiable.

RGPD données personnelles Consentement données personnelles formulaire

Une personne peut être identifiée :

directement (exemple : nom, prénom)
ou indirectement (identifiant, n° client, numéro de téléphone…).

L’identification peut être réalisée :

à partir d’une seule donnée (numéro de sécurité sociale…)
à partir du croisement d’un ensemble de données.

La protection de ces données sensibles repose sur 5 grands principes applicables sur tout support, qu’il soit numérique ou non :

Le principe de finalité : la collecte a un but bien précis.
Le principe de proportionnalité et de pertinence : nous ne récoltons que les données dont nous avons besoin.
Le principe d’une durée de conservation limitée : il n’est pas possible de conserver des informations sur des personnes physiques pour une durée indéfinie. Une durée de conservation précise doit être fixée, en fonction du type d’information enregistrée et de la finalité du fichier.
Le principe de sécurité et de confidentialité : vous devez garantir la sécurité et la confidentialité des informations que vous détenez. Vous devez en particulier veiller à ce que seules les personnes autorisées aient accès à ces informations.
Les droits des personnes et le principe de consentement : les personnes concernées doivent être informées de la manière dont leurs données sont traitées et elles doivent pouvoir donner leur consentement.

RGPD & données personnelles : les droits fondamentaux des utilisateurs et vos obligations

Nous pouvons vous en citer 4 :

Droit à la portabilité des données :

Les individus ont le droit de copier toutes les données personnelles que vous avez à leur sujet. Ces données doivent être fournies de manière à faciliter leur réutilisation.

Droit à l’oubli :

Cela donne aux individus le droit de réclamer l’effacement de certaines données personnelles, de façon à les rendre inaccessibles à des tiers.

Protection des données dès la conception :

Dès la phase initiale de conception d’un service, vous devez respecter les règles, recommandations et consignes en rapport avec la protection des données.

Notification en cas de fuite de données :

En cas de fuite de données, vous devez notifier l’autorité de supervision concernée dans les 72 heures. S’il y a un risque élevé d’atteinte aux droits et libertés des individus, vous devez également les informer.

AWS centre reglement general protection données rgpd

Le cloud AWS respecte-t-il le RGPD ?

OUI

Lors de l’entrée en vigueur de ce règlement européen, en 2018, AWS a réalisé un audit de conformité au RGPD certifiant que l’ensemble de ses services et fonctionnalités respectent bien les normes les plus élevées en matière de confidentialité et de protection des données personnelles.

Par ailleurs, ce cloud provider dispose de certifications : ISO 27017 dédiée à la sécurité du cloud computing, et ISO 27018 dédiée à la protection des données personnelles dans le Cloud.

Vous souhaitez être conseillé sur ce sujet… Contactez-nous.

Quels sont les services proposés par AWS pour aider à vous mettre en conformité avec le RGPD ?

En fonction de vos besoins, voici plusieurs services et fonctionnalités mises à votre disposition par AWS pour respecter les exigences du texte européen.

Chiffrez vos données

Chiffrement de vos données au repos avec AES256 (EBS/S3/Glacier/RDS)

RGPD Chiffrement des données personnelles outils AWS

Gestion centralisée des clés via Key Management Service (par région AWS)
Tunnels IPsec vers AWS avec les passerelles VPN
Modules HSM dédiés dans le cloud avec AWS CloudHSM

Contrôle d’accès : restreignez l’accès aux ressources AWS aux administrateurs, utilisateurs et applications autorisés

Accès granulaire fin aux objets dans des compartiments Amazon S3 / Amazon SQS/ Amazon SNS et d’autres services

Authentification multi-facteurs (Multi-Factor-Authentication, MFA)
Authentification par requête d’API
Restrictions géographiques
Jetons d’accès temporaires via AWS Security Token Service

Surveillance et fichiers journaux : obtenez une présentation des activités concernant vos ressources AWS

Gestion et configuration des ressources avec AWS Config

Audits de conformité et analyses de sécurité avec AWS CloudTrail
Identification des difficultés de configuration avec AWS Trusted Advisor
Fichiers journaux granulaires fins des accès aux objets Amazon S3

Informations détaillées sur les flux du réseau via Amazon VPC-FlowLogs
Vérifications et actions de configuration reposant sur des règles avec AWS Config Rules
Filtrage et surveillance des accès HTTP aux applications avec les fonctions WAF d’AWS CloudFront

AWS propose, par ailleurs, 4 services particulièrement intéressants pour vous accompagner dans cet objectif « RGPD friendly » :

Amazon GuardDuty est un service géré de détection des menaces, qui surveille en continu les comportements malveillants ou non autorisés.
Amazon Macie utilise le machine learning pour surveiller et protéger les données stockées dans Amazon S3.
Amazon Inspector est un service d’évaluation de la sécurité automatisée. Il permet de renforcer la sécurité et la conformité de vos applications déployées sur AWS.
AWS Config Rules est un service de monitoring. Il vérifie la conformité des ressources cloud aux règles de sécurité.

Enfin, si vous souhaitez aller encore plus loin sur ce sujet, AWS a publié un livre blanc intitulé « Navigating GDPR Compliance on AWS ». Cet ouvrage explique comment adapter les exigences du RGPD à chaque service AWS, avec un focus sur ceux concernant le monitoring, l’accès aux données, et la gestion des clefs.

En tant que décideurs, chef de projet ou DSI, si vous souhaitez savoir si vous être en règle avec le RGPD ou bien vous mettre en conformité, n’hésitez pas à contacter l’équipe de premaccess. Experte AWS, elle vous conseillera et vous proposera un accompagnement sur-mesure adapté à vos besoins.

Vous souhaitez être conseillé sur votre conformité sur le cloud… Contactez-nous.

RGPD et données personnelles : comment atteindre la conformité avec le cloud d’AWS ?

RGPD sur le cloud : notre table des matières

Qui est concerné par le RGPD ? Qu’est-ce qu’une donnée personnelle ?

Le Règlement Général sur la Protection des Données

La donnée personnelle

RGPD & données personnelles : les droits fondamentaux des utilisateurs et vos obligations

Droit à la portabilité des données :

Droit à l’oubli :

Protection des données dès la conception :

Notification en cas de fuite de données :

Le cloud AWS respecte-t-il le RGPD ?

Quels sont les services proposés par AWS pour aider à vous mettre en conformité avec le RGPD ?

Chiffrez vos données

Contrôle d’accès : restreignez l’accès aux ressources AWS aux administrateurs, utilisateurs et applications autorisés

Surveillance et fichiers journaux : obtenez une présentation des activités concernant vos ressources AWS

AWS propose, par ailleurs, 4 services particulièrement intéressants pour vous accompagner dans cet objectif « RGPD friendly » :

A LIRE ÉGALEMENT

Cloud & Compliance : comment assurer la conformité de vos systèmes d’information et données ?

En quoi consiste le maintien en condition opérationnelle (MCO) ?

Migration cloud : comment et pourquoi constituer une équipe ?

Migration on-premise vers le cloud : nos conseils pour vous lancer

Horaires

Support