La gestion et la protection des données est au centre de multiples lois et règlements. La conformité à ces règles est le cas d’usage majeur du stockage de ces données. De ce fait, la frontière entre stockage et sécurité des données devient de plus en plus floue.
La conformité n’est plus une option mais une obligation pour les entreprises. Le problème est que cette conformité suit différentes règles provenant de différents pays et demandant des protections différentes… Les principales demandes concernent le temps de rétention de la donnée, son immutabilité – ne pouvant changer de nature dans le temps –, sa localisation et la protection de ces données contre la perte ou la fuite de ces données. Selon les règles en vigueur, et elles sont nombreuses (SOC1, SOC2 et SOC3, ISO 27001/27018, DoD et SRG, FedRAMP/FISMA, FINRA/SEC 17a-4, HIPAA/HITECH, GxP, RGPD sans être exhaustif), les durées de rétention de la donnée sont variées et demandent donc des solutions spécifiques selon les cas.
La rétention des données
La principale obligation reste l’archivage. Dans ce secteur, la bande reste encore très présente car offrant souvent un rapport qualité/prix intéressant comparativement aux disques. Si son utilisation demande en général un process précis pour éviter les incidents, l’augmentation régulière des capacités, en particulier pour les bandes LTO, permet aux entreprises de stocker sur le long terme des données pour un coût raisonnable. Le prix d’une cartouche LTO de 7ème génération coûte environ 100 $ pour une capacité de 6 To brute et de 15 To après compression, soit largement l’équivalent d’un disque SATA de dernière génération. Les constructeurs poussent déjà la génération suivante qui devrait autoriser des archivages de 12 To bruts et de 32 To en mode compressé. Elle est aussi un moyen efficace d’acheminer de grandes quantités de données entre les entreprises et le Cloud lorsque la bande passante est insuffisante ou que le client n’est pas desservi par un réseau fibre optique. La bande est un mécanisme idéal pour le transport de données sans WAN ou réseau métropolitain. La rétention dans le temps des données a pour conséquence de s’assurer de l’immutabilité de ces données et de pouvoir les relire sur le long terme.
L’immutabilité de la donnée
Sur le deuxième point évoqué, seule la migration des données de technologie en technologie au fil du temps permettra de conserver durablement la possibilité de lire les données, à moins de conserver en état de fonctionnement des appareillages obsolètes avec des coûts de maintenance élevés.
Sur le premier point, l’approche initiale était de rendre Worm (Write Once Read Many), donc non réinscriptibles, des supports de stockage magnétiques qui ne le sont pas par définition, et ainsi assurer l’intégrité des données ou des documents. Aujourd’hui les constructeurs ont ajouté de nombreuses autres fonctions comme la gestion des durées de conservation, des systèmes de signature électronique, la gestion des copies…
Les solutions doivent de toute façon répondre à différents critères : d’intégrité (fonction Worm ou interface de type SnapLock), de pérennité (supports non propriétaires avec accès simple et immédiat sans API), d’évolutivité (accroissement des capacités, sans migration et reconfiguration) et de réplication (sécurisation multisite facilitée). Des fabricants comme Overland Tandberg se sont fait une spécialité de ces produits pour des entreprises petites et moyennes en proposant différents types de baies intégrant ces critères. Le logiciel rdxLOCK a récemment été certifié par la société d’audit KPMG et la fonctionnalité WORM intégrée est autorisée désormais pour un grand nombre de normes d’exigences nationales et internationales en matière de comptabilité, de facturation et de taxation. RansomBlock, une autre fonction de rdxLOCK, protège les données contre les menaces de logiciels malveillants de type rançongiciel et virus en définissant des listes blanches des applications qui autorisent une modification des données sauvegardées.
La localisation de la donnée
De nombreux pays demandent dans certains secteurs très régulés, comme la banque ou l’assurance, que les données ne sortent pas du pays. C’est le cas en Suisse et en Allemagne par exemple. De ce fait le choix d’une solution externalisée ou dans le Cloud peut poser question. Les principaux fournisseurs de solutions de stockage ou d’archivage en ligne (Cloud public) ont ouvert initialement des régions pour couvrir l’Europe, puis sous la pression de ces règles dans différents pays. En France, AWS, Azure de Microsoft et même Google Cloud ont des présences directes en France avec des centres de données à même de satisfaire ces conditions de localisation des données. Il conviendrait de plus de s’assurer que les traitements de ces données sont aussi effectués dans le pays.
La nature de la donnée
Le RGPD a été la grande affaire de l’année 2018 et devrait continuer à jouer un rôle moteur dans les mois à venir. Selon les analystes d’IDC, 34 % des entreprises européennes vont accroître leurs dépenses en stockage sur site pour faciliter leur mise en conformité avec le RGPD, notamment pour des systèmes de Cloud public, hybride et sur site. En ce qui concerne les dépenses en stockage orientées GDPR en Europe de l’Ouest, IDC prévoit 3,37 milliards en 2018 et autour de 2,5 milliards par an jusqu’en 2021. L’intégralité de l’écosystème actif autour des données devrait en profiter.
Les entreprises se doivent d’avoir désormais une gestion fine des données du fait de cette réglementation qui s’intéresse au traitement des données personnelles ou vues comme telles. Il s’agit tout d’abord de déterminer ce qui donne un caractère personnel à la donnée. Une tâche loin d’être évidente vu la difficulté des entreprises à réellement la mettre en place.
Une frontière de plus en plus floue avec la sécurité
Pour répondre à certaines normes, les solutions de stockage embarquent de plus en plus de solutions auparavant dédiées à la sécurité comme le chiffrement des données en mouvement et au repos, la gestion des accès aux données ou encore solution de DLP (Data Leak or Loss Prevention). La tendance est renforcée par une rapide transition vers le Cloud, en particulier public, qui pose de nouvelles problématiques de sécurité lors d’un stockage ou d’un archivage en ligne pour rester conforme aux différentes réglementations. En tout état de cause, la sécurité et la protection des données restent de la responsabilité des entreprises et pas forcément des sous-traitants ou des prestataires de services. ❍