75 % des entreprises auront des difficultés à se conformer au GDPR dans les délais impartis

0

Varonis Systems publie les résultats d’une étude indépendante visant à évaluer les comportements vis-à-vis du règlement général européen sur la protection des données (GDPR) qui entrera en vigueur dans moins d’un an.

Menée auprès de 500 décideurs informatiques au Royaume-Uni, en Allemagne, en France et en Amérique du Nord, cette étude révèle que 75 % des entreprises auront des difficultés à se préparer en vue de cette échéance. 42 % indiquent qu’il ne s’agit pas d’une priorité pour elles en dépit des risques de sanctions financières qui pourraient leur coûter jusqu’à 4 % de leur chiffre d’affaires mondial ou 20 millions d’euros (selon le montant le plus élevé des deux).

74% des entreprises françaises interrogées expliquent qu’elles devront faire face à de sérieux défis pour être en conformité avec le GDPR

58 % déclarent avoir déjà procédé à une évaluation de l’impact sur les données, ou à un audit interne pour déterminer qui a accès aux informations d’identification personnelle détenues par leur entreprise. Mais 42 % des entreprises françaises disposent de moins d’un an pour effectuer cette évaluation et remédier à des accès trop permissifs. De plus, les résultats des entreprises ayant réalisé une évaluation montrent que les normes en matière de réglementation des données font cruellement défaut dans la mesure où plus des deux tiers (69 %) des entreprises ont identifié au moins un cas d’accès trop permissif aux informations d’identification personnelle.

Cela fait écho aux niveaux tout aussi alarmants d’accès trop permissifs aux données relevés dans le rapport 2017 de Varonis sur les risques liés aux données qui indique que, dans près de la moitié des entreprises, au moins 1 000 fichiers sensibles contenant des informations d’identification personnelle sont accessibles à n’importe quel employé.

Interrogés sur les secteurs les plus susceptibles d’être sanctionnés, si une entreprise venait à être victime d’une violation de données, les décideurs informatiques français citent les secteurs de l’informatique, des technologies et des télécommunications (19 %), devant le secteur financier (18 %). Lorsque la question porte sur le pays, 58 % (contre 68 % des Britanniques) sont d’accord ou entièrement d’accord pour dire qu’une entreprise du Royaume-Uni sera sanctionnée pour l’exemple en cas d’infraction d’une disposition quelconque du règlement GDPR de l’UE du fait du Brexit.

Les difficultés de nombreuses entreprises à se préparer au GDPR figurent parmi les principaux constats de l’étude :

  • 55 % avouent avoir des difficultés à appliquer l’article 17 du règlement, le « droit à l’oubli », selon lequel elles doivent être capables de localiser et de cibler des données spécifiques afin d’automatiser leur suppression à la demande du consommateur.
  • 52 % peinent à localiser les informations d’identification personnelle sur leur réseau, à déterminer qui y a accès et y accède, et à savoir à quel moment ces données peuvent et doivent être supprimées conformément à l’article 30, « Registre des activités de traitement ».
  • 50 % ont des problèmes avec l’article 32, « Sécurité du traitement », en vertu duquel elles doivent mettre en œuvre des privilèges d’accès « a minima », instaurer un système de responsabilité, avec des détenteurs désignés des données, et produire des rapports attestant que les politiques et processus adéquats sont actifs et efficaces.

« La conclusion la plus inquiétante est qu’une entreprise sur quatre ignore où résident ses données sensibles », commente Christophe Badot, Directeur Général France de Varonis. « Pour ces entreprises, le réveil risque d’être brutal dans un an. À défaut d’une parfaite visibilité sur l’emplacement de leurs données sensibles, et sur les personnes qui y ont accès et y accèdent, leurs chances de se conformer au règlement sont minces, ce qui les place en tête de liste des entreprises qui s’exposeront à des sanctions. »

« Les entreprises du secteur public sont manifestement celles qui ont le plus de mal à se conformer au règlement : elles sont beaucoup plus susceptibles de manquer de budget (26 % des entreprises du secteur public disposent d’un budget distinct prévu à cet effet, contre 41 % dans le secteur privé) », poursuit Christophe Badot. « À moins d’un changement avant l’échéance fixée au mois de mai de l’année prochaine, la CNIL pourrait très bien infliger des sanctions financières à des organismes publics déjà à court d’argent et affaiblis par une avalanche de cyberattaques, telles que le récent rançongiciel WannaCry ou NotPetya »

About Author

Globb Security France

Leave A Reply