Qu'est-ce que les PII dans la cybersécurité ?
Les informations personnelles identifiables (IPI), un élément crucial de la sécurité des systèmes d'information, englobent toutes les données susceptibles de révéler l'identité d'une personne, que ce soit de manière directe ou indirecte.
Il existe diverses définitions formelles des IPI, variant selon les pays et les régions. Toutefois, le concept fondamental reste universellement le même.
L'une des définitions les plus courantes, formulée par le National Institute of Standards and Technology (NIST) aux États-Unis, est la suivante : « Toute représentation d'information permettant de déduire de manière raisonnable l'identité d'une personne à laquelle cette information se rapporte, que ce soit par des moyens directs ou indirects ».
Parallèlement, les lois sur la protection de la vie privée et des données personnelles modifient également la définition formelle. Il est conseillé de consulter les différentes abréviations relatives à la confidentialité des données pour obtenir plus d'informations sur ce sujet.
L'importance des IPI dans la cybersécurité 🔒
La cybersécurité englobe la protection et la défense contre les cyberattaques. Essentiellement, elle concerne la sécurité de l'information, dont l'objectif principal est de protéger les données stockées dans les systèmes informatiques et les organisations.
Par conséquent, la compréhension de ce que sont les IPI est essentielle pour identifier quelles données sont stockées, déterminer ce qui doit être sécurisé, établir comment les gérer au mieux, et pour d'autres aspects cruciaux visant à améliorer la sécurité globale.
Les IPI sont généralement des informations sensibles. Il est donc impératif d'empêcher qu'elles ne tombent entre de mauvaises mains. Toute IPI collectée pourrait avoir des répercussions concrètes pour la personne concernée, et pas seulement dans l'environnement numérique.
La confidentialité joue un rôle crucial dans la capacité d'une organisation à gérer les données personnelles. Les informations personnelles identifiables sont un indicateur clé de la façon dont une organisation traite la confidentialité. Il est donc essentiel de protéger ces informations dans le contexte de la cybersécurité.
Qu'est-ce qui constitue précisément une IPI ?
Bien que nous ayons défini les IPI, comment déterminer si une donnée est susceptible de révéler l'identité d'une personne ? 🤔
Pour répondre à cette question, il est nécessaire de comprendre quels types de données peuvent être classés comme IPI, ainsi que les différentes catégories existantes.
Soyez rassuré, nous aborderons ces deux aspects au fur et à mesure de votre lecture.
Les IPI englobent tout ce qui permet de vérifier l'identité d'une personne. Toutes les organisations ou tous les services ne recueillent pas les mêmes informations personnelles. Les exemples que nous fournissons ne sont pas nécessairement ceux que vous divulguez à chaque fois que vous surfez sur le web.
Par exemple, une plateforme de paiement peut avoir collecté des données considérées comme des IPI, tandis qu'un service de messagerie peut avoir stocké des informations différentes.
💡 Il peut s'agir de votre prénom, de votre nom, de votre date de naissance, de votre numéro de compte bancaire, de votre adresse postale, de votre numéro de sécurité sociale, de vos informations médicales, de votre photo, de votre numéro de téléphone portable, de votre adresse e-mail, du numéro de votre véhicule, de vos empreintes digitales, etc.
Cette réalité est valable dans la plupart des régions du monde, bien qu'il existe de légères variations quant à ce qui est considéré, ou non, comme une IPI.
Types d'informations personnelles
On distingue principalement deux catégories d'IPI : les identifiants directs et les identifiants indirects.
Les identifiants directs sont les informations propres à une personne, telles que son numéro d'identification national, son numéro de permis, son numéro de téléphone, son numéro de compte bancaire, etc.
Un seul identifiant direct suffit à vous identifier, raison pour laquelle il est classé comme une IPI.
Les identifiants indirects, ou quasi-identifiants, sont des données individuelles qui ne permettent pas de vous identifier à elles seules. Par exemple, le simple fait de mentionner votre lieu de naissance ne suffit pas à vous localiser ou à révéler d'autres informations personnelles vous concernant.
Cependant, un ensemble d'identifiants indirects combinés peut permettre de vous identifier. Ou pas ? Cela dépend des situations...
Approfondissement sur les types et la classification des IPI
Les informations personnelles identifiables peuvent être classées en deux catégories : sensibles et non sensibles.
Les IPI sensibles : Il s'agit des informations qui ne sont généralement pas partagées sur une plateforme publique et qui nécessitent un consentement explicite avant de pouvoir être divulguées ou stockées.
Cela inclut par exemple votre nom complet, votre numéro de carte d'identité, votre numéro de permis de conduire, les données de votre carte de crédit, vos informations médicales, votre numéro de téléphone ou encore vos données financières.
Les IPI non sensibles : Il s'agit des informations qui peuvent être obtenues sans consentement de la personne concernée, à partir de documents publics ou d'Internet.
Parmi celles-ci, on retrouve la date de naissance, le sexe, la religion, etc.
De plus, les IPI peuvent également être classées en informations liées et informations pouvant être liées.
Les informations liées peuvent inclure :
Toutes les autres informations associées aux IPI sensibles.
Les informations pouvant être liées sont, quant à elles, celles qui pourraient être regroupées pour identifier une personne.
Par exemple, le nom, le code postal, le sexe et le lieu de travail.
Qu'advient-il si les IPI ne sont pas protégées ? 🔓
Sachant l'importance des IPI pour la cybersécurité, il est légitime de se demander ce qu'il adviendrait si elles n'étaient pas protégées ?
Si un attaquant accède à vos informations personnelles sans votre consentement, cela peut avoir des conséquences désastreuses. De nombreuses cyberattaques ont lieu chaque jour, et personne n'est à l'abri.
Les cybercriminels utilisent des techniques telles que l'ingénierie sociale et le hameçonnage, parmi d'autres.
Les pirates peuvent utiliser vos IPI pour obtenir davantage d'informations, surveiller vos activités en ligne, ou encore commettre un vol d'identité. Ces situations sont très préoccupantes.
Il est question de votre vie privée et de votre sécurité numérique. Tout comme vous souhaitez que votre historique de navigation ou vos données de recherche restent confidentiels, les IPI, qu'elles soient sensibles ou non, doivent être protégées.
Dans le cas contraire, votre identité pourrait rapidement être impliquée dans une fraude, une demande de rançon, ou d'autres activités illégales. Les possibilités sont infinies pour les attaquants d'utiliser ces informations afin de vous soutirer des données, de l'argent ou des biens.
Par conséquent, il est primordial de protéger les IPI en appliquant les meilleures mesures de cybersécurité.
Comment protéger les IPI ?
Les organisations et les services avec lesquels nous interagissons sont responsables de la protection des IPI que nous leur confions.
De notre numéro de téléphone à nos informations de paiement, en passant par notre adresse postale, tout doit être confidentiel et sécurisé pour éviter tout accès non autorisé.
Voici quelques exemples des mesures que les organisations doivent mettre en œuvre pour protéger les IPI :
- Informer les clients sur les données qui sont stockées.
- Sécuriser les données avec un chiffrement afin de les protéger même en cas de violation.
- Utiliser l'authentification à deux facteurs pour protéger les comptes en ligne.
- Contrôler l'accès aux informations pour garantir une confidentialité maximale.
- Déployer des politiques de cybersécurité efficaces afin d'être préparé à se défendre et d'assurer que les données stockées ne soient pas endommagées ou compromises.
- Anonymiser au maximum les données stockées.
- Sécuriser le réseau avec un pare-feu d'application web performant.
- Mettre en place un système de gestion de la sécurité de l'information (SMSI).
De nombreuses autres pratiques contribuent à renforcer la sécurité de l'information et la gestion des données dans une organisation. Toutefois, ces actions de base sont essentielles pour assurer une protection optimale des IPI.
Vous pouvez également choisir de ne pas divulguer certaines informations classées comme IPI si vous le jugez nécessaire. Cette attitude contribue grandement à renforcer votre vie privée.
Les IPI sont cruciales, mais toutes les données personnelles ne le sont pas
Il est important de souligner que nous parlons ici de données « personnelles ».
Cependant, la classification de ce qui est considéré comme « personnel » peut varier en fonction des lois et des réglementations sur la confidentialité de votre pays. Bien que presque toutes les données soient traitées avec une plus grande sensibilité qu'il y a dix ans, certains pays ont des classifications différentes.
Par exemple, nous communiquons notre nom complet dans de nombreuses situations, même s'il s'agit d'une IPI. Il n'est pas possible de tenir une organisation responsable si un attaquant utilise notre nom ailleurs. Il est donc inutile de s'inquiéter outre mesure pour toutes les informations que nous partageons quotidiennement.
Il est conseillé de consulter les réglementations en matière de confidentialité et les lois sur la protection des données en vigueur dans votre pays afin de comprendre ce qui est considéré comme sensible et comment renforcer la protection de votre vie privée.
En fin de compte, nous sommes tous responsables, directement ou indirectement, de la protection des IPI. Si nous sommes vigilants quant à nos données, les organisations seront également plus à même de prendre soin des IPI qu'elles collectent auprès de nous.
Pour rester informé des dernières menaces numériques, vous pouvez également explorer d'excellents podcasts consacrés à la cybersécurité.