la protection de la vie privée à l'heure du big data
TRANSCRIPT
La protection de la vie privée à l’heure du « Big data »
David Henrard, CISM, CRISCPrésident d’ISACA section de Québec, Directeur Sécurité et PRP chez LGS
Le 17 février 2015
Terminologie (OQLF)
• Big data• Mégadonnées
• Données volumineuses
• Données massives
• Données de masse
2
Définition (Doug Laney, fév. 2010)
Ensemble de données dont les 3 caractéristiques principales (volume, vélocité et variété) présentent des défis spécifiques en terme de traitement.
3
Définition (ISACA, 2013)
Le Big Data désigne des ensembles de données qui sont devenus trop volumineux ou qui évoluent trop vite pour être analysés dans un laps de temps raisonnable par le biais des techniques traditionnelles de bases de données multidimensionnelles ou relationnelles, ou encore des outils de bases de données multidimentionnelles ou relationnelles, ou encore des outils logiciels habituellement utilisés pour la saisie, la gestion et le traitement des données.
« Cette tendance dans le domaine technologique ouvre de nouvelles perspectives en termes de compréhension du monde et de prise de décision dans les entreprises. »
4
5
Volume
6
Source: Wikipedia
7
[Source: GO-Globe.com, “60 Seconds – Things that Happen on [the] Internet Every Sixty Seconds [Infographic],” 2011.] 8
Variété
D’une information structurée à une information non structurée
9
Vélocité
• Avant : analyse d’extraction
• Aujourd’hui : analyse en temps réel
• Demain : analyse prédictive
10
Véracité
Prennent des décisions basées sur des information non fiables
1 sur 3
60%
N’ont pas l’information dont ils ont besoin
1 sur 2
Temps passé sur chaque projet lié au Big data pour comprendre l’information
40%
Ont plus que ce qu’ils peuvent utiliser60%
Le paradoxe du Big Data :Plus de données, moins de confiance
© 2014 IBM Corporation
11
Quelques technologies associéesau « Big Data »
12
Obtenir plus des données capturées
13
Source : IBM
Réduire l'effort nécessaire pour tirer partides données
14
Source : IBM
Avantage compétitif Prise de décision Valeur de la donnée
Quoi faire avec le « Big data »?
15
Des applications concrètes…mais pas sans risques
https://www.youtube.com/watch?v=ye-DsD_EHKk&feature=player_detailpage
© ARTE France
16
Cas pratique – Domaine de l’agriculture
• Accroissement du rendementet des profits
17http://www.techrepublic.com/article/how-big-data-is-going-to-help-feed-9-billion-people-by-2050/
Domaine de l’assurance
18
Domaine de l’énergie
19
Domaine de la sécurité
20
IBM - Security intelligence and analytics
Domaine de la mode
http://www.google.ca/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CCgQFjAA&url=http%3A%2F%2Ffr.ulule.com%2Feyefind%2F&ei=WjnjVK-KB83dsASX1IK4Dg&usg=AFQjCNGntXlAu1RrRZ3dpXprUU5oR9Uqcw&bvm=bv.85970519,d.cWc&cad=rja
17 février 2015
Retrouvez le sac, le pull ou les chaussures repérés sur un inconnu dans la rue
21
Domaine du multimédia
22http://www.ledevoir.com/culture/television/431386/quand-le-televiseur-nous-ecoute
COBIT5 et la protection de la vie privée
• Recherche d’un équilibre entre• La réalisation de bénéfices
• L’optimisation des niveaux de risques et de l’utilisation des ressources
• Appliqué au Big data et à la protection de la vie privée• Équilibre entre les bénéfices du Big data et les risques d’atteinte à la vie
privée et à l’éthique
• EDS01: Assurer la définition et l’entretien d’un référentiel de gouvernance
23
Les défis
• Multiplication des exigences en termes de sécurité et de protection de la vie privée• Diversité des législations régionales• Multiplication des législation sectorielles
• Dossiers médicaux, cartes de crédit
• Absence de bonnes pratiques spécifiques au Big Data Apprentissage par l’expérience d’atteinte à la réputation et aux actions des autorités
• Approche par la technologie, les découvertes mais où les risques d’atteinte à la vie privée et l’éthique sont ignorés
• Souci de conformité, présence de termes et conditions d’utilisation, mais peu de débat sur l’éhiqueDifférentes générations et cultures, préoccupation envers la protection de la vie privée, attentes
envers les organisations
24
Les risques associés à la protection de la vie privée1. L’anonymisation et le masquage de données peut être impossible
• Données de recherche : risque de ré-identification • Accord donné pour une utilisation de manière anonyme
2. Protéger les personnes d’elles-mêmes• Utilisation des réseaux sociaux• Acceptation des termes et conditions sans les lire• Attractivité du service ou du gain (avantage en échange de RP)
3. Confusion entre les modèles et la réalité• Exploration des données (data mining) par les autorités chargées de la sécurité – analyse prédictive de
comportement• Surveillance• Expédition de pêche pour détecter des comportements suspects
4. La données devient la réalité elle-même• Offres personnalisées – profilage• Influence des comportements
5. L’ignorance envers la façon dont sont traitées les données• Techniques de découverte automatique – algorithmes • Profilage, discrimination (âge, origine, culture, santé, condition sociale…)• Évaluation de la valeur de connaitre la réponse 25Source : Gartner Mars 2013
Recommandations
• Organiser un débat avec la direction
• Mettre en place un code de conduite• Ce qui est acceptable / ce qui ne l’est pas
• Mise en place de points de contrôle
• Processus d’escalade pour les problèmes d’éthique
• Marquer (« Tager ») l’information avec des métadonnées (origine, objet, limites d’utilisation)
• Communiquer sur le code d’éthique – jouer la transparence avec les utilisateurs / les clients – s’assurer de la compréhension des risques
26
• Quels principes, politiques et infrastructures mettre en place pour gérer la stratégie de l’entreprise liée au Big Data ?• Nos sources de Big Data sont-elles fiables ?• De quelles structures et compétences disposons-nous pour assurer la gouvernance et le management des technologies de
l’information ?• De quelles structures et compétences disposons-nous pour assurer la gouvernance en matière de protection de la vie privée ?• Disposons-nous des outils appropriés pour satisfaire aux exigences de protection de la vie privée ?• Comment vérifier l’authenticité des données ?• Disposons-nous d’un moyen de contrôle sur l’utilisation des informations ?• Quelles sont nos options en matière de protection de la vie privée ?• Dans quel contexte les décisions sont-elles prises ?• Est-il possible de simuler les décisions afin d’en appréhender les conséquences ?• Est-il prévu de consigner et d’exploiter ces conséquences afin d’optimiser les processus de collecte, d’analyse et de prise de
décision ?• Comment protéger nos sources, nos processus et nos décisions du vol et de la corruption ?• Exploitons-nous les connaissances tirées du Big Data ?• Quelles informations peuvent être collectées sans exposer l’entreprise à des contentieux juridiques ?• Quelles actions prenons-nous susceptibles de créer des tendances exploitables par nos concurrents ?• Quelles politiques appliquons-nous pour être sûr que les employés ne divulguent pas les informations sur nos parties prenantes
pendant leur fonction dans l’entreprise et après leur départ ?
27
Références
• ISACA• http://www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/Privacy-and-Big-Data.aspx• http://www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/Big-Data-Impacts-and-Benefits.aspx
• Information & Privacy Commissioner, Ontario• https://www.privacybydesign.ca/
• IBM• http://resources.idgenterprise.com/original/AST-0112387_Top_3_Myths_about_Big_Data_Security.PDF• http://www.analyticsearches.com/site/files/776/66977/259607/723691/4_Steps_to_Big_Data_Security.pdf• http://www.ibmbigdatahub.com/sites/default/files/whitepapers_reports_file/TCG%20Study%20Report%20-%20Ethics%20for%20BD%26A.pdf• http://www.ibmbigdatahub.com/infographic/evolution-big-data
• ZDNET• http://www.zdnet.com/article/big-data-ethics-is-a-board-level-issue/
• The White House• http://www.whitehouse.gov/sites/default/files/docs/big_data_privacy_report_may_1_2014.pdf
• 36th International Conference of Data Protection and Privacy Commissioners• http://www.privacyconference2014.org/en/about-the-conference/resolutions.aspx
29