Vie privée et protection des renseignements dans les nuages: réalité ou utopie?

Transcription

1 Vie privée et protection des renseignements dans les nuages: réalité ou utopie? Me René W. Vergé, cipp/c, cissp, cisa Droit du cyberespace et des technologies de l information Brouillette & Associés, avocats, agents de brevets et marques 17 novembre

2 Qu est ce que l'infonuagique? (Cloud Computing) Un modèle permettant un accès pratique et sur demande à un ensemble de ressources informatiques partagées et configurables (e.g., réseaux, serveurs, stockage, applications et services), quipeuvent être rapidementmises en opération, avec un minimum d effort de la part du client ou d interaction de la part du fournisseur du nuage. - NIST

3 Qu est ce que l infonuagique? SaaS STaaS PaaS IaaS BPaaS Nuage privé Nuage public Nuage hybride Nuage communautaire 3

4 Qu est ce que l infonuagique? Le partage et le stockage par les utilisateurs de leurs propres informations sur des serveurs distants exploités par ou appartenant à d'autres et accessibles par Internet ou d'autres connexions. -World Privacy Forum

5 Adoption de l'infonuagique *A Global Cloud Computing Study, Red Shift Research & AMD, mars

6 Croissance de l infonuagique Dépenses totales de 280G$ de 2011 à 2016 Croissance annuelle de 27 à 32 % 50% des nouvelles dépenses TI d ici % de la charge TI d ici 2015 SaaS= la plus grosse charge TI (applications d affaires, réseaux sociaux, solutions mobiles, etc.) De mieux, plus vite et moins cher, vers une transformation de l entreprise *Sources: SaugatuckTechnologies, Market Intel Group, Standard and Poors *The Future of Virtualization, Cloud Computing & Green IT Global Technologies & Markets Outlook

7 Croissance de l infonuagique * 7

8 Utilisateurs: pratique, accessible de partout, sécurité des données en cas de défaillance, plus facile à partager les données Moins de ressources à maintenir Avantages de l infonuagique Permet de se concentrer sur la tâche à accomplir Démocratisation de la sécurité des données Accès progressif aux ressources selon la croissance et les besoins Économies potentielles pour les organisations et les contribuables 8

9 Avantages de l infonuagique * 9

10 Surveillance et compilation par le fournisseur et les autorités d une quantité énorme de données et de transactions Perte de contrôle sur l information Risques de l infonuagique De plus en plus d information est confiée à des tiers qui n ont pas de lien direct avec l utilisateur ou l organisation Le transfert d information à un tiers peut aboutir à une protection inférieure contre les accès et la divulgation sans consentement L accès à l information par le fournisseur du nuage (selon besoins techniques et modèle d affaire) Contraintes légales découlant de l incertitude concernant l emplacement des données (e.g. Allemagne) 10

11 La confiance envers le enuage *A Global Cloud Computing Study, Red Shift Research & AMD, mars

12 Préoccupations principales *A Global Cloud Computing Study, Red Shift Research & AMD, mars

13 Transfert de RP à l extérieur du Québec requiert une protection équivalente (entreprise ou gouvernement) LPRPSP, LADOPPRP, LCJTI Il faut aviser les clients Québec Certaines exigences pour les organismes publics (Règlement sur la diffusion de l information et PRP) La LCJTI prescrit plusieurs mesures concernant la sécurité de l information électronique 13

14 Transfert de RP à l extérieur du Canada requiert une protection équivalente (entreprise ou gouvernement, sauf CB et NE) LPRPDE, LPRP Il faut aviser les clients (pas d exclusion no optout) Qu en est-il du USA Patriot Act? Canada Plus ou moins équivalent au Canada (mandat de perquisition, assignation, injonction ou ordonnance secrète, écoute électronique sans mandat, etc.): Code criminel Loi sur le Service canadien du renseignement de sécurité Loi de l impôt sur le revenu Loi sur la défense nationale 14

15 Transfert de RP à l extérieur de l UE requiert une protection adéquate (4 options): Consentement de l individu Sphère de sécurité (Safe Harbor) UE-ÉU - FTC Règles d'entreprise contraignantes (BCR) Clauses contractuelles types LPRPDE, LPRP = protection adéquate depuis 2001 Union européenne 15

16 Une multitude de lois fédérales et étatiques concernant la vie privée, la sécurité, la fraude informatique et la divulgation d incident impliquant des RP Protège certains types de renseignements (HIPAA, GLBH, COPPA) ou certains types d activités (CAN SPAM Act, FCRA) Standards de sécurité (FISMA, PCI-DSS) États-Unis Ces lois s appliquent même si les RP sont transférés dans un nuage à l extérieur des É.U. (en théorie) ECPA (1986): accès aux communications par le Gouv Interprétation inconsistante (courriels, documents, stockage, transmission, documents, etc.) Peut décourager l infonuagique aux É.U. Pourrait changer bientôt 16

17 Problématique pour l infonuagique Les fournisseurs de nuages peuvent donc être assujettis à plusieurs lois dans plusieurs juridictions Les nuages privés, hybrides ou communautaires peuvent être une solution Facilite la conformité car il est possible de dédier les ressources à un seul ou à un groupe de clients Amazon Cloud Achieves Key Federal Security Standard (2011/09) Google releases FISMA-compliant Apps for Government (2011/04) EMC targets FISMA compliance in cloud networks (2010/08) 17

18 Recommandation 1 Accès aux données par les autorités Si ce n est pas interdit par la loi, les utilisateurs/organisations devraient être avisés des requêtes (criminelles et civiles) d accès à leurs informations Aucune divulgation sans consentement Obligation de résister et de constester Obligation de coopération avec les autorités réglementaires (conjointement) 18

19 Recommandation 2 Utilisation secondaire L utilisation secondaire doit être clairement divulguée et identifiée, en tant que «justification technique» ou «justification d affaire*» pour l utilisation des données Manque de consensus (par contrat, limité ou interdit) Devrait être très limitée dans le cas d une organisation 19

20 Recommandation 3 Portabilité et interopérabilité Le fournisseur du nuage devrait favoriser la portabilité et l interopérabilité des données 20

21 Recommandation 4 Sécurité des données Le fournisseur du nuage doit démontrer que des mesures de sécurité appropriées sont en place par le biais d audits et de certifications 21

22 Recommandation 5 Services gratuits Les services gratuits devraient avoir les mêmes mesures de protection des renseignements personnels que les services payants 22

23 Recommandation 6 Destruction des données Les utilisateurs/organisations devraient pouvoir supprimer l information transférée dans le nuage Aucune conservation d information une fois le contrat terminé 23

24 Recommandation 7 Responsabilité pour divulgation Prévoir une compensation proportionnelle pour la divulgation d information sans le consentement Aucune limite de responsabilité pour la confidentialité et la sécurité 24

25 Recommandation 8 Transparence Certaines informations de base devraient être fournies par le fournisseur du nuage (niveaux de service, modèle d affaire, protection légale applicable aux données, personnes à contacter pour questions ou problèmes ) 25

26 Bonnes pratiques pour la vie privée et la sécurité dans les nuages Sécurité de l information en transit (SSL, VPN, etc.) Complexité des mots de passe et authentification forte Contrôle d accès renforcé Sécurité physique des serveurs Entente de niveau de services avec le fournisseur Vérification des antécédents des employés du fournisseur Cautionnement/assurance des employés du centre de données Entente de non divulgation et de confidentialité Autres protections contractuelles (indemnisation, droit d audit) 26

27 Conclusion En général, si le fournisseur a une bonne réputation, votre information est mieux protégée dans le nuage Ils ont plus de ressources à consacrer à la sécurité Les utilisateurs mobiles n auront plus à transporter d information sur des équipements vulnérables La juridiction est plus ou moins importante L exécution du contrat doit être assuré Maturité du système juridique Gestion du risque légal 27

28 L avenir de la vie privée dans les nuages The world has less than a decade to make the protection of personal information and online privacy a priority before the concepts are lost forever online privacy problems will only worsen if governments don t take a hard stance. -Commissioner Cavoukian, Ottawa Citizen, August 18, 2010 Unless we act now, I predict that privacy, as we know it, will be gone lost, beyond our grasp, by the year Commissioner Cavoukian, International Conference of Data Protection and Privacy Commissioners, Jerusalem, October 28,

29 Questions?