La protection de la vie privée à l'heure du BIG DATA. Conférence ISACA Québec. Par David Henrard

1. La protection de la vie privée
à l’heure du « Big data »
David Henrard, CISM, CRISC
Président d’ISACA section de Québec, Directeur Sécurité et PRP chez LGS
Le 17 février 2015

2. Terminologie (OQLF)
• Big data
• Mégadonnées
• Données volumineuses
• Données massives
• Données de masse
2

3. Définition (Doug Laney, fév. 2010)
Ensemble de données dont les 3 caractéristiques
principales (volume, vélocité et variété)
présentent des défis spécifiques en terme de
traitement.
3

4. Définition (ISACA, 2013)
Le Big Data désigne des ensembles de données qui sont devenus trop
volumineux ou qui évoluent trop vite pour être analysés dans un laps
de temps raisonnable par le biais des techniques traditionnelles de
bases de données multidimensionnelles ou relationnelles, ou encore
des outils de bases de données multidimentionnelles ou relationnelles,
ou encore des outils logiciels habituellement utilisés pour la saisie, la
gestion et le traitement des données.
« Cette tendance dans le domaine technologique ouvre de nouvelles
perspectives en termes de compréhension du monde et de prise de
décision dans les entreprises. »
4

5. 5

6. Volume
6

7. Source: Wikipedia
7

8. [Source: GO-Globe.com, “60 Seconds – Things that Happen on
[the] Internet Every Sixty Seconds [Infographic],” 2011.] 8

9. Variété
D’une information structurée à une information non structurée
9

10. Vélocité
• Avant : analyse d’extraction
• Aujourd’hui : analyse en temps réel
• Demain : analyse prédictive
10

11. Véracité
Prennent des décisions
basées sur des
information non fiables
1sur 3
60%
N’ont pas
l’information dont ils
ont besoin
1sur 2
Temps passé sur chaque
projet lié au Big data pour
comprendre l’information
40%
Ont plus que ce qu’ils
peuvent utiliser60%
Le paradoxe du Big Data :
Plus de données, moins de confiance
© 2014 IBM Corporation
11

12. Quelques technologies associées
au « Big Data »
12

13. Obtenir plus des données capturées
13
Source : IBM

14. Réduire l'effort nécessaire pour tirer parti
des données
14
Source : IBM

15. Avantage compétitif Prise de décision Valeur de la donnée
Quoi faire avec le « Big data »?
15

16. Des applications concrètes…
mais pas sans risques
https://www.youtube.com/watch?v=ye-DsD_EHKk&feature=player_detailpage
© ARTE France
16

17. Cas pratique – Domaine de l’agriculture
• Accroissement du rendement
et des profits
17
http://www.techrepublic.com/article/how-big-data-is-going-to-help-feed-9-billion-people-by-2050/

18. Domaine de l’assurance
18

19. Domaine de l’énergie
19

20. Domaine de la sécurité
20
IBM - Security intelligence and analytics

21. Domaine de la mode
http://www.google.ca/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CCgQFjAA&url
=http%3A%2F%2Ffr.ulule.com%2Feyefind%2F&ei=WjnjVK-
KB83dsASX1IK4Dg&usg=AFQjCNGntXlAu1RrRZ3dpXprUU5oR9Uqcw&bvm=bv.85970519,d.c
Wc&cad=rja
17 février 2015
Retrouvez le sac, le
pull ou les chaussures
repérés sur un
inconnu dans la rue
21

22. Domaine du multimédia
22
http://www.ledevoir.com/culture/television/431386/quand-le-televiseur-nous-ecoute

23. COBIT5 et la protection de la vie privée
• Recherche d’un équilibre entre
• La réalisation de bénéfices
• L’optimisation des niveaux de risques et de l’utilisation des ressources
• Appliqué au Big data et à la protection de la vie privée
• Équilibre entre les bénéfices du Big data et les risques d’atteinte à la vie
privée et à l’éthique
• EDS01: Assurer la définition et l’entretien d’un référentiel de
gouvernance
23

24. Les défis
• Multiplication des exigences en termes de sécurité et de protection de la vie privée
• Diversité des législations régionales
• Multiplication des législation sectorielles
• Dossiers médicaux, cartes de crédit
• Absence de bonnes pratiques spécifiques au Big Data
 Apprentissage par l’expérience d’atteinte à la réputation et aux actions des autorités
• Approche par la technologie, les découvertes mais où les risques d’atteinte à la vie privée
et l’éthique sont ignorés
• Souci de conformité, présence de termes et conditions d’utilisation, mais peu de débat
sur l’éhique
 Différentes générations et cultures, préoccupation envers la protection de la vie privée, attentes
envers les organisations
24

25. Les risques associés à la protection de la vie
privée
1. L’anonymisation et le masquage de données peut être impossible
• Données de recherche : risque de ré-identification
• Accord donné pour une utilisation de manière anonyme
2. Protéger les personnes d’elles-mêmes
• Utilisation des réseaux sociaux
• Acceptation des termes et conditions sans les lire
• Attractivité du service ou du gain (avantage en échange de RP)
3. Confusion entre les modèles et la réalité
• Exploration des données (data mining) par les autorités chargées de la sécurité – analyse prédictive de
comportement
• Surveillance
• Expédition de pêche pour détecter des comportements suspects
4. La données devient la réalité elle-même
• Offres personnalisées – profilage
• Influence des comportements
5. L’ignorance envers la façon dont sont traitées les données
• Techniques de découverte automatique – algorithmes
• Profilage, discrimination (âge, origine, culture, santé, condition sociale…)
• Évaluation de la valeur de connaitre la réponse 25Source : Gartner Mars 2013

26. Recommandations
• Organiser un débat avec la direction
• Mettre en place un code de conduite
• Ce qui est acceptable / ce qui ne l’est pas
• Mise en place de points de contrôle
• Processus d’escalade pour les problèmes d’éthique
• Marquer (« Tager ») l’information avec des métadonnées (origine,
objet, limites d’utilisation)
• Communiquer sur le code d’éthique – jouer la transparence avec les
utilisateurs / les clients – s’assurer de la compréhension des risques
26

27. • Quels principes, politiques et infrastructures mettre en place pour gérer la stratégie de l’entreprise liée au Big Data ?
• Nos sources de Big Data sont-elles fiables ?
• De quelles structures et compétences disposons-nous pour assurer la gouvernance et le management des technologies de
l’information ?
• De quelles structures et compétences disposons-nous pour assurer la gouvernance en matière de protection de la vie privée ?
• Disposons-nous des outils appropriés pour satisfaire aux exigences de protection de la vie privée ?
• Comment vérifier l’authenticité des données ?
• Disposons-nous d’un moyen de contrôle sur l’utilisation des informations ?
• Quelles sont nos options en matière de protection de la vie privée ?
• Dans quel contexte les décisions sont-elles prises ?
• Est-il possible de simuler les décisions afin d’en appréhender les conséquences ?
• Est-il prévu de consigner et d’exploiter ces conséquences afin d’optimiser les processus de collecte, d’analyse et de prise de
décision ?
• Comment protéger nos sources, nos processus et nos décisions du vol et de la corruption ?
• Exploitons-nous les connaissances tirées du Big Data ?
• Quelles informations peuvent être collectées sans exposer l’entreprise à des contentieux juridiques ?
• Quelles actions prenons-nous susceptibles de créer des tendances exploitables par nos concurrents ?
• Quelles politiques appliquons-nous pour être sûr que les employés ne divulguent pas les informations sur nos parties prenantes
pendant leur fonction dans l’entreprise et après leur départ ?
27

28. Merci
dhenrard@lgs.com
david.henrard@isaca-quebec.ca
28

29. Références
• ISACA
• http://www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/Privacy-and-Big-Data.aspx
• http://www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/Big-Data-Impacts-and-Benefits.aspx
• Information & Privacy Commissioner, Ontario
• https://www.privacybydesign.ca/
• IBM
• http://resources.idgenterprise.com/original/AST-0112387_Top_3_Myths_about_Big_Data_Security.PDF
• http://www.analyticsearches.com/site/files/776/66977/259607/723691/4_Steps_to_Big_Data_Security.pdf
• http://www.ibmbigdatahub.com/sites/default/files/whitepapers_reports_file/TCG%20Study%20Report%20-%20Ethics%20for%20BD%26A.pdf
• http://www.ibmbigdatahub.com/infographic/evolution-big-data
• ZDNET
• http://www.zdnet.com/article/big-data-ethics-is-a-board-level-issue/
• The White House
• http://www.whitehouse.gov/sites/default/files/docs/big_data_privacy_report_may_1_2014.pdf
• 36th International Conference of Data Protection and Privacy Commissioners
• http://www.privacyconference2014.org/en/about-the-conference/resolutions.aspx
29