La sécurité physique n’est plus possible sans une bonne gestion des données
La sécurité physique n’est plus possible sans une bonne gestion des données
La sécurité est de moins en moins une affaire de clôtures hautes et de murs épais. De nos jours, tout tourne autour des données. C’est assurément le cas lorsqu’il est question de cybersécurité, mais les données deviennent également indispensables quand il faut identifier des menaces à temps pour prévenir des incidents ou au moins les garder gérables. Securitas Nederland a organisé une table ronde sur ce thème et invité plusieurs membres du Benelux Chapter d’ASIS International.
La table ronde a réuni des professionnels de la sécurité issus notamment de grandes chaînes de magasins, d’entreprises industrielles, de prestataires de services financiers, de sociétés de conseil et de consultance, d’établissements d’enseignement et d’entreprises constituant une part importante de l’infrastructure vitale. À l’invitation de Securitas Nederland, les participants ont discuté de l’importance des données permettant de garantir la continuité de leurs organisations. Il s’agit par exemple de données indiquant ce qui doit être protégé et contre quoi, si elles sont placées dans le bon contexte et enrichies de la bonne manière. De quel type de données a-t-on besoin ? Comment les obtenir ? Les données proviennent d’innombrables capteurs et sources, ouvertes ou non, de l’internet. Mais il ne faut pas sous-estimer les connaissances acquises sur le lieu de travail et les processus de support comme source de données. Le défi consiste à extraire les données des bonnes sources au bon moment et à les transformer en de l’information puis en de l’intelligence. L’information provient de données d’un contexte permettant l’analyse. L’intelligence est l’information sur base de laquelle une perspective d’action peut être dérivée, comme la prise de mesures pour prévenir les effets négatifs ou revoir le profil de risque. Il est par exemple possible d’identifier des tendances et de prédire des incidents futurs à partir de celles-ci. Dans un monde où l’on attend plus d’ouverture et d’accessibilité des organisations, l’importance de l’information ne cesse de croître.
Besoins en information
La condition pour obtenir des données est de les partager. C’est donc à juste titre que le président de la table ronde a demandé aux participants dans quelle mesure ils étaient prêts à partager les données de leur organisation. Sur les 17 participants, seuls deux ont levé la main. Un participant ne voulait absolument pas le faire. Les 14 autres sont prêts à partager des données sous certaines conditions. Ils veulent par exemple précisément savoir qui les recevra et ce qu’il en fera. Il faut également se demander si les données peuvent être partagées en vertu des lois et des réglementations sur la protection de la vie privée. Une question délicate dans le cas des ‘listes noires’.
La discussion s’est poursuivie avec un certain nombre d’affirmations. Par exemple : ‘une bonne évaluation des risques donne un aperçu global des besoins en information. La plupart des participants ont estimé que c’était une vision un peu courte. En effet, les besoins en information évoluent constamment car la gestion des risques est un processus dynamique. Non seulement de nouveaux risques apparaissent continuellement mais les risques existants sont susceptibles de changer. Il a été souligné que l’évaluation des risques n’est pas une tâche réservée au security manager. La collecte des données commence sur le lieu de travail. Ce faisant, il y a souvent de nombreuses disciplines au sein de l’organisation. La tâche du security manager est de veiller à ce que les risques soient abordés de manière intégrale. Il fixe également les priorités en fonction de la fréquence et de l’impact des incidents potentiels. Aucun participant n’a nié que les données sont indispensables à cet égard. Dans le même temps, tous ont convenu que la disponibilité des données n’est pas évidente, certainement pas quand il s’agit de communication entre les entreprises et le gouvernement.
Sources
‘Les données contribuent toujours, de la bonne manière, à une meilleure position de l’information’. C’est la seconde affirmation. Un des participants a fait remarquer qu’il faut s’assurer que les données soient fiables pour éviter qu’elles ne se retournent contre vous. Le bon sens et une bonne connaissance de l’organisation sont une exigence pour estimer les données à leur juste valeur. En pratique, le traitement des données se résume souvent à l’identification d’écarts par rapport aux situations souhaitées au sein du processus métier. Les derniers développements, comme l’intelligence artificielle, ne sont pas encore vraiment utilisés. La collecte de données sur les risques dont la fréquence est faible mais l’impact élevé reste un défi. Pour les risques dont la fréquence est élevée et l’impact faible, comme le vol à l’étalage, des sources ouvertes comme l’AD Misdaadmeter, peuvent souvent être utilisées.
Cependant, une telle source ne permet pas de prédire un attentat terroriste. Securitas utilise des sources de données internes et externes pour fournir aux clients un aperçu des menaces potentielles via le Risk Intelligence Center. Dans tous les cas, il est important de bien surveiller les processus de l’organisation et de prendre en compte les écarts. L’intelligence artificielle peut être utilisée pour découvrir des (nouvelles) tendances et des écarts. La fraude et autres violations de l’intégrité peuvent être mises en évidence. L’instrument de screening est principalement appliqué à cette fin mais il ne permet pas d’avoir une certitude à 100%. Combiner les données obtenues par le screening à d’autres sources peut conduire à de meilleures informations via des algorithmes spécifiques, mais on risque de se heurter aux lois et aux réglementations de la confidentialité. Dans un tel cas, un suspect peut être libéré parce que le juge estime que les preuves ont été ‘obtenues illégalement’ et les déclare irrecevables. Faire appel à un expert peut éviter à la victime de se retrouver sur le banc des suspects.
Bénédiction ou malédiction
Ce champ de tension entre la protection de la vie privée et la sécurité a fait l’objet de la troisième affirmation : ‘La législation actuelle (sur la vie privée) soutient effectivement l’usage des données’. Comme on pouvait s’y attendre, peu de participants étaient d’accord. D’après un participant, les ‘jacasseries administratives’ de l’Autoriteit Persoonsgegevens (l’Autorité néerlandaise de protection des données) rend pratiquement impossible la création d’un registre d’avertissement pour le secteur de la vente au détail. « Il faut franchir mille obstacles si on veut faire quoi que ce soit avec les données. » L’un des participants a estimé que la situation n’était pas si mauvaise à condition d’examiner attentivement les nuances de la législation. Par exemple, le partage d’images de caméras est souvent sensible mais cela devient plus facile si on se limite au traitement des métadonnées générées par les caméras.
Les individus respectant la loi n’apparaîtront pas de manière reconnaissable sur l’image. La législation oblige à bien réfléchir à ce que vous allez faire avec les données. Pour un participant, c’est un avantage. Cependant, la majorité des participants estime que les Pays-Bas font de la surrèglementation. Et la réglementation a souvent plusieurs années de retard par rapport aux développements dans la société et technologiques. On se retrouve alors dans des situations où les entreprises savent comment utiliser les données pour réduire les risques mais ne le font pas par crainte de problèmes avec l’Autoriteit Persoonsgegevens.
Un autre participant n’en est pas effrayé, à condition d’avoir la bonne expertise en interne, assurément nécessaire si vous travaillez pour une multinationale. Chaque pays a en effet ses propres règles. En outre, le gouvernement n’est pas toujours cohérent. L’autorité chargée de la protection de la vie privée ne veut pas que les caméras privées soient dirigées vers le domaine public alors que la police s’en félicite car les images ‘illégales’ peuvent aider à résoudre des délits graves.
Ce n’est pas tant la législation qui pose problème que l’ambiguïté et les incertitudes qui entourent les interprétations et l’application de la loi, ainsi que les risques qui en découlent pour l’exploitation de l’entreprise (sanctions). On peut en conclure que la collecte et l’analyse des données sont essentielles pour une sécurité effective, mais qu’une expertise technique doit être associée à une expertise juridique pour éviter que les données collectées ne deviennent une malédiction plutôt qu’une bénédiction.
Cette table ronde a permis à Securitas de partager ses connaissances et de s’informer sur les défis en matière de sécurité en discutant avec les participants. Cela contribue à la mission de l’entreprise qui consiste à transformer un monde en constante évolution en un lieu où il fait bon vivre et travailler. Comme les experts invités à la table ronde ont participé à titre personnel et devaient pouvoir s’exprimer librement sur des sujets sensibles, il a été décidé de ne pas mentionner leurs noms dans cet article.
Parr: Vincent Vreeken
Photos: Secumedia
