Pourquoi la rétention des données est cruciale pour protéger les données sensibles

Les données sont à l'entreprise ce que l'oxygène est aux humains.

Sans les bonnes quantités, vous pourriez mourir – ce qui signifie généralement la fin de votre entreprise. Mais, tout comme trop d'oxygène peut vous tuer, trop de données a ses propres impacts négatifs.

Conserver les données plus longtemps que nécessaire n'affecte pas seulement le risque, cela crée également des coûts et ralentit la rapidité avec laquelle une organisation réagit à une violation. La rétention des données joue un rôle crucial dans le plan de réponse aux incidents de votre organisation, pourtant beaucoup négligent cette étape essentielle pour protéger leur organisation contre les piratages nuisibles, les cyberattaques et les violations de données.

Les entreprises utilisent fréquemment des logiciels de destruction de données pour supprimer complètement les traces de données. Cependant, il est impératif de comprendre l'importance de mettre en place des politiques de rétention des données et comment couper les coins ronds peut obstruer les tuyaux de votre entreprise et drainer la vie de vos efficacités axées sur les données.

Toute organisation doit développer et mettre en œuvre des politiques de rétention des données pour répondre à ces exigences et à d'autres exigences commerciales.

Au cours de la dernière décennie, les données sont devenues un atout essentiel pour pratiquement toutes les organisations, en particulier celles des industries business-to-consumer (B2C). Cependant, stocker des données n'est pas une décision à prendre à la légère. La rétention des données est cruciale pour les organisations modernes. Trop d'informations vous coûtent du temps et de l'argent, nuisant à votre productivité. Mais trop peu d'informations vous coûtent de l'argent, du temps et votre réputation.

Stocker les données des clients est un must, mais les conserver indéfiniment n'est pas non plus une option. Les entreprises doivent déterminer combien de temps elles peuvent conserver les données dans leurs systèmes et les supprimer lorsqu'elles expirent. Les politiques de rétention des données sont cruciales pour maintenir la sécurité des données des clients et garantir la conformité avec les exigences organisationnelles et les réglementations de l'industrie.

La rétention des données exige que les organisations respectent des normes de sécurité spécifiques, développent des politiques et des procédures pour accélérer ces réglementations, fournissent une formation et une éducation à tous les employés, et conçoivent un système pour répondre aux exigences. Pour ce faire, vous devez développer un plan de politiques et de procédures de rétention des données pour identifier les éléments de données sensibles, la sensibilité de chaque élément de données, la durée pendant laquelle chaque élément de données peut être conservé selon les réglementations, comment ceux qui accèdent aux données les utiliseront, et comment éliminer les données en toute sécurité.

Pourquoi la rétention des données est-elle importante ?

La rétention des données a longtemps été essentielle au succès de pratiquement tout type d'entreprise. Auparavant, cela signifiait archiver des documents qui pouvaient être récupérés en cas de besoin, souvent en conservant ces documents pendant des décennies avant de les jeter. Aujourd'hui, la rétention électronique des données a rendu la tâche plus accessible, ce qui est bien car la rétention des documents est plus importante que jamais si une entreprise veut protéger ses propres intérêts et ceux de ses clients.

Les exigences légales sont l'une des raisons les plus importantes pour développer et mettre en œuvre une stratégie de rétention des données robuste. En termes simples, tout document concernant les fonctions commerciales peut inclure des informations qui pourraient être bénéfiques à l'entreprise en cas de litige.

La documentation préservée facilite la recréation d'événements et de dates significatifs et prouve les commentaires des dirigeants d'entreprise sur ce qu'ils ont fait et n'ont pas fait concernant ce procès spécifique. En supposant que le schéma de rétention des données soit complet, la préservation efficace des enregistrements peut faire économiser à l'organisation une quantité significative de temps et d'argent dans toute forme d'action légale, y compris les préoccupations fiscales, les événements impliquant le personnel, ou les engagements établis avec les consommateurs.

En plus de fournir des données qui pourraient être essentielles pour résoudre un problème juridique, des pratiques efficaces de rétention des données offrent la possibilité de fournir un meilleur service client. La capacité de suivre des événements qui se sont produits il y a des années avec un client particulier peut ouvrir la voie à la résolution d'un problème qui vient d'émerger. Cela peut également fournir du carburant pour un nouveau produit ou service qui pourrait être attrayant pour plus d'un consommateur.

Une gestion efficace des données et des enregistrements peut améliorer les processus commerciaux clés et aider l'entreprise à respecter ses engagements légaux, statutaires et réglementaires. Ces dernières années, il y a eu un plus grand accent sur la confidentialité des données, ce qui a entraîné des règles et des réglementations de plus en plus compliquées à travers le monde.

Par exemple, les entreprises cotées en bourse aux États-Unis doivent adopter une stratégie de rétention pour répondre aux obligations de rétention des données de la loi Sarbanes-Oxley (SOX). De même, les institutions de santé doivent se conformer aux obligations de rétention des données de la loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA).

En outre, les entreprises qui reçoivent des paiements de consommateurs (tels que les cartes de crédit) doivent suivre les règles de rétention et de destruction des données des normes de sécurité des données de l'industrie des cartes de paiement (PCI DSS). Toute organisation qui collecte et analyse les données personnelles des individus de l'UE partout dans le monde doit suivre les normes de rétention des données du Règlement général sur la protection des données (RGPD) de l'Union européenne. 

Les lignes directrices sur la rétention des données doivent décrire quelles données sont collectées, pourquoi elles sont collectées, où elles sont conservées, et la durée de rétention pour se conformer au RGPD.

La capacité de générer des rapports à l'aide de données archivées permet aux organisations d'identifier des tendances et de développer des idées qui n'auraient pas été possibles autrement. Selon ce point de vue, la rétention des données ne consiste pas seulement à produire et à conserver un enregistrement du passé – il s'agit également d'établir une ressource qui peut être utilisée à l'avenir.

Qu'est-ce qu'une période de rétention des données ?

Une période de rétention des données, parfois appelée période de conservation des enregistrements, est la durée pendant laquelle une entreprise conserve des enregistrements. Les entreprises doivent conserver divers types de données pendant différentes durées. 

Les meilleures pratiques suggèrent que les données soient conservées aussi longtemps que possible. Cependant, diverses lois et réglementations ont des critères particuliers pour les périodes de rétention des données, il est donc crucial de mener votre étude avant de décider d'une durée pour une politique de rétention des données.

Combien de temps dure une période de rétention des données ?

Il n'y a pas de réponse définitive à la question de la durée d'une période de rétention des données. Tout dépend de la préférence. Cela est déterminé par le type de données, le but pour lequel elles ont été collectées ou générées, si elles sont encore considérées comme pertinentes, et d'autres facteurs basés sur les réglementations.

Bien que certaines règles, telles que la HIPAA, exigent que les informations soient conservées pendant au moins six ans "à partir de la date de leur création ou de la date à laquelle elles étaient en vigueur pour la dernière fois, selon la plus tardive", toutes les réglementations ne spécifient pas de limites de temps.

Qu'est-ce qu'une politique de rétention des données ?

Une politique de rétention des données, également connue sous le nom de politique de conservation des enregistrements, décrit combien de temps une entreprise conservera divers types de données à des fins opérationnelles ou de conformité réglementaire et comment elle éliminera ces données après cette durée. Une politique de rétention des données est un composant de la stratégie globale de gestion des données d'une organisation.

Lors de l'élaboration d'une stratégie de rétention des données, vous devez envisager comment organiser les données afin qu'elles puissent être recherchées et récupérées plus tard. Vous devez également décider comment éliminer les données qui ne sont plus nécessaires. Certaines entreprises estiment qu'utiliser un modèle de politique de rétention des données est bénéfique car il fournit une structure. Une politique de rétention des données complète décrit les raisons commerciales de la conservation de données spécifiques et ce qu'il faut en faire lorsqu'elles sont prêtes à être détruites.

Une politique de rétention des données de base devrait spécifier des détails sur l'organisation des documents et des données, les périodes de rétention, et les systèmes ou dispositifs de stockage utilisés pour les sauvegarder. Ces éléments sont généralement basés sur les directives de l'industrie.

Exemple de politique de rétention des données

La durée de vie d'une politique de rétention des données peut varier de quelques minutes à plusieurs années. Un moteur de politique devrait inclure plusieurs champs, tels que l'utilisateur, le département, le dossier et le type de fichier.

Les entreprises doivent inclure les communications par e-mail dans leur politique de rétention des données. Les e-mails s'accumulent rapidement, et certains occupent beaucoup d'espace, alors établissez un calendrier de rétention raisonnable. Comme pour la politique de rétention des données, le personnel informatique devrait collaborer avec le service juridique sur le calendrier de rétention des e-mails.

En termes de cibles, le stockage d'objets est une option standard dans une stratégie de rétention des données car il offre une bonne sécurité des données à faible coût. Un autre dépôt typique pour les données nécessitant une rétention plus longue est le stockage en nuage public. Il est souvent moins cher que le stockage sur site, en particulier dans les niveaux d'accès faible. Les fournisseurs de services cloud offrent une protection des données hors site, ce qui est crucial si le centre de données principal de l'organisation échoue. La vitesse de restauration est déterminée par le niveau et la quantité de collecte de données.

De plus, la bande continue de jouer un rôle essentiel dans la préservation à long terme des données. Les données historiques rarement consultées se comportent bien sur bande, qui prend plus de temps à réparer que d'autres formats. Stocker des données sur bande pendant des années est généralement moins cher que de les conserver sur le cloud et consomme moins d'énergie que le stockage sur disque. La bande, comme le cloud public, permet le stockage hors site.

La plupart des entreprises qui traitent des données clients mentionnent fréquemment leurs stratégies de rétention des données dans leur politique de confidentialité. Par exemple, la politique de confidentialité des données de G2 informe les consommateurs sur la politique de rétention des données de l'entreprise et les périodes de rétention.

Composants d'une politique de rétention des données réussie

Une politique de rétention des données devrait spécifier comment l'entreprise sauvegardera, archivera et détruira les documents papier et numériques. Le projet final devrait être complet et unifié, incorporer les contributions de plusieurs groupes, et s'appliquer dans toute l'entreprise. La politique peut être modifiée ou ajustée, et les équipes doivent enregistrer tout changement dans le document.

Une politique de rétention des données peut comprendre tout ou partie des sections suivantes :

• Exigences légales et commerciales pertinentes : Cette section devrait expliquer les raisons commerciales et légales de la rétention et des sauvegardes de données. Elle devrait être modifiée lorsque les besoins et la législation changent.
• Politiques et procédures de rétention des données : Chaque enregistrement et type de données aura des délais de rétention et des protocoles variés. Considérez l'emplacement de stockage des données, les techniques de sauvegarde, et la période de rétention. Spécifiez le rôle ou l'équipe qui possède et gère chaque type de données. Il est également nécessaire de spécifier quels types de documents n'ont pas besoin d'être conservés et détruits immédiatement.
• Étapes pour la destruction des données : Il est crucial de spécifier les processus de destruction des données applicables une fois la période de rétention expirée. Spécifiez la méthode pour déchiqueter les documents papier. Indiquez quels fichiers numériques doivent être supprimés manuellement et lesquels sont automatiquement nettoyés par le système.
• Procédures d'archivage des données : Certaines données ne sont pas nécessaires pour une utilisation quotidienne mais sont archivées pour des préoccupations réglementaires et de conformité. Les protocoles d'archivage définissent les formats de documents, les emplacements de stockage, et les méthodes de récupération. Peut-être que certains documents papier sont conservés hors site et ne sont récupérés qu'en cas de besoin. Les équipes de données peuvent conserver certains fichiers numériques sur divers serveurs pour garantir un temps de réponse rapide et réduire l'encombrement sur les serveurs locaux.
• Processus d'exception : L'entreprise peut faire diverses exemptions à ses méthodes habituelles de rétention, de suppression ou d'archivage des données. Définir ces exclusions dans la politique de rétention des données est crucial pour éviter toute confusion ou mauvaise interprétation.
• Actions appropriées pour les demandes de découverte, légales ou d'audit : Les entreprises doivent avoir une réponse uniforme aux demandes de découverte, légales ou d'audit. Cette section devrait définir la procédure de réponse, qui est responsable de faire la réponse, et comment elle sera documentée.

Comment créer une politique de rétention des données

Créer une politique de rétention des données n'est pas une tâche facile. Certaines entreprises trouvent plus rentable de sous-traiter le processus de planification et d'exécution de la politique plutôt que de le faire en interne. Il y a six processus essentiels que les entreprises doivent suivre lors de l'élaboration de leurs propres politiques de rétention des données :

1. Identifier les propriétaires de données critiques

Les données sont souvent cloisonnées dans des secteurs. Par exemple, l'équipe de vente possède les données de vente, le département des finances possède les données financières, le département des ressources humaines possède les données d'emploi, et le département informatique possède les données de journal. Développez une politique de rétention des données en identifiant d'abord les principaux propriétaires de données au sein de votre entreprise, en obtenant leur approbation, et en formant une équipe de projet qui inclut tous les propriétaires de données.

Parce que chaque département ou propriétaire sera responsable de la gestion de leurs données conformément à la politique de rétention des données, il est crucial que tout le monde soit investi et impliqué dans le processus.

2. Trier les données en catégories significatives

La prochaine étape dans le développement d'une politique de rétention des données est de décrire vos données. Faites une liste de tous les types de données collectées par votre entreprise. Lorsque vous avez terminé la liste, divisez les données en groupes en fonction de l'endroit où elles ont été créées ou de leur objectif prévu.

Chaque type de données que vous spécifiez pourrait être soumis à des réglementations spéciales de rétention des données et à des contraintes commerciales. Pour tenir compte de cela, vous devrez rechercher et développer des règles de rétention des données uniques pour chaque type de données que votre entreprise collecte.

3. Effectuer une analyse des politiques et des besoins commerciaux pour chaque type de données

L'étape suivante consiste à entreprendre une évaluation des politiques. La réalisation de ces évaluations vous permettra de mieux imaginer comment votre organisation utilise ses données. Vous pourriez même trouver de nouvelles et essentielles applications pour les données que vous collectez déjà. 

Enfin, vous serez en mesure de déterminer les règles exactes de rétention des données qui s'appliquent à vos informations - n'oubliez pas de vérifier la législation dans chaque pays où vous opérez !

4. Créer une nouvelle politique de rétention pour chaque type de données

Vous avez segmenté toutes vos données d'entreprise et exploré les cas d'utilisation commerciale et les exigences de conformité de chaque type de données. Vous pouvez maintenant évaluer l'emplacement de stockage, la période de rétention, et les méthodes appropriées de destruction des données en fonction des informations collectées.

En plus des recommandations générales pour des éléments tels que les historiques de révision et les exclusions de politique, votre politique de rétention des données devrait contenir une stratégie de communication pour les défis de rétention des données. Il est préférable de définir un plan pour garantir la conformité à votre politique de conservation des enregistrements.

5. Créer des SOP pour la rétention, l'archivage et la destruction des données

Les procédures opérationnelles standard (SOP) définissent les processus et la technologie que votre entreprise utilisera pour stocker, préserver, archiver et supprimer les données conformément à votre politique de rétention des données établie. Les employés peuvent exécuter les réglementations de rétention des données ou elles peuvent être automatisées avec des logiciels.

AWS et d'autres fournisseurs de cloud public offrent des services qui automatisent les règles de rétention des données des entreprises dans le cloud. Deux exemples courants sont Amazon S3 Intelligent Tiering, qui déplace intelligemment les données entre les niveaux de stockage optimisés en fonction des modèles d'utilisation des utilisateurs, et Amazon S3 Object Expiration, qui permet aux propriétaires de données de planifier la destruction des objets de données dans les compartiments S3.

6. Mettre en œuvre votre politique de rétention des données

Vous devriez maintenant avoir tout ce dont vous avez besoin pour mettre en œuvre votre politique de rétention des données. Il est maintenant temps de mettre en œuvre votre politique de rétention des données et de garantir la conformité dans toute votre entreprise. 

Vous devrez informer les chefs de département et leurs équipes des nouvelles approches et attentes, vous assurer que les propriétaires de données sont conscients de tout nouvel engagement, souligner l'importance de la conformité, appliquer tout nouveau processus ou technologie nécessaire pour soutenir votre stratégie de rétention des données, et fournir une formation supplémentaire si nécessaire.

Meilleures pratiques de rétention des données

Chaque entreprise a des besoins différents lors de l'élaboration d'une politique de rétention des données efficace. Néanmoins, les entreprises devraient suivre quelques meilleures pratiques lors de la création d'une politique de rétention des données. 

• Reconnaître les responsabilités légales. Les entreprises doivent établir les règles et réglementations pour leurs exigences de rétention des données et inclure ces exigences dans leur politique de rétention des données.
• Évaluer les besoins de l'entreprise. Développer une politique de rétention des données efficace implique plus que simplement suivre les règles. La politique de rétention doit également prendre en compte les besoins commerciaux de l'entreprise. Des raisons opérationnelles peuvent nécessiter que les données soient conservées plus longtemps que ce qui est légalement nécessaire.
• Être honnête et transparent. Informez vos clients, abonnés et utilisateurs des données que vous prévoyez de conserver, de leur maintenance, et de la gestion des données. Donnez-leur autant de contrôle que possible sur la façon dont leurs informations sont gérées.
• Supprimer les données lorsqu'elles ne sont plus nécessaires. De nombreuses entreprises ne parviennent pas à mettre en œuvre ce protocole fondamental de rétention des données car elles supposent que conserver les données plus longtemps que nécessaire est plus sûr que de les supprimer et de les récupérer plus tard. Cependant, cela ne pourrait pas être plus éloigné de la vérité.

Avantages de la rétention des données

Bien que la conformité réglementaire soit la principale motivation pour les entreprises de mettre en œuvre une politique de rétention des données, elle présente également d'autres avantages. La rétention des données est au cœur de la gestion des données. La documentation papier et les informations électroniques alimentent toutes deux l'activité des entreprises, et d'énormes quantités de données numériques sont généralement difficiles à stocker ou à catégoriser dans les systèmes de fichiers traditionnels.

Découvrir et collecter des enregistrements comptables, des interactions avec les clients, des communications électroniques, des données financières, des données de vente, et d'autres données d'entreprise critiques aide à plus que maintenir la conformité. Ces pratiques aident également les entreprises à reprendre leurs activités après une catastrophe en sauvegardant les données pertinentes à une fréquence suffisante pour se remettre des catastrophes.

Évaluer régulièrement votre stratégie de rétention des données permet à votre entreprise d'éliminer les fichiers anciens et dupliqués. Se débarrasser du matériel redondant et obsolète accélère les recherches, minimise la confusion, et améliore l'expérience utilisateur. 

Des pratiques de rétention des données plus intelligentes et plus rationalisées peuvent libérer de l'espace pour de nouvelles données et fichiers, permettant un stockage supplémentaire. Migrer les données plus anciennes vers le cloud et supprimer les copies peut faire partie de votre stratégie de rétention des données numériques. Avec des coûts de stockage réduits et une vitesse accrue, l'ensemble du processus permet d'économiser du temps et de l'argent à long terme.

Défis de la rétention des données

Les données continuent de croître à un rythme alarmant, non seulement dans le stockage principal mais aussi dans la sauvegarde des données et les archives. La sauvegarde est plus stressante lorsque les mêmes données sont sauvegardées plusieurs fois. Un programme de rétention des données est une méthode de réduction de la quantité, et finalement, d'automatisation du processus de conservation des ensembles de données.

Établir une ligne directrice de rétention des données, d'autre part, est difficile. Définir un calendrier de rétention des données n'est pas non plus facile. Les entreprises doivent conserver certains ensembles de données pendant des durées variables pour des raisons légales et opérationnelles. 

Une entreprise doit faire preuve de prudence, surtout si elle utilise un système de rétention des données automatisé. Le stockage peut parfois être un problème. C'est pourquoi, pour optimiser le budget, une politique de rétention des données appropriée spécifie le type de stockage où les données conservées sont stockées.

La rétention des données est importante (mais vous le saviez déjà !)

La rétention des données devient de plus en plus difficile à mesure que les entreprises font face à des demandes concurrentes pour maximiser la valeur des données et les responsabilités légales afin de se conformer à un nombre croissant de règles de rétention des données. Les organisations peuvent réduire les coûts de stockage des données, tout en maximisant la valeur des données et en se conformant aux règles et réglementations locales et internationales de rétention des données en développant et en exécutant une stratégie de rétention des données complète.

Êtes-vous préoccupé par la rétention des e-mails ? Découvrez comment les entreprises peuvent éviter la perte de données avec l'archivage des e-mails.