Guide 2017

contrôles de la CNPD en cas de réclamations
ou de pannes visibles, mais aussi longtemps
que ce régulateur n’intervenait pas, les organismes
ne se mobilisaient pas si elles disposaient
d’une autorisation de traitement. Avec
la nouvelle réglementation, l’organisation
doit démontrer en cas de procès qu’elle a
respecté la loi et mis en œuvre une gestion
formelle des risques, non seulement pour
limiter des conséquences indésirables pour
elle, mais aussi dans l’intérêt des droits de ses
clients. Avec la publication de la réglementation
européenne 2016/679 et ses pénalités
qui visent surtout les entreprises privées, on
ne peut plus nier l’importance économique
de la protection des données. Cependant,
certains aspects pratiques de cette réglementation
dépendent encore de précisions qui
devraient être apportées au niveau national,
et celles-ci n’ont pas encore été établies au
Luxembourg.
Quelle aide peut apporter itrust consulting
aux organismes?
Nous aidons les entreprises à documenter
leurs conformités. En fonction
de la situation de chaque organisme,
nous proposons une formation à
la gestion de la sécurité et à la protection
des données, un système de
gestion documenté et éprouvé auprès de
multiples clients issus des secteurs public
et privé ainsi qu’une analyse d’écart et
une appréciation des risques encourus
par l’organisation et les clients endommagés
en cas d’incident. Nous continuons
ensuite à prioritiser, planifier, et
budgétiser les mesures de sécurité qui
s’imposent. Grâce à nos outils et notre
expérience, nous pouvons les implémenter
plus efficacement que le personnel
interne qui se voit confronté pour la
première fois à cet ensemble d’exigences.
Nos méthodes sont surtout éprouvées
auprès d’entités ayant des ressources
limitées et en interne où nous gérons la
pseudonymisation des identifiants des
élèves participant aux épreuves standardisées
au Luxembourg, et ceci, bien
sûr, sans pouvoir accéder aux résultats
sensibles de ces épreuves.
Finalement, nous pouvons mettre à disposition
du personnel qualifié externe
sur un poste de DPO, d’auditeur interne,
ou même de RSI. Nous pouvons gérer
Carlo Harpes
ces fonctions entièrement ou assister les
personnes déjà nommées avec les compétences
de toute notre équipe. Cette
formule, appelée Security as a Service,
définit à l’avance la quantité de travail,
les méthodes, responsabilités, objectifs
et prestations, tout en permettant de
recourir en cas de besoin ou de dégâts à
la disponibilité de toute l’équipe d’itrust
consulting.
Notre atout principal est une analyse de
risque efficace. Nous avons aussi récemment
fait évoluer notre outil web d’analyse
de risques, appelé TRICK Service, en
y ajoutant les fonctions nécessaires à la
protection des données. L’outil supporte
à la fois des niveaux de conformité ou de
risque que des notions financières.
Au niveau de la cybersécurité, nous soulignons
également l’utilité de la réalisation
de tests réguliers, surtout dans le
domaine de l’ingénierie sociale. Nous
préconisons par exemple de réaliser plusieurs
fois par an des campagnes de
sensibilisation auprès du personnel ou de
réaliser des tests réguliers pour le maintenir
en alerte.
LG - Best of & Guide 2017 19