Chapitre 11 — Gestion du Changement & Classification des Données

Ce module couvre le Change Management (processus formel pour les modifications système), la classification des données, et la destruction sécurisée des données.

Gestion du Changement

Mémorisez ! Toute modification d'un système en production doit passer par un processus de changement formel. L'objectif : éviter que des changements non contrôlés causent des incidents de sécurité ou des pannes. La règle d'or : "si ça ne doit pas changer, ça ne change pas sans approbation."

CAB (Change Advisory Board) : comité qui évalue et approuve (ou rejette) les demandes de changement importantes. Réunit représentants IT, sécurité, métier.
RFC (Request For Change) : formulaire de demande de changement. Inclut : description, impact, plan de rollback, fenêtre de maintenance, personnes concernées.
Change Schedule / Maintenance Window : plage horaire approuvée pour effectuer des changements (ex: 2h-4h du matin les samedis).
Emergency Change : processus accéléré pour les changements urgents (patch critique exploité activement). Approuvé par un sous-groupe du CAB, documenté a posteriori.
Plan de rollback : procédure pour revenir à l'état précédent si le changement échoue. Obligatoire dans toute RFC.
Impact Analysis : évaluer les systèmes affectés avant tout changement. Utilise la CMDB pour identifier les dépendances.

Classification des Données

Secteur	Niveaux de classification (du moins au plus sensible)
Commercial / Privé	Public → Interne → Confidentiel → Hautement Confidentiel
Gouvernemental US	Unclassified → Confidential → Secret → Top Secret
Gouvernemental FR	Non Protégé → Diffusion Restreinte → Confidentiel Défense → Secret Défense → Très Secret Défense

Propriétaire des données (Data Owner) : personne responsable de la classification et de la protection d'un ensemble de données. Souvent un directeur ou responsable métier (pas IT).
Dépositaire des données (Data Custodian/Steward) : personne IT qui implémente les contrôles définis par le propriétaire des données.
DPO (Data Protection Officer) : obligatoire sous GDPR pour certaines organisations. Supervise la conformité protection des données.
Étiquetage (Labeling) : marquer les données avec leur classification (métadonnées, watermarks, headers de documents).
DLP (Data Loss Prevention) : outils qui détectent et empêchent la fuite de données sensibles (email, USB, cloud upload).

Types de Données Sensibles

PII (Personally Identifiable Information) : données permettant d'identifier une personne (nom, adresse, numéro de sécurité sociale, email, IP dans certains contextes).
PHI (Protected Health Information) : informations de santé protégées par HIPAA (dossiers médicaux, diagnostics, prescriptions liées à une identité).
PCI DSS : données de carte de paiement (numéro de carte, CVV, PIN).
Propriété intellectuelle : brevets, secrets commerciaux, code source.
Non-Public Financial Information : informations financières non publiques protégées par des réglementations (GLBA aux États-Unis).

Astuce Examen

Le Data Owner (propriétaire des données) décide de la classification et des politiques d'accès. Le Data Custodian (IT) implémente ces décisions. Sur l'examen : si la question demande "qui décide comment les données doivent être protégées ?" → Data Owner. "Qui implémente le chiffrement ?" → Data Custodian.

Quiz — Changement & Classification

1. Le CAB (Change Advisory Board) est responsable de :

Déployer les changements sur les systèmes de production Tester les changements dans un environnement de développement Évaluer et approuver (ou rejeter) les demandes de changement formelles Former les utilisateurs aux nouveaux systèmes

CAB = comité multi-fonctions (IT, sécurité, métier, ops) qui review les RFC (Requests For Change). Évalue : impact, risques, plan de rollback, ressources nécessaires. Approuve, ajuste ou rejette. Les Emergency Changes passent par un mini-CAB (sous-groupe) pour aller plus vite tout en gardant une supervision.

2. PII signifie :

Personal IT Infrastructure Personally Identifiable Information — données permettant d'identifier directement ou indirectement une personne Private IT Integration Protected Internet Information

PII = Personally Identifiable Information. Exemples directs : nom complet, numéro de sécurité sociale, numéro de passeport, empreinte digitale. Indirects (combinaison) : date de naissance + ville + employeur = peut identifier une personne. Les organisations sont légalement obligées de protéger les PII (GDPR, CCPA, PIPEDA).

3. Un "plan de rollback" dans une RFC sert à :

Planifier les tests de performance après le changement Former les utilisateurs au nouveau système Valider que le changement est complet Définir la procédure pour revenir à l'état précédent si le changement cause des problèmes

Rollback plan = procédure documentée de retour à l'état initial. Obligatoire dans toute RFC. Inclut : comment restaurer la sauvegarde, temps estimé, critères de déclenchement (quand décider de rollback). Sans rollback plan : un changement qui échoue à 3h du matin = panique et improvisation = incidents prolongés.

4. PHI (Protected Health Information) est protégé principalement par :

HIPAA (Health Insurance Portability and Accountability Act) PCI-DSS GDPR uniquement La norme ISO 27001

HIPAA (US) = loi fédérale protégeant les informations de santé. PHI = tout ce qui identifie un patient et concerne sa santé (diagnostics, traitements, prescriptions, numéros de dossier). Violations HIPAA : amendes jusqu'à 1,9M$/an par catégorie de violation. Exemple de non-conformité : envoyer des informations médicales par email non chiffré.

5. Le "Data Owner" (propriétaire des données) est généralement :

L'administrateur système qui gère les serveurs Le responsable de la sécurité informatique (CISO) Un responsable métier qui décide de la classification et des politiques d'accès aux données Le DBA qui administre la base de données

Data Owner = propriétaire fonctionnel (ex: Directeur Marketing pour les données clients, CFO pour les données financières). Décide : qui peut accéder, niveau de classification, exigences de protection. Le Data Custodian (IT/DBA) implémente ces décisions. C'est une responsabilité métier, pas technique.

6. DLP (Data Loss Prevention) est un outil qui :

Chiffre automatiquement toutes les données de l'organisation Détecte et empêche la transmission non autorisée de données sensibles (email, USB, upload cloud) Effectue des sauvegardes automatiques des données critiques Gère les permissions d'accès aux fichiers partagés

DLP = surveillance et contrôle des données en mouvement (network DLP), au repos (storage DLP), et en utilisation (endpoint DLP). Exemples : bloquer un email contenant 16 chiffres (numéro de carte), alerter si un fichier marqué "Confidentiel" est uploadé sur Google Drive, empêcher la copie sur USB non autorisée. S'appuie sur la classification des données.

7. Une "Emergency Change" (changement d'urgence) se distingue d'un changement normal car :

Elle n'a pas besoin d'être documentée Elle peut être effectuée par n'importe quel technicien sans autorisation Elle ne nécessite pas de plan de rollback Elle passe par un processus d'approbation accéléré (mini-CAB) pour réagir rapidement à une menace active, tout en étant documentée après coup

Emergency Change = processus accéléré pour les situations critiques (patch de vulnérabilité exploitée activement, panne majeure). Approuvé par un mini-CAB (sous-groupe autorisé) sans attendre la réunion hebdomadaire complète. Documentation obligatoire a posteriori. La supervision est réduite mais pas absente.

8. Selon la classification gouvernementale, quel niveau est supérieur à "Confidential" ? Secret Restricted Private Protected

Classification US gouvernementale (du plus bas au plus haut) : Unclassified → Confidential → Secret → Top Secret. Top Secret (TS) = informations dont la divulgation causerait des dommages "exceptionnellement graves" à la sécurité nationale. TS/SCI (Sensitive Compartmented Information) = compartiments spéciaux du Top Secret.

9. Le processus de gestion du changement réduit principalement quel type de risque ? Les risques d'attaques externes (hackers, malwares) Les risques de catastrophes naturelles Les risques liés aux modifications non contrôlées des systèmes (changements non testés causant des pannes ou des vulnérabilités) Les risques d'accès non autorisé aux données

La majorité des incidents de disponibilité sont causés par des changements non contrôlés (erreur humaine, configuration incorrecte, conflit de versions). Le Change Management impose : test en environnement de dev/staging, approbation, fenêtre de maintenance, rollback plan. Réduit drastiquement les "we changed something and it broke everything" en production.

10. Dans la classification des données, "Public" ou "Unrestricted" désigne des données : Accessibles uniquement aux employés internes Qui peuvent être librement partagées sans restriction — leur divulgation ne cause aucun préjudice Accessibles uniquement aux partenaires commerciaux Qui nécessitent un chiffrement de bout en bout

Public/Unrestricted = données conçues pour être diffusées largement. Exemples : site web marketing, communiqués de presse, brochures commerciales, code open source. La divulgation ne cause aucun préjudice. Cela ne signifie pas que l'intégrité est ignorée (le contenu public doit rester authentique), mais la confidentialité n'est pas une préoccupation.