{"id":10186,"date":"2020-09-16T10:13:36","date_gmt":"2020-09-16T08:13:36","guid":{"rendered":"https:\/\/www.invarture.com\/?p=10186"},"modified":"2021-06-29T17:49:16","modified_gmt":"2021-06-29T15:49:16","slug":"10-conseils-mise-en-conformite-au-rgpd-pour-sap","status":"publish","type":"post","link":"https:\/\/www.invarture.com\/en\/10-conseils-mise-en-conformite-au-rgpd-pour-sap\/","title":{"rendered":"Mise en conformit\u00e9 au RGPD pour SAP : nos 10 conseils"},"content":{"rendered":"

<\/div><\/div><\/div>

Depuis l’entr\u00e9e en vigueur du R\u00e8glement Europ\u00e9en sur la Protection des Donn\u00e9es \u00e0 caract\u00e8re personnel (RGPD)<\/strong> en mai 2018, les entreprises sont oblig\u00e9es de mettre en place des technologies garantissant la mise en conformit\u00e9 au RGPD pour SAP afin de garantir l’acc\u00e8s, la modification et la restitution de ces donn\u00e9es<\/strong>.<\/p>\n

Mais alors quelles sont les premi\u00e8res \u00e9tapes pour respecter ce r\u00e8glement ? Comment devenir RGPD Compliant quand on est client SAP ? Sur la base de notre exp\u00e9rience dans la mise en \u0153uvre de solutions de conformit\u00e9, voici 10 recommandations \u00e0 suivre pour prot\u00e9ger les donn\u00e9es sensibles<\/strong> de votre entreprise\u00a0:<\/p>\n<\/div>

<\/div><\/div><\/div>
<\/div><\/div><\/div><\/div><\/div>
<\/div><\/div><\/div>

1. <\/strong>Entreprendre une analyse d\u2019impact sur la protection des donn\u00e9es\u00a0:<\/strong><\/span><\/h3>\n<\/div>
  • <\/i><\/span>
    \n

    Faites participer vos auditeurs et votre conseil juridique<\/strong> d\u00e8s le d\u00e9but : ils fourniront de pr\u00e9cieux conseils sur les principaux domaines \u00e0 risque et recommanderont un cadre de travail pour la gestion continue de la conformit\u00e9<\/strong>.<\/p>\n<\/div><\/li>

  • <\/i><\/span>
    \n

    Mettez en place une \u00e9quipe de gestion du programme de protection de la vie priv\u00e9e<\/strong>. Au minimum, d\u00e9signez un responsable de la protection des donn\u00e9es<\/strong> et d\u00e9clarez-le aupr\u00e8s de la CNIL et autres autorit\u00e9s de r\u00e9gulation pertinentes.<\/p>\n<\/div><\/li>

  • <\/i><\/span>
    \n

    Effectuez un inventaire des informations personnelles et une cartographie des flux de donn\u00e9es<\/strong> (par domaine d’activit\u00e9). Vous pouvez aussi r\u00e9aliser une \u00e9valuation des lacunes en mati\u00e8re de protection de la vie priv\u00e9e, ainsi qu’un contr\u00f4le de la \u00ab due diligence \u00bb de vos prestataires en la mati\u00e8re.<\/p>\n<\/div><\/li><\/ul>

    <\/div><\/div><\/div>
    <\/div><\/div><\/div><\/div><\/div>
    <\/div><\/div><\/div>

    2. <\/strong>Accro\u00eetre la sensibilisation \u00e0 la l\u00e9gislation en mati\u00e8re de protection des donn\u00e9es\u00a0:<\/strong><\/span><\/h3>\n<\/div>
    • <\/i><\/span>
      \n

      Lancez une \u00e9valuation de la culture de la protection de la vie priv\u00e9e<\/strong> pour d\u00e9terminer si les employ\u00e9s sont pr\u00eats et comprennent les enjeux.<\/p>\n<\/div><\/li>

    • <\/i><\/span>
      \n

      Informez vos employ\u00e9s et les parties prenantes sur la l\u00e9gislation pertinente<\/strong> en mati\u00e8re de protection des donn\u00e9es, sur ce qui est n\u00e9cessaire, et les responsabilit\u00e9s qui leur incombent.<\/p>\n<\/div><\/li>

    • <\/i><\/span>
      \n

      Rejoignez les organismes professionnels de protection de la vie priv\u00e9e – pour rester inform\u00e9 des meilleures pratiques<\/strong> \u00e0 mettre en oeuvre. Par exemple l’International Association for Privacy Professionals.<\/p>\n<\/div><\/li><\/ul>

      <\/div><\/div><\/div>
      <\/div><\/div><\/div><\/div><\/div>
      <\/div><\/div><\/div>

      3. <\/strong>Effectuer un audit pour savoir o\u00f9 sont stock\u00e9es les donn\u00e9es sensibles dans les syst\u00e8mes SAP\u00a0:<\/strong><\/span><\/h3>\n<\/div>
      • <\/i><\/span>
        \n

        Analysez vos environnements SAP pour d\u00e9terminer les zones cl\u00e9s o\u00f9 ces donn\u00e9es sont stock\u00e9es<\/strong>. Il sera difficile de traiter les demandes et de divulguer des informations personnelles sans avoir une id\u00e9e pr\u00e9cise de l’endroit o\u00f9 elles se trouvent.<\/p>\n<\/div><\/li>

      • <\/i><\/span>
        \n

        Informez vos \u00e9quipes sur l\u2019endroit o\u00f9 ces donn\u00e9es sensibles sont stock\u00e9es<\/strong> dans vos syst\u00e8mes SAP (y compris les composants int\u00e9gr\u00e9s comme le Workflow, SAP BW, les documents de modification, etc) pour que les proc\u00e9dures de localisation et de suppression \u00e9ventuelle de ces donn\u00e9es<\/strong> puissent \u00eatre correctement con\u00e7ues et d\u00e9velopp\u00e9es.<\/p>\n<\/div><\/li>

      • <\/i><\/span>
        \n

        Examinez vos flux d’informations et processus<\/strong> au sein de l’entreprise pour identifier les \u00e9tapes o\u00f9 des donn\u00e9es sensibles (informations sur les clients, les employ\u00e9s, les fournisseurs, les partenaires commerciaux) sont impliqu\u00e9es et diffus\u00e9es.<\/p>\n<\/div><\/li><\/ul>

        <\/div><\/div><\/div>
        <\/div><\/div><\/div><\/div><\/div>
        <\/div><\/div><\/div>

        4. <\/strong>R\u00e9duire les donn\u00e9es sensibles au sein de vos syst\u00e8mes SAP non-productifs :<\/strong><\/span><\/h3>\n<\/div>
        • <\/i><\/span>
          \n

          R\u00e9duisez votre profil de risque en masquant intelligemment les donn\u00e9es dans les syst\u00e8mes hors production<\/strong>. En retirant vos syst\u00e8mes de test de l’\u00e9quation, vous r\u00e9duisez les risques et les frais g\u00e9n\u00e9raux<\/strong> li\u00e9s au traitement des demandes.<\/p>\n<\/div><\/li>

        • <\/i><\/span>
          \n

          Recherchez les syst\u00e8mes inutilis\u00e9s contenant des donn\u00e9es sensibles<\/strong> qui peuvent \u00eatre supprim\u00e9es, ou des donn\u00e9es sensibles qui ne sont pas ou plus requises dans les environnements de test et qui pourraient \u00eatre supprim\u00e9es.<\/p>\n<\/div><\/li><\/ul>

          <\/div><\/div><\/div>
          <\/div><\/div><\/div><\/div><\/div>
          <\/div><\/div><\/div>

          5. <\/strong>S\u00e9curiser l\u2019infrastructure\u00a0:<\/strong><\/span><\/h3>\n<\/div>
          • <\/i><\/span>
            \n

            Consultez r\u00e9guli\u00e8rement le SAP One Launchpad pour y trouver les correctifs de s\u00e9curit\u00e9 sp\u00e9cifiques<\/strong> \u00e0 vos versions de SAP, syst\u00e8me d’exploitation et type de base de donn\u00e9es.<\/p>\n<\/div><\/li>

          • <\/i><\/span>
            \n

            Veillez \u00e0 ce que la responsabilit\u00e9 de l’examen et de l’application des notes SAP soit clairement \u00e9tablie<\/strong> au sein de votre organisation.<\/p>\n<\/div><\/li>

          • <\/i><\/span>
            \n

            Assurez-vous que votre \u00e9quipe poss\u00e8de les comp\u00e9tences n\u00e9cessaires pour prot\u00e9ger les syst\u00e8mes et les domaines Cloud hybrides<\/strong>, notamment les r\u00e8gles relatives au Cloud et au pare-feu.<\/p>\n<\/div><\/li><\/ul>

            <\/div><\/div><\/div>
            <\/div><\/div><\/div><\/div><\/div>
            <\/div><\/div><\/div>

            6. <\/strong>Mettre en \u0153uvre des politiques de conservation des donn\u00e9es afin de r\u00e9duire les donn\u00e9es historiques SAP\u00a0:<\/strong><\/span><\/h3>\n<\/div>
            • <\/i><\/span>
              \n

              \u00c9laborez une politique d’archivage\/r\u00e9vision et de conservation des donn\u00e9es<\/strong> pour indiquer clairement quand des donn\u00e9es sensibles peuvent \u00eatre archiv\u00e9es ou supprim\u00e9es.<\/p>\n<\/div><\/li>

            • <\/i><\/span>
              \n

              Automatisez si possible ces solutions de r\u00e9daction et d’archivage<\/strong> afin que la conservation des donn\u00e9es fasse partie de votre cycle normal – plut\u00f4t que d’\u00eatre bas\u00e9 sur un projet.<\/p>\n<\/div><\/li>

            • <\/i><\/span>
              \n

              En fonction de vos politiques de conservation, entreprenez un projet de nettoyage et d’archivage pour supprimer, archiver ou \u00e9diter des donn\u00e9es<\/strong> qui n\u2019ont plus de raison l\u00e9gale d\u2019\u00eatre conserv\u00e9es.<\/p>\n<\/div><\/li><\/ul>

              <\/div><\/div><\/div>
              <\/div><\/div><\/div><\/div><\/div>
              <\/div><\/div><\/div>

              7. <\/strong>G\u00e9rer les risques d’acc\u00e8s aux syst\u00e8mes SAP, afin de limiter l’acc\u00e8s des employ\u00e9s aux donn\u00e9es sensibles\u00a0:<\/strong><\/span><\/h3>\n<\/div>
              • <\/i><\/span>
                \n

                Identifiez les r\u00f4les et les utilisateurs<\/strong> qui ont acc\u00e8s \u00e0 ces donn\u00e9es et \u00e9laborez des r\u00e8gles ainsi que des alertes afin que les demandes d’acc\u00e8s tiennent compte des risques associ\u00e9s.<\/p>\n<\/div><\/li>

              • <\/i><\/span>
                \n

                Mettez en place un processus permettant de v\u00e9rifier r\u00e9guli\u00e8rement qui a acc\u00e8s aux donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong>.<\/p>\n<\/div><\/li>

              • <\/i><\/span>
                \n

                Documentez clairement ces politiques d’acc\u00e8s<\/strong> et les \u00e9tapes de validation.<\/p>\n<\/div><\/li><\/ul>

                <\/div><\/div><\/div>
                <\/div><\/div><\/div><\/div><\/div>
                <\/div><\/div><\/div>

                8. Crypter les donn\u00e9es qui quittent votre syst\u00e8me SAP :<\/strong><\/span><\/h3>\n<\/div>
                • <\/i><\/span>
                  \n

                  Impl\u00e9mentez un cryptage<\/strong> pour \u00e9viter que des donn\u00e9es sensibles ne soient stock\u00e9es au repos ; toute donn\u00e9e stock\u00e9e sur des serveurs de fichiers ou fournie par des interfaces doit \u00eatre crypt\u00e9e avant d’\u00eatre transmise<\/strong>.<\/p>\n<\/div><\/li>

                • <\/i><\/span>
                  \n

                  R\u00e9-\u00e9valuez votre politique de s\u00e9curit\u00e9<\/strong> pour vous assurer de bien utiliser des outils qui att\u00e9nuent le risque pour les utilisateurs qui extraient des donn\u00e9es sensibles par le biais de rapports, d’analyses et de partage de connaissances avec des coll\u00e8gues.<\/p>\n<\/div><\/li><\/ul>

                  <\/div><\/div><\/div>
                  <\/div><\/div><\/div><\/div><\/div>
                  <\/div><\/div><\/div>

                  9. <\/strong>Revoir le syst\u00e8me d\u2019audit et d\u2019exploitation des donn\u00e9es sur SAP :<\/strong><\/span><\/h3>\n<\/div>
                  • <\/i><\/span>
                    \n

                    Contr\u00f4lez le risque de perte de donn\u00e9es<\/strong>. Les utilisateurs SAP extraient des centaines d’enregistrements et de documents sensibles des syst\u00e8mes et applications SAP afin d\u2019effectuer des comptes rendus et des analyses et de partager ces informations avec leurs coll\u00e8gues, partenaires et fournisseurs. La plupart des entreprises ne contr\u00f4le que tr\u00e8s peu \u00e0 quel endroit se trouvent ces documents, qui y a acc\u00e8s ou comment ils sont utilis\u00e9s. Il subsiste donc un risque \u00e9lev\u00e9 de perte de donn\u00e9es en raison d’actions malveillantes ou accidentelles.<\/p>\n<\/div><\/li>

                  • <\/i><\/span>
                    \n

                    Simulez une r\u00e9ponse \u00e0 une br\u00e8che ou violation de donn\u00e9es et \u00e9laborez un plan d’action qui d\u00e9crit les responsabilit\u00e9s essentielles de tous les acteurs concern\u00e9s<\/strong> (base, s\u00e9curit\u00e9 du r\u00e9seau, propri\u00e9taires d’applications, responsables des risques).<\/p>\n<\/div><\/li><\/ul>

                    <\/div><\/div><\/div>
                    <\/div><\/div><\/div><\/div><\/div>
                    <\/div><\/div><\/div>

                    10. D\u00e9finir une feuille de route pour devenir compliant :<\/strong><\/span><\/h3>\n<\/div>
                    • <\/i><\/span>
                      \n

                      Identifiez les outils techniques et processus propos\u00e9s par SAP<\/strong> qui vous permettront de mieux g\u00e9rer : les risques d’acc\u00e8s, la s\u00e9curit\u00e9 des infrastructures, les contr\u00f4les internes, l’archivage, la gestion des donn\u00e9es non productives, la notification des violations et la gestion des demandes de divulgation.<\/p>\n<\/div><\/li><\/ul>

                      <\/div><\/div><\/div>
                      <\/div><\/div><\/div><\/div><\/div>
                      <\/div>