Une première partie du guide 4D dédié au RGPD a déjà été publiée pour vous aider à établir votre conformité à la Réglementation Générale de la Protection des Données, en vous appuyant sur un livre blanc.
4D vous recommande de suivre le processus suivant de mise en conformité du RGPD en vous concentrant sur quatre étapes clés :
Analyse : Localiser les systèmes stockant des données personnelles.
Management : Limiter l’accès aux données personnelles et définir qui y accède.
Protection : Mettre en place un niveau de sécurité approprié pour prévenir et détecter les vulnérabilités et les violations de données.
Traçabilité : S’assurer de disposer des procédures adéquates pour détecter, signaler et enquêter sur une violation de données personnelles.
Cette deuxième partie du guide RGPD décrit comment ces étapes s’appliquent spécifiquement à votre application 4D. Elle vous fournit les meilleures pratiques, en s’appuyant sur des fonctionnalités intégrées à 4D vous permettant d’assurer la mise en conformité.
analyse
Cette première étape vous permettra d’identifier où sont stockées les données personnelles et d’identifier quelles données sont qualifiées de personnelles selon le RGPD. Quelles bases de données contiennent des données personnelles ? Quels champs ou enregistrements peuvent être marqués comme contenant des données personnelles ? Les données personnelles et sensibles telles que définies par le RGPD sont tout ce qui contiennent :
- L’identification directe des informations telles que le nom, le prénom, les numéros de téléphone, l’image, etc.
- Les données pseudonymes ou informations d’identification indirecte, qui permettent de distinguer les comportements individuels.
4D a publié un livre blanc, document de référence pour identifier les données personnelles et sensibles, et vous présenter dans un format didactique et simple les impacts de la réglementation pour un développeur ou un éditeur de logiciel.
que REQUIERT LE RGPD ?
Le RGPD a défini l’exigence de données à caractère personnel à l’article 4, section 2 comme suit : ” le “traitement” signifie toute opération ou ensemble d’opérations effectuées sur des données personnelles ou sur des ensembles de données à caractère personnel, que ce soit par enregistrement, organisation, structuration, stockage, adaptation ou altération, récupération, consultation, utilisation, divulgation par transmission, diffusion ou autrement mise à disposition, alignement ou combinaison, restriction, effacement ou destruction.”
COMMENT 4D PEUT-il VOUS AIDER ?
UTILISER LES CHAMPS DE COMMENTAIRES
4D fournit des mécanismes pour vous aider à identifier le personnel : par exemple, dans l’éditeur de structure, vous avez pour chaque table ET pour chaque champ un champ “Commentaire”, où vous pouvez écrire une note indiquant que cette structure contient des données personnelles et concerne par conséquent le RGPD. Il est possible d’utiliser Effectuer une recherche pour rechercher des mots-clés utilisés comme commentaires pour les données personnelles dans les champs / tableaux.
Vous trouverez l’exemple complet de la base de données avec des explications détaillées dans cet article de blog.
EXPRESSIONS RÉGULIÈRES
Une autre recommandation de 4D, est l’utilisation d’expressions régulières (regex) pour détecter toute donnée considérée comme personnelle par le RGPD. Les expressions régulières peuvent être utilisées pour localiser des séquences qui suivent les modèles connus de divers types de données personnelles. Par exemple, les numéros qui correspondent au nombre de chiffres pour les passeports de l’UE, ou un numéro de carte de débit de l’UE.
management
Une fois les données personnelles localisées, la cartographie de la surface d’attaque et les politiques d’accès appropriées doivent être mises en place pour réduire les risques d’accès ou de perte non autorisés.
que REQUIERT LE RGPD ?
Dans l’article 39, le RGPD parle d’assurer la sécurité des données personnelles : « Les données personnelles doivent être traitées de manière à assurer la sécurité et la confidentialité des données personnelles, notamment pour empêcher l’accès non autorisé ou l’utilisation de données personnelles et l’équipement utilisé pour le traitement». Et voici le rôle de l’authentification. En matière d’autorisation, le RGPD mentionne à l’article 25 : « la nécessité de mécanismes limitant l’accès aux données, exigeant des mesures garantissant que les données personnelles ne sont pas rendues accessibles par défaut sans l’intervention de l’individu auprès d’un nombre indéfini de personnes physiques ».
COMMENT 4D PEUT-il VOUS AIDER ?
4D fournit plusieurs moyens de contrôler l’accès aux données. Outre une revue de sécurité pour cartographier la surface d’attaque, les mécanismes fondamentaux qui traitent de cette question sont les suivants : Les mécanismes d’authentification et d’autorisation, qui peuvent aider à gérer les autorisations de base de données.
AUTHENTIfiCATION
4D supporte trois types d’authentification :
- Système d’authentification intégré : connexion et vérification du mot de passe.
- Authentification externe : L’application 4D Server peut déléguer l’authentification à votre Active Directory et obtenir la connexion à la session Windows, qui peut être utilisée pour consigner un utilisateur 4D dans une application via la méthode de connexion standard.
- Système personnalisé : 4D fournit un ensemble d’outils et de commandes pour créer un système d’authentification personnalisé.
Ce tableau récapitule les meilleures pratiques pour l’authentification 4D :
| Recommandation | Bénéfices |
| Authentification intégrée |
|
| Authentification externe |
|
| Un système personnalisé |
|
AUTORISATION
Il est fortement conseillé de contrôler l’accès à la base de données, en particulier lorsqu’il y a plus d’un utilisateur. Le système de contrôle d’accès de 4D est basé sur les utilisateurs et les groupes. Après la création des utilisateurs, vous pouvez les placer dans des groupes et attribuer à chaque groupe les droits d’accès appropriés. Les groupes peuvent se voir attribuer des privilèges d’accès à des opérations spécifiques.
Comme le système d’accès n’est pas activé par défaut, il est recommandé de l’activer en attribuant un mot de passe au compte Designer, puis tous les privilèges d’accès que vous avez affectés aux formulaires, aux menus et aux méthodes seront appliqués. Gardez à l’esprit que les stratégies d’accès doivent être conformes au principe du moindre privilège, qui exige que les utilisateurs et les applications se connectent toujours avec les privilèges minimum requis pour effectuer leur tâche.
GÉRER VOS POINTS D’ACCÈS
Il est nécessaire d’identifier et de comprendre les politiques d’accès aux données pour réduire la surface d’attaque. Et cela peut être réalisé par un examen de sécurité pour cartographier la surface d’attaque de la base de données 4D en comprenant quelles fonctions et capacités sont activées pour accéder aux données de manière cachée. C’est pourquoi 4D recommande de désactiver toutes les fonctionnalités qui ne sont pas en cours d’utilisation pour réduire ce risque. Par exemple, si votre application n’a pas besoin d’un accès SQL externe (via ODBC), il est recommandé de désactiver complètement l’accès SQL externe (en utilisant le paramètre de base de données ou via l’authentification ON SQL). Les commandes SQL internes ne sont pas affectées par la désactivation de l’accès externe. De même pour l’accès Web externe, l’accès au service Web ou l’interpréteur PHP, désactivez-les si vous n’en avez pas besoin. Il est également recommandé d’interdire les droits d’exécution globaux des méthodes de projet et de contrôler l’exécution via une liste blanche (Paramètre de base de données, onglet Sécurité, option Filtrage des commandes et méthodes de projet).
Une chose supplémentaire à mentionner, vous devez être conscient de tous les points d’accès à votre serveur 4D (HTTP, SQL et application), de cette façon, vous avez plus de contrôle sur la façon dont les utilisateurs peuvent accéder à votre application.
LIMITER LES RISQUES DE SÉCURITÉ DES PLUGINS
Chaque plugin installé augmente votre surface d’attaque. L’exécution d’un code externe augmente les chances d’avoir une faille de sécurité. 4D recommande de ne télécharger que des plugins de développeurs connus et de supprimer les plugins abandonnés.
Protection
Dans les deux étapes précédentes, l’accent était mis sur la découverte de l’emplacement des données personnelles et sur la manière dont l’accès peut en être limité. L’objectif était de créer des contrôles d’accès aux données en autorisant uniquement l’accès autorisé. Dans cette phase, l’attention se porte sur les données elles-mêmes et sur les mécanismes et les meilleures pratiques que 4D a à offrir pour les protéger en profondeur.
QUE REQUIERT LE RGPD ?
La protection des données personnelles contre les menaces de sécurité est déclarée comme une exigence de base du RGPD. De nombreux articles soulignent l’importance de cette obligation. En guise de première phase, le RGPD exige que les organisations mettent en œuvre la “Protection des données par conception et par défaut” RGPD Article 25. L’article 32 – section 1 stipule également qu’une organisation doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité approprié au risque :
- La pseudonymisation et le cryptage des données personnelles.
- La capacité d’assurer la confidentialité, l’intégrité, la disponibilité et la résilience permanentes des systèmes et des services de traitement.
- La possibilité de restaurer la disponibilité et l’accès aux données personnelles en temps opportun en cas d’incident physique ou technique.
COMMENT 4D PEUT-il VOUS AIDER ?
TLS (Transport layer security)
La connexion 4D Client / Serveur, 4D Web Server et 4D SQL Server peuvent communiquer de manière sécurisée via TLS. Il est fortement recommandé d’éviter les communications non cryptées, et il appartient au développeur de refuser ou de rediriger les demandes effectuées de manière non sécurisée. Cela garantit que les données soient cryptées en transit vers et à partir de la base de données, et cela réduit les attaques de type « intermédiaire »
Pour activer crypter les connexions client/serveur, allez sur la page Client-Serveur / Options réseau des Paramètres de base de données et cochez l’option “Chiffrer les connexions client / serveur”. Pour faire la même chose pour les connexions Web, allez sur la page Web / Configuration des paramètres de base de données et cochez l’option “Activer TLS”.
PFS (Perfect forward secrecy) – confidentialité persistante
Perfect Forward Secrecy (PFS) est une propriété des protocoles d’accord de clé assurant qu’une clé de session dérivée d’un ensemble de clés à long terme ne peut pas être compromise si l’une de ces clés est compromise à l’avenir.
PFS est activé par défaut dans 4D Web Server, assurez-vous simplement que le protocole TLS soit activé et que votre liste de chiffrement contienne un ou plusieurs ECDHE ou DHE (ce qui est vrai par défaut).
CHIFFRAGE DE MOT DE PASSE
4D vous fournit deux fonctions orientées sécurité pour stocker un hachage de mot de passe, tout en vous assurant que le hachage stocké correspond au mot de passe donné. Lors de l’utilisation de ces fonctions, les mots de passe ne sont jamais stockés dans la base de données, ce qui garantit un bon niveau de sécurité. De plus, les deux commandes sont basées sur l’algorithme bCrypt qui est lent à la conception. Le rendant résistant aux attaques de force brute et minimisant les impacts potentiels..
CHIFFRAGE DE DONNÉES
4D vous permet de crypter des documents personnels ou des données, et de les stocker cryptées. La commande CRYPTER BLOB peut crypter un blob avec une clé unique, ou une paire de clès (double cryptage).
CRYPTAGE PHYSIQUE
Un disque dur entièrement chiffré peut également fournir une protection forte. Utiliser des solutions matérielles comme des SSD chiffrés, ou logicielles comme BitLocker (Windows) ou FileVault (Mac), est toujours une bonne idée. Les lecteurs à cryptage automatique utilisent un moteur intégré au contrôleur du SSD pour crypter chaque fichier. Grâce à la technologie intrinsèquement rapide des disques SSD, vous pouvez effectuer des tâches de stockage quotidiennes beaucoup plus rapidement qu’avec un disque dur mécanique, tout en améliorant la sécurité de vos données. Dans certains contextes, comme par exemple dans un environnement virtualisé, il peut être utile de chiffrer uniquement le dossier contenant votre base de données, se que Microsoft Bitlocker prend en charge.
Traçabilité
Dans cette étape, le RGPD exige de notifier une violation de données à l’autorité de surveillance. Une violation de données personnelles peut être définie comme un incident de sécurité ayant affecté la confidentialité, l’intégrité ou la disponibilité des données personnelles. Il y aura une violation de données personnelles chaque fois que des données personnelles sont perdues, détruites, corrompues ou divulguées.
QUE REQUIERT LE RGPD ?
En ce qui concerne l’audit et la journalisation faisant partie de la protection des données, le RGPD stipule que chaque contrôleur […] doit tenir un registre des activités de traitement sous sa responsabilité.
En plus de cela, le RGPD a une exigence concernant les violations de données qui stipule : “En cas de violation de données personnelles, le responsable du traitement doit, sans retard injustifié et, si possible, au plus tard 72 heures après violation de données personnelles, le notifier à l’autorité de surveillance “.
COMMENT 4D PEUT-il VOUS AIDER ?
AUDIT ET LOGGING
L’audit suit les activités de la base de données en écrivant des événements dans un journal d’audit. Par exemple, 4D vous permet d’obtenir un journal des requêtes HTTP – (Paramètres de base de données sur le Web / Journal (type)) – qui vous permet de comprendre, analyser et étudier les activités pour identifier les menaces potentielles ou les violations de sécurité. Notez également que 4D fournit un système de journalisation transactionnel prêt à l’emploi. Chaque opération de modification de données est enregistrée et peut être annulée si nécessaire. En cas d’urgence, les transactions peuvent être restaurées – rien n’est perdu. En cas d’interruption, la base de données est automatiquement réexaminée au redémarrage et toutes les opérations manquantes (c’est-à-dire celles en mémoire, non encore stockées sur le disque) sont restaurées, pour restaurer la base de données à son état antérieur. Même en cas de corruption totale des données (c’est-à-dire un disque défectueux…), le fichier de données est automatiquement restauré à partir de la dernière sauvegarde complète et un journal (fichier journal des transactions) incluant le travail le plus récent est intégré.
ADMINISTRATION SERVEUR
4D vous permet de garder un œil sur votre serveur en récupérant des informations détaillées sur votre serveur Web 4D, ainsi qu’une liste des utilisateurs connectés et des processus en cours. De cette façon, vous êtes au courant de ce qui se passe en cas de violation de données.
POUR CONCLURE
4D fournit de nombreuses fonctions intégrées pour vous aider à répondre aux diverses exigences du RGPD, et simplifie considérablement ce processus. D’un système d’authentification et d’autorisation, à diverses capacités pour protéger et maintenir la disponibilité des données. Nous espérons que cette compilation des meilleures pratiques vous aidera dans votre parcours de conformité RGPD.