Data management : une bonne gestion des données pour un usage pertinent

La gestion des données est une discipline relativement récente des technologies de l’information, née en réponse à l’interconnexion croissante et à l’explosion des volumes de données dans les entreprises modernes. Le sujet mobilise aussi la recherche : la science des données (data science), un domaine encore jeune, s’intéresse notamment au stockage et à la mise en relation pertinents des données, ainsi qu’à la recherche efficace dans de vastes volumes.

Data management : définition et explication

La gestion des données (ou data management) impose certaines exigences concernant le traitement des données numériques. Il s’agit d’un processus continu, non d’actions ponctuelles. Dès leur collecte et saisie, les données doivent être organisées. Dans ce contexte, la minimisation et la qualité des données sont deux facteurs essentiels à prendre en compte. Au-delà de la nécessité de protéger les contenus, les données doivent avant tout pouvoir être utilisées aux fins spécifiques énoncées pour leur collecte. Tous les efforts doivent être déployés pour garantir leur parfaite adéquation aux tâches de l’entreprise. Il faut également déterminer les durées de conservation légales et opérationnelles. Identifier rapidement les données inutiles et les supprimer en toute sécurité est aussi important que garder les données utiles.

Les différents types de données

Pour bien planifier la gestion des données, il faut dans un premier temps s’interroger sur les types de données à traiter. Leur classement en catégories peut ainsi faciliter leur traitement systématique et éviter les oublis :

• Données personnelles : il s’agit des informations qui se rapportent directement aux personnes, telles que leur nom, leur numéro de téléphone et leur adresse. Elles comprennent également les données de mesure et les habitudes d’achat. Ces informations peuvent concerner des clients, des employés, mais aussi des tiers. Elles bénéficient d’une protection particulière.
• Données commerciales sensibles : il s’agit des données internes des entreprises, telles que les chiffres comptables, les documents fiscaux et les secrets commerciaux : autant d’informations dont la gestion revêt un intérêt particulier pour les entreprises. Il est judicieux de définir précisément quelles informations sont concernées dans le cadre d’une politique de gestion des données.
• Données secondaires : il s’agit des données générées dans le cadre d’une activité qui vise un autre objectif. Exemple : les bandes de vidéosurveillance, laquelle sert d’abord à lutter contre les effractions et les vols. Il arrive qu’elles contiennent des images faisant apparaître les plaques d’immatriculation des véhicules des clients. Citons aussi les fichiers-journaux (logs) enregistrés sur les réseaux d’entreprise, qui enregistrent les adresses IP des visiteurs.
• Données publiques : il s’agit des données volontairement rendues publiques, telles que les informations présentes sur les sites Web et les brochures d’entreprises. Le respect des lois sur le droit d’auteur et la protection de ses propres données, qu’il s’agisse de photos, de slogans publicitaires ou de logos, sont ici essentiels. Ces derniers peuvent être protégés par la loi sur les dessins et modèles (propriété industrielle).

Data management : tâches et mise en œuvre

La gestion des données doit intégrer toutes les étapes du processus, de la collecte des données à leur archivage ou suppression, et ce, le plus efficacement possible. Elle s’applique à toute la « durée de vie » des données. On parle également de data lifecycle management (DLM, gestion du cycle de vie des données en français).

La collecte des données

Le traitement des données commence par la collecte. Deux aspects sont essentiels :

1. Minimisation des données : ne collecter que les informations strictement nécessaires. Ce principe est consacré par le Règlement général sur la protection des données (RGPD). Les données ne peuvent être traitées que si la personne concernée a donné son consentement ou si le traitement est juridiquement nécessaire, par exemple pour l’exécution d’un contrat.
2. Qualité des données : une saisie rigoureuse évite les demandes de précisions et les retraitements inutiles. Les informations devraient être enregistrées dès le départ dans le format dans lequel elles seront ensuite utilisées. Chaque transfert ou conversion peut introduire des erreurs dans le jeu de données.

Le stockage des données

Il est important de choisir l’emplacement de stockage et le format. Outre le stockage local, une sauvegarde dans un stockage Cloud est envisageable. Les deux options ont des avantages et des inconvénients ; pour des données très importantes, une solution combinée est recommandée :

Pour de grands volumes de données, les bases de données sont à privilégier. Si un logiciel spécialisé est utilisé (par exemple pour la comptabilité ou la gestion des stocks), la question de l’emplacement de stockage ne se pose généralement pas. Dans ce dernier cas, il faut toutefois veiller à la compatibilité avec les systèmes externes et aux possibilités d’export, par exemple via l’export FEC (Fichier des écritures comptables) pour les contrôles fiscaux.

La sécurité des données

La sécurité est un sujet à la fois essentiel et complexe en gestion des données. Les informations doivent être protégées contre toute perte, toute altération (volontaire ou non) et tout accès non autorisé. La CNIL propose des ressources régulièrement mises à jour qui détaillent les risques et les mesures de protection, sur son site Web. Ces recommandations s’inscrivent dans le cadre du RGPD et s’alignent sur des référentiels internationaux comme l’ISO/IEC 27001, dédiée au management de la sécurité de l’information.

Risques possibles :

• dommages matériels dus à un incendie, à l’eau ou à une surtension
• perte de données liée à une erreur de manipulation
• perte de données ou indisponibilité des systèmes causées par des logiciels malveillants (rançongiciels, exfiltration de données)
• perte de données due à un bogue logiciel
• perte liée au vol (appareils, supports, sauvegardes)

En réponse à ces différents risques, les solutions mises en œuvre vont des mécanismes de protection logiciels aux dispositifs physiques, comme les alarmes anti-incendie et anti-intrusion.

Pour éviter toute mauvaise surprise, il est conseillé de suivre les principes suivants :

• Mises à jour régulières : il convient d’évaluer les avantages et les inconvénients des modes de mise à jour automatisée et manuelle. L’avantage des mises à jour automatisées est qu’on ne risque pas de les oublier. Quant aux mises à jour manuelles, elles permettent d’éviter toute mise à jour erronée.
• Mots de passe sécurisés : il existe ici différentes stratégies. Il est intéressant d’obliger les employés à choisir des mots de passe complexes. Il est également judicieux de programmer une modification régulière des mots de passe. En revanche, combiner l’utilisation de mots de passe complexes à leur modification fréquente peut amener les employés à écrire leurs mots de passe sur papier et à les conserver à leur poste de travail.
• Protection antivirus et pare-feu : une solution antivirus à jour est indispensable sur tous les postes et serveurs. Selon la taille et l’exposition du réseau, complétez par un pare-feu et, le cas échéant, un système de détection d’intrusion (IDS).
• Stratégie de sauvegarde : l’un des points les plus importants reste, sans aucun doute, la stratégie de sauvegarde. Les données doivent être sauvegardées régulièrement et de la manière la plus exhaustive possible, sur des supports distants. La sauvegarde des bases de données présente un défi particulier. Il n’est pas toujours possible de copier des fichiers ouverts en cours d’exploitation. La sauvegarde doit alors se faire à partir de l’application utilisée ou d’un logiciel spécial, tel que MySQLDump.

La protection des données

Il s’agit ici uniquement de garantir que les personnes non autorisées n’aient pas accès aux données confidentielles. La protection des données couvre les domaines suivants :

1. Empêcher les accès externes : cela requiert des mesures de sécurité des données.
2. Bloquer l’accès interne aux données personnelles : une gestion fine des droits dans le logiciel utilisé est nécessaire. On peut ainsi refuser l’accès à certains collaborateurs ou n’afficher que partiellement des enregistrements. Une protection supplémentaire est assurée par le chiffrement des données en transit et au repos, ce qui préserve les données sensibles d’un accès direct au matériel (par exemple en cas d’effraction) ou par des employés non autorisés.

Les exigences de l’entreprise

Dans la mesure du possible, la gestion des données doit être intégrée intuitivement aux processus de l’entreprise. En effet, cela permet de maximiser son acceptation par les employés, et donc son efficacité. De plus, certains des objectifs présentés offrent des avantages en termes de gains d’efficacité. La collecte de données inutiles prend du temps et peut exaspérer les clients. L’enregistrement ordonné et sûr des données accroît la productivité.

Chaque entreprise peut donc profiter de la mise en œuvre d’une politique de gouvernance des données stipulant comment les données doivent être traitées en son sein. Cette politique peut notamment aborder la qualité des données et les possibilités d’amélioration de leur traitement par le biais de corrections automatiques. Elle peut aussi définir des concepts communs.

L’archivage

L’archivage des données qui ne sont plus utilisées fait également partie des tâches des entreprises. Cela concerne les données soumises à une obligation de conservation légale, à l’instar des factures et dossiers fiscaux. En ce sens, cet aspect doit faire partie intégrante d’un concept de gestion des données.

• Stockage séparé : il réduit le volume des sauvegardes courantes et facilite la protection et la conformité des données.
• Support de stockage adapté : tous les supports ne conviennent pas à l’archivage. Les disques durs doivent être mis sous tension régulièrement pour vérifier leur bon fonctionnement. Les supports optiques (CD/DVD) sont sensibles aux influences extérieures et ont une durée de vie limitée. Les lecteurs de bandes magnétiques sont une option solide pour l’archivage long terme : coût d’acquisition des lecteurs élevé et manipulation moins pratique, mais cartouches peu coûteuses et très durables.

La suppression

Les données devenues inutiles doivent être supprimées. C’est aussi un bon moyen de se décharger de la responsabilité de leur sécurité. Un bon outil de gestion des données doit permettre d’identifier, isoler et supprimer ces données. Les données personnelles, en particulier, doivent être supprimées en toute sécurité.

Les fonctions de suppression des systèmes d’exploitation autorisent généralement l’écrasement de ces données, mais non leur suppression définitive. Les données continuent d’exister sur le disque dur jusqu’à ce que l’emplacement de stockage soit utilisé de manière aléatoire et qu’elles soient ainsi écrasées.

Les autres directives légales

Au-delà du RGPD, la conformité opérationnelle repose sur trois piliers pratiques : tenir un registre des traitements décrivant finalités, bases légales, catégories de données et durées de conservation ; réaliser une AIPD (PIA) avant tout traitement présentant un risque élevé (par exemple surveillance à grande échelle ou traitement de données sensibles) ; et notifier toute violation de données personnelles à la CNIL dans les 72 heures, en informant les personnes concernées lorsqu’un risque élevé est identifié. Ces exigences s’appliquent en France au responsable de traitement comme au sous-traitant.

Les types de gestion des données

L’organisation de la gestion des données dépend de la taille de l’entreprise. Sur le marché, différentes approches de solutions intégrées sont disponibles. Voici quelques exemples :

• Enterprise Resource Planning Systems (ERP, progiciels de gestion intégrée) : ces systèmes offrent une approche globale, qui couvre toutes les ressources de l’entreprise, à savoir le personnel, les équipements et les matières premières. Les fournisseurs les plus connus sont SAP, Sage, Oracle et Microsoft. Il existe aussi des solutions gratuites, comme Odoo et Dolibarr.
• Master Data Management (gestion centralisée des données de référence) : ces systèmes servent à la centralisation et au traitement des données de référence d’une entreprise. Ces données comprennent les données sur les employés, les clients, mais aussi les équipements. L’objectif est de parvenir à une qualité uniforme des données pour en améliorer l’exploitabilité. Cette approche est souvent complémentaire des ERP (intégré ou connecté).
• Content Management Systems (CMS, systèmes de gestion de contenu) : ces systèmes servent principalement à gérer des contenus et informations d’entreprise, et peuvent par exemple prendre la forme d’un site Intranet centralisé pour toute l’entreprise. En raison de leur grande flexibilité, d’autres usages, comme la gestion des formulaires et l’intégration de bases de données, sont également possibles.
• Systèmes de gestion documentaire (DMS) : ces systèmes, qui s’inscrivent dans la gestion de données, capturent, indexent, versionnent et *archivent les documents.

Les défis de la gestion des données

La gestion des données est un processus dynamique qui nécessite un ajustement constant aux exigences de l’entreprise. Cela pose de nombreux nouveaux défis.

Le Big Data

Les volumes de données ne cessent d’augmenter. Par conséquent, les exigences en matière de gestion des données sont élevées, notamment sur les points suivants :

• Mise à l’échelle du stockage et des capacités de sauvegarde
• Organisation et facilité de recherche des données nécessaires
• Minimisation des données et extraction des informations essentielles

La sécurité

Les responsables de réseaux sont chaque jour confrontés à de nouveaux risques. Le vol d’informations par ingénierie sociale et le rançonnement au moyen de rançongiciels n’en sont que quelques exemples. Plus une entreprise numérise ses bases de données, plus elle devient dépendante du bon fonctionnement du système qu’elle utilise. C’est pourquoi il est indispensable de rester en permanence informé des nouveaux risques et de prendre ses dispositions pour parer à une panne matérielle ou une perte d’accès à ses systèmes.

Les directives légales

Depuis l’entrée en application du RGPD, les entreprises ont dû fournir d’importants efforts et faire face à des incertitudes. Il n’est pas exclu que d’autres textes similaires voient le jour ou que des modifications des lois en vigueur imposent des changements supplémentaires. Cela peut affecter la gestion des données des entreprises.

Changements dans l’environnement de l’entreprise

La gestion des données doit tenir compte des changements de structure ou de processus d’une entreprise. Un moyen de s’y préparer est de recourir à des systèmes extensibles ou faciles à migrer. Dispenser des formations régulières à ses employés sur la gouvernance des données au sein de l’entreprise est une mesure supplémentaire qui peut être prise.