Aujourd’hui la valeur de la donnée représente une grande partie du chiffre d’affaires des entreprises de la tech, rien qu’en France elle représente la somme de plus de 2,7 milliard d’euros et on attend une croissance de plus de 4% dans les années à venir(1). Il est donc important de savoir traiter cette donnée et surtout de protéger les données utilisateurs. La protection des données est indispensable, d’une part pour respecter les différentes lois encadrant la valorisation des données et surtout pour protéger les informations qu’elles contiennent contre les attaques informatiques. En 2023 on dénombre une augmentation de 30% d’attaques informatiques par rapport à l'année précédente(2). En ce qui concerne la fuite de données, en 2022 on compte 781 victimes en Europe puis le nombre bondit de 52% en 2023 avec 1186 attaques (3).
Dans cet article nous allons vous présenter deux techniques qui permettent de protéger les données sensibles : la tokenisation et l’anonymisation. Nous allons ensuite étudier deux cas d’usages et voir quelle solution est la plus adaptée dans ces deux scénarios.
Qu’est ce que la tokenisation ?
La tokenisation est une stratégie de sécurité informatique essentielle pour protéger les données sensibles telles que les numéros de carte de crédit en les remplaçant par des "jetons" sécurisés. Inspirée de l’idée simple d’échanger un objet de valeur contre un jeton symbolique sans valeur propre, cette méthode permet de sécuriser les informations critiques tout en permettant leur utilisation dans des transactions ou vérifications courantes sans risque de divulgation. La tokenisation s'appuie sur le concept de transformer l'information sensible — par exemple, un numéro de carte — en une suite de caractères aléatoires (le token), qui ne contient aucune donnée exploitable en dehors du système sécurisé qui sait comment le reconvertir en l'information originale.
La génération de ces tokens se fait via des algorithmes qui créent une correspondance unique entre le token et l'information véritable, stockée dans un environnement extrêmement sécurisé. En pratique, la tokenisation contribue ainsi à une gestion sécurisée des paiements et des données personnelles, réduisant substantiellement les risques de fraude tout en permettant aux entreprises de mener leurs activités en ligne en toute sécurité.
Qu’est-ce que l’anonymisation ?
Selon la CNIL, l'anonymisation consiste à appliquer diverses techniques pour rendre toute identification d'une personne impossible et irréversible, que ce soit directement ou indirectement, par les données restantes. Ce processus modifie ou traite les données personnelles de sorte qu'elles deviennent anonymes. Il peut s'agir du masquage, d’ajout de bruit, ou même de l'élimination des informations d'identification, empêchant ainsi la divulgation d'informations sensibles personnelles tout en permettant l'exploitation des jeux de données pour des analyses, recherches et autres applications.
La nécessité de l'anonymisation s'inscrit dans une volonté de protéger la vie privée des individus dans un contexte où la collecte et l'utilisation des données sont omniprésentes.
L'approche d'Octopize à l'anonymisation, nommée méthode avatar, souligne l'importance de techniques avancées pour garantir la confidentialité des données dans le paysage numérique actuel, tout en respectant les directives réglementaires strictes.
Tokenization Vs. Anonymisation
Comprendre les différences entre la tokenisation et l'anonymisation est essentiel dans le contexte actuel de protection des données utilisateurs. Bien que les deux approches se destinent à sécuriser les informations sensibles, elles opèrent de manières distinctes et répondent à des besoins spécifiques.
L'anonymisation, telle que définie par la CNIL et pratiquée chez Octopize, consiste à appliquer un ensemble de techniques pour rendre toute tentative d'identification de la personne concernée, directe ou indirecte, pratiquement impossible et de manière irréversible. Cette opération vise la protection ultime de la vie privée en permettant l'utilisation des données à des fins d'analyses, de recherches tout en respectant la réglementation en vigueur sur la protection des données.
En contraste, la tokenisation remplace les informations sensibles par un jeton unique et sécurisé, conservant un lien avec les données originales conservées dans un environnement hautement sécurisé. Ce processus est réversible, contrairement à l'anonymisation, et est donc considéré comme une forme de pseudonymisation. Les jetons générés permettent d'utiliser et de manipuler des données sensibles dans des contextes opérationnels sans exposer les détails originaux, limitant ainsi le risque de fraude. Toutefois, la tokenisation, en préservant un lien cryptographique avec l'information initiale, ne garantit pas l'anonymat complet.
En résumé, alors que l'anonymisation efface irréversiblement toute possibilité d'identifier un individu à partir des données traitées, la tokenisation offre une protection en remplaçant les données sensibles par des jetons, sans pour autant couper le lien avec l'information originelle. Cette distinction est cruciale pour les organisations qui cherchent à optimiser la sécurité des données en choisissant l'approche la plus adaptée à leurs besoins spécifiques et aux exigences réglementaires.
Cas d’usages
Tokenisation
L'analogie du billet de concert illustre bien cette idée : au lieu de risquer de perdre ou de se faire voler un billet précieux, on le confie à un coffre-fort, en obtenant en retour un jeton représentatif qui prouve son existence sans l'exposer directement. Dans un contexte numérique, cela signifie que lorsqu'une transaction en ligne est réalisée, le vrai numéro de carte n'est jamais stocké ou transmis sur le serveur du commerçant ; seul le token circule, rendant inutile toute tentative de vol des données par des pirates informatiques, car sans la clé du système de tokenisation, ces tokens ne leur sont d'aucune utilité.
Anonymisation
Un labo pharmaceutique, ayant finalisé une étude clinique pour un nouveau traitement destiné à l'humain, a collecté des données sensibles de ses patients pour pouvoir confirmer la plus-value de ce traitement. Ces données sensibles, tels que l’âge, le sexe, ou autres, sont déterminants pour l’efficacité du traitement. Ainsi, bien que ce soit des données sensibles, elles ont une haute importance statistique.
Ce laboratoire voudrait utiliser partager ces données à un autre partenaire hors Europe, pour pour la création d’un autre traitement. Sans anonymisation, cela n’est pas possible, à cause du cadre légal du RGPD limitant le transfert de données personnelles de citoyens européen hors Europe.
Ainsi, on peut appliquer les techniques d'anonymisation tel que la méthode avatar d’Octopize sur ce jeu données, pour garder les propriétés statistiques déterminantes pour de prochaines études, et rester dans le cadre légal imposé par le RGP, car les données anonymes ne sont plus considérées comme des données personnelles.
Conclusion
En conclusion, dans un monde où la valeur des données ne cesse de croître et où les risques de cyberattaques augmentent proportionnellement, comprendre et appliquer efficacement des techniques telles que la tokenisation et l'anonymisation est devenu crucial pour les entreprises, quel que soit le secteur.
La tokenisation, offrant une forme de pseudonymisation par la substitution de données sensibles par des jetons sécurisés, et l'anonymisation, visant à rendre l'identification de personnes à partir des données traitées totalement irréversible, sont deux méthodes complémentaires pour assurer la sécurité des informations personnelles des utilisateurs.
La complémentarité de ces technologies offre aux entreprises une palette d'outils permettant non seulement de respecter les réglementations strictes sur la protection des données, comme le RGPD en Europe, mais aussi de préserver la confiance des utilisateurs en garantissant l'intégrité et la confidentialité de leurs informations. Cependant, chaque approche a ses spécificités et doit être choisie après une analyse approfondie des besoins de l'entreprise et des exigences légales en vigueur.
L'innovation en matière de protection des données personnelles continue d'évoluer, et avec l'introduction de techniques avancées comme la méthode avatar, Octopize se positionne à l'avant-garde de la sécurisation des données.
Les entreprises cherchant à renforcer leur stratégie de protection des données, tout en s'alignant sur les dernières avancées technologiques, peuvent considérer Octopize comme un partenaire stratégique.
Rédaction : Lucas Sehairi & Tom Crasset
Sources:
- https://www.lesdatalistes.fr/article/actualite-2024-marche-data-marketing#:~:text=Une%20progression%20attendue%20de%20l,4%25%20d'ici%202026.
- https://cyber.gouv.fr/actualites/lanssi-publie-le-panorama-de-la-cybermenace-2023
- https://www.group-ib.com/resources/research-hub/hi-tech-crime-trends-2023-eu/ (https://www.prnewswire.com/fr/communiques-de-presse/group-ib-devoile-les-tendances-cyber-la-france-est-le-pays-le-plus-touche-en-europe-par-les-fuites-de-donnees-les-attaques-de-ransomwares-augmentant-de-45--en-2023-302073915.html)
