3.3 - Protection des données : classification, tokenisation et masquage
L'objectif 3.3 du Security+ SY0-701 couvre la protection des données dans leurs différents états et formes. Le TLS/HTTPS protège les données en transit sur un réseau, tandis que le chiffrement au repos protège les données stockées. La tokenisation remplace une valeur sensible, comme un numéro de carte, par un substitut non sensible qui ne se retrouve que dans un coffre sécurisé, de sorte que les systèmes manipulent des jetons plutôt que de vraies données. Le masquage n'affiche qu'une partie d'une valeur, comme une carte en ****-1234 sur un reçu. La classification trie l'information en Public, Interne, Confidentiel ou Restreint pour que chaque niveau reçoive la bonne protection. Tu dois aussi connaître les états des données (en usage, en transit, au repos), la souveraineté et la prévention des pertes de données. Attends-toi à des mises en situation demandant la bonne technique de protection.
Données en transit = TLS/HTTPS. Remplacer un numéro de carte par un substitut mappé = tokenisation. Afficher ****-1234 = masquage. Public/Interne/Confidentiel/Restreint = classification.
Questions d'entraînement
1. Qu'est-ce qui protège les données EN TRANSIT sur un réseau ?
- Chiffrement complet du disque
- TLS/HTTPS (bonne réponse)
- Broyage de papier
- Mot de passe BIOS
TLS (HTTPS/VPN) chiffre les données en transit. Le chiffrement complet du disque protège les données au repos ; les deux sont nécessaires.
2. Quel est le but d'un système de prévention des pertes de données (DLP) ?
- Accélérer les sauvegardes nocturnes
- Empêcher les données sensibles de sortir (bonne réponse)
- Chiffrer tout le disque système
- Stocker et gérer les mots de passe
Le DLP inspecte les données dans les e-mails, envois et postes pour détecter et bloquer l'exfiltration d'infos sensibles (PII, cartes, PI) selon la politique.
3. Remplacer un numéro de carte par une valeur de substitution non sensible reliée dans un coffre sécurisé est :
- Chiffrement symétrique
- Tokenisation (bonne réponse)
- Hachage de la valeur
- Stéganographie
La tokenisation remplace la donnée sensible par un jeton ; la correspondance vit dans un coffre sécurisé. Elle retire la donnée sensible des systèmes (courant pour les cartes PCI DSS).
4. Classer les données en Public, Interne, Confidentiel ou Restreint pour leur appliquer les bons contrôles est :
- Tokenisation des données
- Classification des données (bonne réponse)
- Chiffrement complet du disque
- Réplication des données
La classification des données étiquette l'information par sensibilité pour appliquer traitement, accès et protection adaptés. Elle guide l'étiquetage, le chiffrement et la rétention.
5. Quel état des données est généralement le PLUS difficile à protéger car elles doivent être déchiffrées pour être traitées ?
- Données au repos
- Données en transit
- Données en cours d'utilisation (bonne réponse)
- Données en sauvegarde
Les données en cours d'usage sont déchiffrées en mémoire/CPU pendant le traitement, donc les plus difficiles à protéger. Défenses émergentes : enclaves sécurisées, informatique confidentielle/homomorphe.
6. N'afficher que les quatre derniers chiffres d'une carte en ****-1234 sur un reçu est un exemple de :
- Chiffrement complet du disque
- Masquage de données (bonne réponse)
- Réplication de données
- Étirement de clé
Le masquage cache une partie d'une valeur (ex. ****1234) pour la rendre utilisable sans tout exposer. La tokenisation la remplace entièrement ; le chiffrement la rend illisible sans clé.