D'après-vous, le #RGPD aura-t-il un impact sur vos équipes d'infrastructure et d'exploitation? #GDPR
— VertivCo_FR (@VertivCo_Fr) 21 mars 2018
Le marché est submergé d’articles rappelant sans cesse les défis inhérents au RGPD. J’ai choisi d’éviter de dresser la liste des « terrifiantes amendes » qui font les gros titres de toutes les publications qui évoquent la nouvelle réglementation. Concentrons-nous plutôt sur les étapes constructives qui permettront à votre entreprise d’être à la fois compétitive et conforme. Les données représentent un actif critique pour les entreprises d’aujourd’hui donc, si l’on met de côté les amendes auxquelles les entreprises s’exposent, la grande question est peut-être bien : ‘comment les entreprises les plus compétitives continueront-elles d’utiliser les données pour garder leur avance sur le marché?’
C’est à cette question qu’il faut répondre, car elle va bien au-delà de l’échéance de mai prochain, et ce fardeau reposera en grande part sur les épaules des équipes informatiques. Trois domaines exigeront en particulier toute l’attention des professionnels des équipes d’infrastructure et d’exploitation qui veulent mener à bien leur mission:
ÉTAPE 1 : Compréhension de vos objectifs liés au RGPD mais aussi votre réussite commerciale à plus long terme
La conformité étant indispensable pour n’importe quelle entreprise, les équipes informatiques doivent veiller à ne pas aborder la mise en œuvre du RGPD comme une liste de points à cocher. Il faut faire preuve d’intelligence afin de respecter les exigences réglementaires tout en utilisant les données pour acquérir un avantage compétitif, et c’est le service informatique qui détient la clé de cette réussite.
La conservation, la protection et la manipulation des données sont aujourd’hui, de l’avis de tous, une arme décisive sur le marché. En effet, les entreprises les plus performantes seront celles qui détiendront des renseignements inconnus de leurs concurrents et qui sauront mieux que les autres explorer et utiliser les données. Cette intensification de la concurrence axée sur les données s’inscrit dans un paysage qui, selon IDC, nous conduira à générer 180 zettaoctets de données en 2025. Donc indépendamment du RGPD, les entreprises vont exercer une pression croissante sur leurs équipes afin de capitaliser sur les données.
Les dirigeants, les divisions commerciales et les employés eux-mêmes doivent donc impérativement comprendre l’impact concret que la mise en conformité aura sur leur activité. Nous ne pouvons pas nous contenter de dresser une liste de critères à remplir de façon isolée : il faut adopter une approche durable qui dotera l’entreprise d’un avantage compétitif en répondant aux besoins immédiats de conformité, et qui, surtout, pourra être déployée par le service informatique. Ce paramètre doit devenir une priorité essentielle des stratégies RGPD dans cette dernière ligne droite.
Pour changer de perspective, disons que le RGPD ne doit pas être la destination mais plutôt une refonte de la manière dont les entreprises utilisent et gèrent les données pour rester compétitives.
ÉTAPE 2 : Création d’un environnement propice à la réussite axée sur les données
Vous pouvez résumer la situation actuelle de nombreux professionnels de l’informatique en disant tout simplement qu’ils cherchent un avantage compétitif au milieu d’un champ de mines. Et il est assez étonnant de constater qu’en dépit de la nécessité commerciale de posséder une grande maîtrise des questions entourant les données, bien des entreprises ne parviennent pas à atteindre ce niveau d’expertise. Le défi ne s’arrête pas là; dans de nombreuses entreprises, les compétences en gestion des infrastructures et des données ne sont pas en adéquation. Ces lacunes en gestion des données et des infrastructures vont devenir des domaines à haut risque et devront absolument être prises en charge par les entreprises qui tiennent à conserver une avance sur leur concurrents.
En dépit de l’omniprésence du défi de la gestion des données, ce problème est aujourd’hui considéré comme un facteur ‘de routine’ par de nombreuses entreprises. Ce défaut de perception reflète les difficultés rencontrées par les professionnels des infrastructures informatiques qui doivent transformer les aspirations en réalité. Et dans le cadre étroit du RGPD, ces professionnels marcheront quasiment sur une corde raide. Indépendamment des implications financières du RGPD, nous ne pouvons qu’imaginer l’ampleur de la rancune du marché en cas de violation de la législation.
Par conséquent, il est essentiel que les entreprises établissent des frontières nettes dans leurs processus :
- Adoption d’une approche englobante : chaque service devra s’attacher à comprendre quelles données sont détenues par leurs applications ; les RH devront jouer leur rôle, le service marketing devra faire preuve de finesse en déployant de nouvelles applications et les équipes commerciales devront faire des choix judicieux de profilage. Il est indispensable d’établir des voies pour une communication régulière et ouverte – chose qui, malheureusement, sera sans doute le plus gros obstacle à franchir dans de nombreuses sociétés.
- Établissement d’une vision commune de la réussite : l’infrastructure informatique est accoutumée à subir des sollicitations contradictoires, et le RGPD ne changera pas la donne, bien au contraire. Mais il est essentiel de déterminer si l’entreprise se retrouve simplement à subir la réglementation ou si elle peut l’implémenter à son avantage. Les professionnels de l’informatique seront les gardiens de la technologie sous-jacente au processus, voire du processus lui-même, et il faudra établir des liens entre les critères de réussite et de conformité.
- Évitement du champ de mines : pour concrétiser ces réussites, il faudra faire des choix judicieux concernant l’accumulation et l’utilisation des « Informations personnellement identifiables » (les IPI, qui sont les types de données couvertes par le RGPD). Toutes les décisions qui devront être mises en œuvre par les employés ou qui les affecteront ne souffriront d’aucune ambiguïté. La réglementation elle-même continue d’évoluer dans ses définitions, qui doivent continuellement éclairer les stratégies de l’entreprise
- La transparence est la clé : s’il y a une chose que le RGPD affirme avec clarté, c’est que la visibilité est indispensable à la conformité. Le service informatique aura pour mission d’assurer la visibilité des données. Dans toutes vos communications internes, veillez toujours à être aussi transparent que vous devriez l’être si des contrôleurs passaient votre porte à cet instant.
ÉTAPE 3 : Garantie d’une exploitation performante des données dès la conception après le RGPD
Les équipes informatiques seront directement impliquées dans de nombreux aspects de l’exécution de la stratégie RGPD, et les entreprises devront intégrer la conformité des comportements au cœur même de leur infrastructure. Étant donné que des myriades d’applications internes et externes recueillent et utilisent les données d’entreprise, la création d’une interface permettant aux équipes ‘d’infrastructure traditionnelle’ de collaborer avec les développeurs sera décisive. Les équipes d’nfrastructure et d’exploitation seront concernées par la création de ce point de contact à trois titres:
- De nombreuses entreprises utilisent des données en temps réel dans leurs processus de développement, ce qui peut rapidement rendre les scénarios d’utilisation non conformes. Si l’on pense aux possibilités d’externalisation des ressources de développement et d’accès distant aux systèmes critiques, il devient clair que les processus doivent évoluer.
- Les systèmes qui sont élaborés et déployés doivent intégrer les principes de protection des données ainsi que toutes les facettes de l’exigence de transparence du RGPD au cœur de leur conception. Les entreprises devront nécessairement intégrer la conformité RGPD aux applications et systèmes déjà utilisés mais, à l’avenir, ce changement de stratégie deviendra la norme.
- Que vos applications soient utilisées par le service marketing, les RH ou le service financier, chaque étape du processus doit être en adéquation avec les résultats attendus du RGPD. Le mouvement DevSecOps s’attache précisément à incorporer l’expertise des spécialistes de la sécurité dès les toutes premières étapes du processus de développement. L’adoption de cette approche donnera une longueur d’avance aux entreprises pour le RGPD.
Conclusion
L’intégration de la conformité des comportements à la conception des futurs projets permettra aux professionnels des infrastructures informatiques de revenir à une certaine « normalité » une fois le RGPD entré en vigueur.
Pour résumer, le RGPD est bien couvert dans les médias mais ses implications pour les professionnels de l’informatique restent pleinement à articuler. Chez Vertiv, nous nous attachons à veiller à ce que les systèmes critiques restent opérationnels face à toute pression. Tandis que vous concentrez vos efforts sur la mise en conformité au RGPD, laissez-nous vous débarrasser des autres aspects problématiques de votre infrastructure.