Gouvernance du cycle de vie des données ISO 27001 pour 2026

Maria, RSSI d’une fintech en forte croissance, a vécu le type de vendredi après-midi qui transforme une lacune de conformité en sujet de conseil d’administration.

L’entreprise venait de s’étendre à de nouveaux marchés de l’UE. Le chiffre d’affaires progressait, l’intégration des clients s’accélérait et de nouveaux outils SaaS étaient ajoutés chaque semaine. Puis trois messages sont arrivés presque simultanément.

Le service juridique a signalé que les autorités de protection des données intensifiaient l’application des règles relatives à la limitation de la conservation au titre de GDPR. La conformité lui a rappelé que les obligations DORA de gestion des risques liés aux TIC étaient désormais une réalité opérationnelle. Le conseil d’administration a demandé si l’exposition NIS2 de l’organisation, y compris les exigences relatives aux fournisseurs et à l’hygiène cyber, était maîtrisée.

Puis un client a demandé la suppression de son compte et de toutes les données à caractère personnel associées.

Cette demande apparemment simple est devenue une mobilisation interfonctionnelle. Le service juridique a indiqué que certains enregistrements pourraient être nécessaires dans le cadre d’un litige contractuel. La finance a précisé que des enregistrements légaux devaient être conservés. Le produit a confirmé que les données du client existaient dans la base de données de production, la plateforme d’analyse, les tickets de support, le stockage objet, les journaux Kubernetes, les instantanés de base de données et un outil tiers de réussite client. L’ingénierie cloud a demandé quelles sauvegardes contenaient ces données. Le DPO a demandé si une copie était encore traitée hors de l’UE. Maria a demandé les éléments probants.

Quelqu’un a finalement prononcé la phrase qui révélait le véritable problème :

« Nous n’avons aucun emplacement unique où ce cycle de vie soit visible. »

C’est le problème de gouvernance du cycle de vie des données en 2026. Il ne s’agit pas seulement de conservation des données. Il s’agit de classification, de propriété, de base légale, d’accès, de localisation, de réplication, de conservation des sauvegardes, de conservation pour litige, de sortie du cloud, de suppression par les fournisseurs, de revue des archives, d’éléments probants d’incident et d’élimination défendable.

Pour les PME, les fintechs, les prestataires de services managés, les entreprises prioritairement cloud et les organisations réglementées, le risque n’est plus que les données manquent. Le risque est que les données soient partout, dupliquées, obsolètes, surhabilitées, insuffisamment classifiées et impossibles à prouver comme supprimées.

Un programme mature de gouvernance du cycle de vie des données ISO 27001 transforme cette mobilisation improvisée en processus maîtrisé.

Pourquoi la gouvernance du cycle de vie des données a changé en 2026

GDPR, NIS2 et DORA sont souvent traités comme trois listes de contrôle de conformité distinctes. C’est un mauvais modèle opérationnel. Ce sont différentes expressions réglementaires d’une même exigence métier : connaître ses données, les protéger selon le risque, les conserver pour le bon motif et prouver ce qui leur est arrivé.

L’Article 5 de GDPR exige que les données à caractère personnel soient traitées de manière licite, loyale et transparente, collectées pour des finalités déterminées, limitées à ce qui est nécessaire, exactes, conservées uniquement pendant la durée nécessaire et protégées contre le traitement non autorisé ou illicite, la perte accidentelle, la destruction ou les dommages. Article 5(2) ajoute le principe de responsabilité, ce qui signifie que le responsable du traitement doit être en mesure de démontrer la conformité. La gouvernance de la conservation au titre de GDPR n’est donc pas un exercice de tableur. Elle exige des éléments probants opérationnels.

NIS2 fait de la cybersécurité un sujet relevant de l’organe de direction. Article 20 définit les attentes de gouvernance applicables aux organes de direction, tandis que Article 21 impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées. Celles-ci comprennent l’analyse des risques, les politiques de sécurité des systèmes d’information, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le développement sécurisé, l’évaluation de l’efficacité, l’hygiène cyber, la formation, la cryptographie, le contrôle d’accès et la gestion des actifs. Les données inconnues ou obsolètes ne sont pas seulement un problème de vie privée. Elles constituent un problème de surface d’attaque.

DORA rend directement opposables aux entités financières la gestion des risques liés aux TIC, la résilience opérationnelle et la gestion des risques liés aux prestataires tiers de services TIC. Articles 5 et 6 placent la responsabilité sur l’organe de direction et exigent un cadre documenté de gestion des risques liés aux TIC. DORA attend également des entités financières qu’elles protègent la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, maintiennent des capacités de gestion des incidents, testent la résilience et gouvernent les dépendances vis-à-vis de tiers prestataires de services TIC.

DORA agit généralement comme le régime sectoriel spécifique pour les obligations opérationnelles de cybersécurité qui se recoupent pour les entités financières, tandis que NIS2 reste pertinente pour l’écosystème plus large, y compris les fournisseurs cloud, les prestataires de services managés et de nombreuses organisations d’infrastructure numérique. Cela compte parce qu’une fintech peut relever directement de DORA, tandis que son fournisseur SaaS ou son prestataire de services managés peut se trouver dans le périmètre NIS2.

ISO/IEC 27001:2022 est le système de management qui permet d’articuler ces obligations. Les clauses 4.1 à 4.4 exigent que l’organisation comprenne son contexte, les parties intéressées, les exigences légales et contractuelles et le périmètre du SMSI. Les clauses 5.1 à 5.3 exigent le leadership, les rôles et responsabilités. Les clauses 6.1.2 et 6.1.3 exigent l’appréciation des risques de sécurité de l’information, le traitement des risques, la sélection des contrôles, la comparaison avec l’Annexe A et la conservation d’informations documentées.

C’est pourquoi ISO 27001 n’est pas « une liste de contrôle de plus ». C’est le système d’exploitation de la gouvernance du cycle de vie des données.

Le modèle de cycle de vie : sept questions auxquelles chaque propriétaire des données doit répondre

Un modèle pratique de gouvernance du cycle de vie des données doit répondre à sept questions pour chaque catégorie de données importante :

1. De quelles données s’agit-il ?
2. Pourquoi les traitons-nous ?
3. Qui en est propriétaire ?
4. Quel est leur niveau de sensibilité ?
5. Où résident-elles et où sont-elles répliquées ?
6. Combien de temps doivent-elles être conservées, ou suspendues de suppression ?
7. Comment les protégeons-nous, les revoyons-nous, les supprimons-nous et le prouvons-nous ?

L’approche Clarysec relie ces questions aux contrôles ISO 27001 et aux éléments probants opérationnels. Dans la Zenith Blueprint : feuille de route de l’auditeur en 30 étapes, la phase Controls in Action traite l’inventaire des actifs et la classification comme des fondations opérationnelles, et non comme de la documentation administrative. L’étape 22 explique que l’inventaire doit inclure les actifs physiques, les actifs numériques, les actifs logiques, les actifs liés aux services et les personnes au regard des responsabilités, des accès et de l’exposition.

Le Zenith Blueprint indique :

« Chaque actif doit avoir un propriétaire défini, non pas la personne qui l’utilise, mais celle qui est responsable de son utilisation, de sa protection et de son cycle de vie. »

Cette phrase est le point de bascule. La gouvernance du cycle de vie des données échoue lorsque la propriété est attribuée à « l’IT » ou « au métier ». Elle fonctionne lorsqu’un propriétaire nommément responsable peut approuver la classification, la conservation, les accès, les décisions de conservation pour litige, la revue des archives et les éléments probants de suppression.

La Politique de gestion des actifs - PME de Clarysec renforce la même discipline :

« La propriété, la finalité, les privilèges d’accès et les échéances de renouvellement doivent être documentés. »

Cette exigence figure dans la Politique de gestion des actifs - PME, section « Exigences de mise en œuvre de la politique », clause 6.6.2. Sans propriété ni finalité, la conservation devient approximative et la suppression devient dangereuse.

La classification est le premier contrôle de conservation

De nombreuses organisations tentent de construire des calendriers de conservation avant de disposer d’une classification fiable. Cela échoue généralement.

Si un export de support client, un document RH, un enregistrement transactionnel ou un journal applicatif n’est pas classifié, l’organisation ne peut pas décider de manière cohérente qui doit y accéder, où il peut être stocké, s’il peut être utilisé en test, quel niveau de chiffrement il requiert, s’il doit être protégé par une conservation pour litige ou comment il doit être supprimé.

La Politique de classification et d’étiquetage des données - PME de Clarysec est directe :

« Tous les documents, fichiers et systèmes doivent être classifiés dès leur création ou leur réception. »

Cette exigence figure dans la Politique de classification et d’étiquetage des données - PME, section « Exigences de mise en œuvre de la politique », clause 6.1.1.

La Politique de classification et d’étiquetage des données d’entreprise relie la classification à l’ensemble de la chaîne de traitement :

« Tout traitement, transmission, accès, stockage et élimination des informations doit être aligné sur leur niveau de classification. Au minimum : »

Cette exigence figure dans la Politique de classification et d’étiquetage des données, section « Exigences de mise en œuvre de la politique », clause 6.3.1.

Le Zenith Blueprint ajoute des orientations de mise en œuvre pour le contrôle ISO/IEC 27002:2022 5.12, Classification de l’information. Un schéma de classification doit définir des niveaux tels que Public, Usage interne, Confidentiel et Restreint, inclure des critères fondés sur le préjudice résultant d’un accès non autorisé, d’une perte ou d’une modification, s’appliquer à toutes les formes d’information et rester indépendant du format ou du lieu de stockage.

En termes simples, la classification suit le contenu, pas le lieu de stockage.

Un jeu de données restreint ne devient pas moins risqué parce qu’il est passé d’une base de données à un outil d’analyse SaaS. Un enregistrement sous conservation pour litige ne perd pas son statut parce qu’il a été exporté en CSV. Les données à caractère personnel ne cessent pas d’être réglementées parce qu’elles apparaissent dans un message de journal.

La classification doit devenir une métadonnée dans le registre des actifs, le registre de conservation, la cartographie des données, la revue des accès, la liste de contrôle d’intégration cloud et l’enregistrement d’élimination.

L’ossature de contrôles ISO 27001 pour la gouvernance du cycle de vie

Les programmes de cycle de vie des données les plus efficaces reposent sur une ossature de contrôles. Cette ossature relie les contrôles ISO/IEC 27002:2022 aux éléments probants opérationnels.

Le Zenith Controls : guide de conformité croisée de Clarysec fournit le guide de conformité croisée pour ce travail. Pour la gouvernance du cycle de vie des données, trois contrôles sont centraux : 5.33 Protection des enregistrements, 5.34 Protection de la vie privée et des données à caractère personnel, et 8.10 Suppression de l’information.

Dans Zenith Controls, le contrôle ISO/IEC 27002:2022 5.33, Protection des enregistrements, est décrit au travers d’attributs de contrôle préventif soutenant la confidentialité, l’intégrité et la disponibilité, avec des capacités opérationnelles en matière juridique et de conformité, de gestion des actifs et de protection de l’information. Il se rattache à la sauvegarde, à la classification, à l’élimination sécurisée des équipements, aux exigences légales et réglementaires, à la conformité aux politiques, au contrôle d’accès et à la réponse aux incidents.

Le contrôle 5.34, Protection de la vie privée et des données à caractère personnel, soutient la confidentialité, l’intégrité et la disponibilité. Zenith Controls le relie à l’inventaire des actifs, au masquage des données, à la sécurité cloud, à la classification, au transfert d’information, au contrôle d’accès, à la gestion des identités et à la revue de sécurité des projets et des changements.

Le contrôle 8.10, Suppression de l’information, est préventif et centré sur la confidentialité. Zenith Controls le relie à l’étiquetage, au transfert d’information, à la propriété intellectuelle, à l’accès à privilèges, au masquage des données, à la prévention des fuites de données, à la protection des enregistrements, à la gestion des configurations et à la conformité aux politiques et normes.

Ensemble, ces contrôles créent la chaîne de cycle de vie.

Ce tableau n’est pas destiné uniquement aux auditeurs. C’est un modèle opérationnel pour les RSSI, DPO, responsables conformité et propriétaires métier qui ont besoin d’un langage de gouvernance commun entre vie privée, cybersécurité et résilience.

Construire le registre de conservation avant le processus de suppression

Un processus de suppression sans registre de conservation est dangereux. Il peut supprimer des enregistrements qui doivent être préservés, ignorer des données qui devraient être effacées ou ne pas distinguer la suppression opérationnelle de la suspension de suppression au titre d’une conservation pour litige.

La Politique de conservation des données et d’élimination sécurisée - PME de Clarysec fixe le socle :

« Un registre de conservation est établi et tenu à jour, recensant les principales catégories d’enregistrements, les exigences légales et les durées de conservation attribuées. »

Cette exigence figure dans la Politique de conservation des données et d’élimination sécurisée - PME, section « Exigences de gouvernance », clause 5.1.1.

Pour les programmes d’entreprise, la Politique de conservation et d’élimination des données de Clarysec définit l’objectif :

« Établir et appliquer des calendriers de conservation cohérents fondés sur la classification de l’information, le type d’actif, les lois applicables et l’exposition au risque. »

Cette exigence figure dans la Politique de conservation et d’élimination des données, section « Objectifs », clause 3.3.

Un registre de conservation exploitable doit relier les réalités juridiques, opérationnelles, de sécurité et de cloud.

Un registre de conservation d’une petite fintech pourrait inclure :

Le point essentiel est que la conservation doit être fondée sur les risques et étayée par des éléments probants. La limitation de la conservation au titre de GDPR impose que les données à caractère personnel ne soient pas conservées plus longtemps que nécessaire, mais elle permet aussi la conservation lorsqu’une obligation légale ou un besoin légitime existe. NIS2 attend la gestion des actifs, le contrôle d’accès et l’hygiène cyber. DORA attend une gestion documentée des risques liés aux TIC et une discipline de continuité. Le registre de conservation est l’endroit où ces obligations deviennent des décisions.

Les conservations pour litige doivent être intégrées aux systèmes, pas envoyées par courriel

Un programme mature de cycle de vie doit supprimer les données lorsqu’elles ne sont plus nécessaires, mais il ne doit pas supprimer les enregistrements soumis à conservation pour litige, investigation ou préservation pour audit.

La Politique de conservation des données et d’élimination sécurisée - PME est explicite :

« Aucun enregistrement soumis à conservation pour litige et suspension de suppression ne peut être détruit ou altéré, même si sa durée de conservation a expiré. »

Cette exigence figure dans la Politique de conservation des données et d’élimination sécurisée - PME, section « Exigences de mise en œuvre de la politique », clause 6.3.4.

La Politique de conservation et d’élimination des données d’entreprise applique le même principe de gouvernance :

« Si une conservation pour litige et suspension de suppression est émise, par exemple en cas de litige en cours, d’investigation ou d’audit, les données qui seraient autrement soumises à destruction doivent être préservées au-delà de leur durée normale de conservation. »

Cette exigence figure dans la Politique de conservation et d’élimination des données, section « Exigences de mise en œuvre de la politique », clause 6.4.1.

La conservation pour litige ne doit pas être un simple courriel susceptible d’atteindre, ou non, les administrateurs système. Elle doit être un statut dans le registre de conservation, lié aux systèmes, aux catégories d’enregistrements, aux dépositaires et à l’automatisation de la suppression.

Un processus de conservation pour litige défendable comprend :

• Un déclencheur, tel qu’un litige, une demande d’une autorité de régulation, un incident de sécurité, un audit ou une investigation interne
• Un responsable de la conservation, généralement la fonction juridique ou conformité
• Les catégories d’enregistrements, systèmes et dépositaires concernés
• Des instructions de suspension pour les tâches de suppression, l’expiration des sauvegardes et la purge des archives
• Des restrictions d’accès afin de préserver l’intégrité
• Une revue périodique de la conservation
• Une approbation de levée et un retour documenté à la conservation normale
• Les éléments probants indiquant ce qui a été préservé, par qui et quand

C’est particulièrement important pendant la réponse aux incidents. Les journaux, images, exports et communications peuvent devoir être préservés même lorsque la conservation normale a expiré. La suppression doit être suffisamment maîtrisée pour pouvoir être arrêtée, justifiée et reprise.

La suppression cloud et SaaS est le point de rupture de la gouvernance du cycle de vie

En 2026, la plupart des organisations ne perdent pas le contrôle du cycle de vie dans leur base de données principale. Elles le perdent dans les compartiments de stockage cloud, les exports SaaS, les plateformes de support, les pièces jointes CRM, les espaces collaboratifs, les journaux API, les entrepôts de données, les instantanés et les coffres de sauvegarde.

Le Zenith Blueprint, phase Controls in Action, étape 23, couvrant le contrôle ISO/IEC 27002:2022 5.23, Sécurité de l’information pour l’utilisation de services cloud, rappelle que les fournisseurs cloud sécurisent l’infrastructure, mais que le client reste responsable des données, des configurations, des politiques d’accès et de la préparation à la réponse aux incidents. Les compartiments mal configurés, les tableaux de bord publics et les autorisations IAM cloud excessives sont des défaillances de gouvernance, pas des défaillances du prestataire.

Il indique également que l’usage du cloud doit être traité comme une partie du SMSI. Les organisations doivent classer les services cloud, comprendre les données qui y sont traitées ou stockées, évaluer le niveau de sécurité du prestataire, établir des clauses contractuelles et gérer les changements ou l’extension du périmètre.

La Politique d’utilisation du cloud - PME de Clarysec traduit cela en exigences de départ :

« Confirmation des procédures de suppression sécurisée avant la clôture du compte »

Cette exigence figure dans la Politique d’utilisation du cloud - PME, section « Exigences de mise en œuvre de la politique », clause 6.3.5.

La Politique d’utilisation du cloud d’entreprise impose une gouvernance portant sur :

« La propriété des données et leur restitution ou suppression à la résiliation »

Cette exigence figure dans la Politique d’utilisation du cloud, section « Exigences de gouvernance », clause 5.4.1.

Pour les entités financières soumises à DORA, il ne s’agit pas d’une simple bonne pratique d’hygiène. DORA Article 28 impose la gestion des risques liés aux prestataires tiers de services TIC, un registre des accords contractuels TIC, des diligences précontractuelles, la prise en compte du risque de concentration, des droits d’audit et d’accès, des droits de résiliation et des stratégies de sortie pour les services TIC soutenant des fonctions critiques ou importantes. Article 30 exige des clauses contractuelles couvrant la description des services, les lieux de traitement et de stockage, les protections de disponibilité, d’authenticité, d’intégrité et de confidentialité, l’accès aux données, la reprise, la restitution, l’assistance en cas d’incident et l’accompagnement de transition.

Pour les entités NIS2, les décisions relatives aux fournisseurs doivent tenir compte de la cybersécurité de la chaîne d’approvisionnement ainsi que des vulnérabilités et de la résilience des produits et services. La gouvernance du cycle de vie des données doit donc s’étendre aux fournisseurs, et ne pas s’arrêter à l’approbation des achats.

Un sprint d’une semaine pour créer un pack de contrôles du cycle de vie

Ne commencez pas par essayer de cartographier tous les systèmes de l’entreprise. Commencez par un flux de données à haut risque et créez un pack de contrôles réutilisable.

Jour 1 : choisir un flux de données à haut risque

Sélectionnez un flux de données significatif, comme l’intégration des clients, le départ d’un collaborateur, la gestion des litiges de paiement, la gestion des tickets de support ou la journalisation de sécurité.

Pour une fintech, l’intégration client est un bon candidat, car elle peut inclure des documents d’identité, des données à caractère personnel, des enregistrements transactionnels, des signaux de fraude, des prestataires tiers de vérification, du stockage cloud, des accès support et une conservation réglementaire.

Jour 2 : construire le mini-inventaire des actifs et des données

Utilisez le Zenith Blueprint, phase Controls in Action, étape 22, contrôle ISO/IEC 27002:2022 5.9, pour recenser les actifs physiques, numériques, logiques, liés aux services et fondés sur les responsabilités.

Documentez les catégories de données collectées, les systèmes de référence, les plateformes SaaS recevant des copies, les interfaces de programmation (API), les intégrations, les rôles utilisateurs, les rôles à privilèges, les emplacements de sauvegarde, les emplacements d’archives, le propriétaire des données, le propriétaire du système, la classification, les indicateurs de données à caractère personnel et les dépendances fournisseurs.

L’objectif n’est pas la perfection. L’objectif est de révéler les points de réplication cachés.

Jour 3 : appliquer la logique de classification et d’accès

Appliquez la Politique de classification et d’étiquetage des données et classifiez chaque catégorie de données. Vérifiez ensuite si les autorisations d’accès reflètent la classification.

Les documents d’identité client restreints ne doivent pas être largement accessibles via les outils de support. Les journaux de sécurité contenant des identifiants ne doivent pas être exportés sans contrôle dans des feuilles de calcul non gérées. Les accès doivent correspondre au rôle, à la finalité, à l’approbation et aux éléments probants de revue.

Jour 4 : créer les entrées de conservation et de conservation pour litige

Utilisez la Politique de conservation et d’élimination des données et la Politique de conservation des données et d’élimination sécurisée - PME pour créer des entrées de conservation pour chaque catégorie d’enregistrement. Incluez la base légale, la finalité métier, l’exigence légale, la durée de conservation, la méthode de suppression et le statut de conservation pour litige.

S’il existe un litige, un incident ou une investigation en cours, marquez la suspension de suppression et consignez l’approbateur.

Jour 5 : vérifier la suppression cloud et fournisseur

Utilisez la Politique d’utilisation du cloud et la Politique d’utilisation du cloud - PME pour contrôler chaque fournisseur cloud ou SaaS du flux.

Confirmez les clauses de propriété des données, la restitution ou la suppression à la résiliation, les délais de suppression, le comportement de suppression des sauvegardes, les implications relatives aux sous-traitants ultérieurs, les éléments probants de suppression et les obligations d’assistance en cas d’incident.

Pour les environnements DORA, mettez à jour le registre des tiers prestataires de services TIC et le plan de sortie. Pour les environnements NIS2, documentez les considérations de risque fournisseur et les dépendances d’hygiène cyber.

Jour 6 : définir les éléments probants et la surveillance

Les éléments probants ne doivent pas être créés après la demande d’audit. Définissez-les lors de la conception du processus.

La Politique de conservation et d’élimination des données exige que l’élimination soit :

« Journalisée dans le registre d’élimination, incluant l’identifiant de l’actif, la classification, la méthode et l’opérateur »

Cette exigence figure dans la Politique de conservation et d’élimination des données, section « Exigences de mise en œuvre de la politique », clause 6.5.3.2.

Un pack d’éléments probants solide comprend les entrées du registre de conservation, les résultats de revue des accès, les tickets de suppression, les journaux du registre d’élimination, les confirmations de suppression cloud, les approbations de conservation pour litige, les paramètres de conservation des sauvegardes, les clauses contractuelles fournisseurs et les enregistrements de revue des archives.

Jour 7 : mettre à jour les risques et la Déclaration d’applicabilité

Mettez à jour le registre des risques ISO 27001 et la Déclaration d’applicabilité. Si la revue du cycle de vie a identifié des exports SaaS non gérés, une conservation indéfinie des sauvegardes, des accès excessifs, des clauses de suppression ambiguës ou une propriété manquante, il s’agit de risques à traiter.

Ce sprint d’une semaine crée un pack de contrôles du cycle de vie réutilisable. Répétez-le pour le flux de données suivant, puis le suivant.

Cartographie de conformité croisée : un programme de cycle de vie, plusieurs obligations

La valeur de la gouvernance du cycle de vie des données ISO 27001 réside dans le fait que les mêmes éléments probants peuvent soutenir les attentes en matière de vie privée, d’hygiène cyber, de risque lié aux TIC et d’audit.

NIST CSF 2.0 est utile pour la communication avec la direction, car sa fonction GOVERN attend que les obligations légales, réglementaires, contractuelles et de vie privée soient comprises et gérées, que l’appétence au risque soit établie, que la responsabilité de la direction soit claire, que les politiques soient appliquées et que les résultats soient revus. Ses résultats de gestion des actifs exigent des inventaires et une gestion du cycle de vie du matériel, des logiciels, des systèmes, des services et des données.

COBIT 2019 ajoute un langage de gouvernance adapté aux conseils d’administration et aux comités d’audit. Zenith Controls cartographie la Protection des enregistrements avec des processus COBIT tels que la gestion des sauvegardes et de la restauration, la gestion de la sécurité de l’information au repos et la gestion des enregistrements. Il cartographie la Protection de la vie privée et des données à caractère personnel avec la gouvernance de la vie privée, de la protection de l’information et du programme de protection de la vie privée. Il cartographie la Suppression de l’information avec les objectifs de risque et d’exploitation, renforçant la suppression comme un processus gouverné plutôt qu’une tâche de nettoyage ad hoc.

Ce que les auditeurs testeront réellement

Un programme de gouvernance du cycle de vie n’est crédible que s’il résiste aux tests d’audit.

Un auditeur ISO/IEC 27001:2022 commencera par le périmètre, les exigences des parties intéressées, les risques, la Déclaration d’applicabilité, les informations documentées et les éléments probants de contrôle opérationnel. Pour la gouvernance du cycle de vie, il faut s’attendre à un échantillonnage. L’auditeur peut sélectionner un contrat, un enregistrement RH, un ensemble de journaux ou un enregistrement financier et le suivre depuis sa création jusqu’à son élimination, en passant par le stockage, la sauvegarde et l’accès.

En utilisant l’angle d’audit de Zenith Controls pour la Protection des enregistrements, les auditeurs vérifient si les enregistrements dans le périmètre sont identifiés, si des calendriers de conservation existent, comment les enregistrements sont stockés, comment les accès sont contrôlés et comment l’intégrité est protégée.

Pour la Suppression de l’information, Zenith Controls explique que les auditeurs examinent les politiques de conservation et de suppression, les méthodes de suppression, les responsabilités, les journaux de suppression, les pistes d’audit, les certificats de destruction des supports et les éléments probants issus des outils d’assainissement. Ils examinent également si les sauvegardes et les archives sont couvertes.

Un auditeur vie privée ou données à caractère personnel examinera les politiques de protection de la vie privée, les inventaires de données, les DPIA ou PIA, les journaux de formation et les mesures techniques telles que le chiffrement au repos et en transit. Il peut échantillonner une demande de personne concernée, confirmer où les données pertinentes existent, vérifier si la suppression ou la restriction a été appliquée, et contrôler que les exceptions telles que la conservation pour litige sont justifiées.

Un évaluateur orienté NIST peut examiner l’alignement avec les résultats NIST CSF et les contrôles techniques tels que NIST SP 800-53 AU-11 Audit Record Retention, ainsi que les pratiques d’assainissement des supports inspirées de NIST SP 800-88. Il peut tester la restauration de sauvegardes, inspecter les règles de conservation des journaux, vérifier le chiffrement et contrôler si les données à caractère personnel inutiles sont minimisées.

Un auditeur COBIT ou ISACA se concentrera sur les processus de gouvernance et la qualité des éléments probants. Il demandera qui possède les enregistrements, si les contrôles des processus métier préservent l’intégrité, si la surveillance de la conformité détecte la surconservation et si l’exploitation inclut des tâches de suppression sécurisée.

Schémas courants de défaillance de la gouvernance du cycle de vie

Clarysec observe fréquemment les mêmes schémas dans les PME et les organisations réglementées.

Le premier est la classification sans application. Les données sont étiquetées confidentielles, mais les droits d’accès, le partage SaaS, les exports et les méthodes de suppression ne changent pas.

Le deuxième est la conservation sans réplicas. Le calendrier couvre le système principal, mais pas les journaux, les sauvegardes, les entrepôts de données, les exports de support, les feuilles de calcul ni les plateformes tierces.

Le troisième est la sortie du cloud sans preuve. Le contrat indique que les données seront supprimées, mais personne ne connaît la méthode de suppression, le délai, le comportement des sauvegardes ou le format des éléments probants.

Le quatrième est la conservation pour litige par courriel. Le service juridique envoie des instructions, mais les tâches de suppression continuent parce qu’aucun système opérationnel ne consomme le statut de conservation.

Le cinquième est la constitution des éléments probants d’audit après coup. Les équipes reconstituent manuellement les preuves de suppression et de conservation, créant des incohérences et des doutes évitables.

Le sixième est la résurrection par sauvegarde. Les données supprimées de la production réapparaissent lors d’une restauration ou de tests, parce que la conservation des sauvegardes et la logique de purge n’ont jamais été alignées sur la politique de conservation des données.

Chaque défaillance est évitable lorsque la classification, l’inventaire, la conservation, la gouvernance cloud, la suppression et les éléments probants sont conçus comme un cycle de vie unique.

Le modèle opérationnel Clarysec de gouvernance du cycle de vie des données

Le modèle Clarysec est simple : établir une ossature de contrôles du cycle de vie, puis y rattacher les obligations réglementaires et les éléments probants.

L’ossature de contrôles comprend :

• Inventaire des actifs et des données
• Propriété et finalité
• Classification et étiquetage
• Base légale et finalité du traitement
• Registre de conservation
• Conservation pour litige et suspension de suppression
• Clauses de cycle de vie cloud et fournisseur
• Contrôle d’accès et gouvernance des accès à privilèges
• Règles de sauvegarde et d’archivage
• Suppression sécurisée et registre d’élimination
• Journalisation, surveillance et éléments probants d’incident
• Revue périodique et mises à jour du traitement des risques

Le Zenith Blueprint fournit la feuille de route de mise en œuvre au travers des étapes Controls in Action pour l’inventaire, la classification, la gouvernance cloud et la suppression de l’information. Zenith Controls fournit le guide de conformité croisée montrant comment les contrôles ISO/IEC 27002:2022 se rattachent à GDPR, NIS2, DORA, NIST, COBIT, ISO/IEC 27701, ISO/IEC 27018, ISO/IEC 27017, ISO/IEC 27040, ISO 15489 et ISO 22301. Les politiques Clarysec fournissent les clauses opérationnelles que les équipes peuvent mettre en œuvre immédiatement.

La gouvernance du cycle de vie ne peut pas résider uniquement dans la vie privée, la sécurité ou l’IT. Elle doit être un système de management partagé.

Si votre organisation ne peut pas répondre à la question de savoir où résident les données réglementées, qui en est propriétaire, combien de temps elles sont conservées, ce qui empêche leur suppression pendant une conservation pour litige, comment les données SaaS sont supprimées et quels éléments probants démontrent l’élimination, le moment est venu d’y remédier.

Commencez par un flux de données à haut risque. Utilisez Zenith Blueprint : feuille de route de l’auditeur en 30 étapes pour construire les fondations d’inventaire et de classification. Utilisez Zenith Controls : guide de conformité croisée pour cartographier la Protection des enregistrements, la Protection de la vie privée et des données à caractère personnel et la Suppression de l’information avec GDPR, NIS2, DORA, NIST et COBIT. Mettez ensuite en œuvre les politiques Clarysec pertinentes, notamment la Politique de classification et d’étiquetage des données, la Politique de conservation et d’élimination des données, la Politique d’utilisation du cloud et leurs équivalents PME lorsque cela est approprié.

L’objectif pratique n’est pas de conserver aveuglément moins de données. Il est de conserver les bonnes données, pour le bon motif, sous les bons contrôles, pendant la bonne durée, avec des éléments probants capables de résister aux demandes des clients, des autorités de régulation, des auditeurs et du conseil d’administration.

Téléchargez les kits de politiques Clarysec, cartographiez vos contrôles avec Zenith Controls, ou utilisez le Zenith Blueprint pour exécuter votre premier sprint de contrôle du cycle de vie avant que la prochaine demande de suppression ne devienne un constat d’audit.