Thésaurisation des données : quand accumuler toujours plus devient un risque pour la cybersécurité
Les entreprises collectent et conservent chaque jour des volumes croissants de données : fichiers clients, journaux système, documents internes, sauvegardes et archives. Certaines informations sont indispensables aux opérations, tandis que d’autres restent stockées longtemps après avoir perdu leur utilité.
Cette accumulation, appelée thésaurisation des données, peut sembler anodine. Après tout, conserver des informations permet de retrouver des documents anciens, de suivre l’activité ou de répondre à des besoins futurs. Mais lorsque les entreprises accumulent des données sans stratégie claire de conservation, elles élargissent leur surface d’exposition et compliquent la protection de leur système d’information.
La question n’est donc pas seulement de savoir combien de données une entreprise possède, mais de déterminer lesquelles méritent réellement d’être conservées.
Qu’est-ce que la thésaurisation des données ?
La thésaurisation des données consiste à accumuler et à conserver des informations au-delà de ce qui est nécessaire, souvent sans politique précise de suppression ou de classification.
Ce phénomène peut avoir plusieurs origines. Les équipes conservent des fichiers par précaution, les services informatiques gardent d’anciennes sauvegardes et les applications génèrent des journaux qui ne sont jamais supprimés. À cela s’ajoutent les copies locales, les doublons et les données réparties entre différents services cloud.
Individuellement, ces pratiques peuvent sembler raisonnables. Ensemble, elles créent un patrimoine informationnel difficile à maîtriser.
Le problème apparaît lorsque l’entreprise ne sait plus exactement quelles données elle détient, où elles se trouvent, qui peut y accéder ni combien de temps elles doivent être conservées.
Pourquoi la thésaurisation des données représente-t-elle un risque pour la cybersécurité ?
Une surface d’exposition plus importante : plus une organisation conserve de données, plus elle doit protéger d’informations et d’emplacements de stockage. Les fichiers anciens peuvent rester accessibles sur des serveurs oubliés, des postes de travail ou des espaces cloud insuffisamment surveillés. Si un attaquant compromet un compte ou un système, ces emplacements peuvent lui offrir des possibilités supplémentaires d'accès aux informations. Les données historiques méritent une attention particulière : elles peuvent contenir des renseignements personnels, des informations commerciales confidentielles ou des documents techniques sensibles dont les équipes ont oublié l'existence. Réduire les données inutiles permet donc de limiter le volume d'informations susceptibles d'être exposées lors d'un incident.
Des conséquences plus lourdes en cas de fuite : une violation de données ne se limite pas aux informations utilisées quotidiennement. Des archives anciennes peuvent contenir des données personnelles, des contrats ou des échanges internes qui n'auraient plus dû être conservés. Plus le volume de données sensibles stockées est important, plus les conséquences potentielles d'un accès non autorisé peuvent être étendues. La thésaurisation des données peut également compliquer l'évaluation d'un incident. Les équipes de sécurité doivent déterminer quelles informations ont été consultées, si elles étaient sensibles et quelles personnes ou activités sont concernées.
Une visibilité réduite pour les équipes IT : les équipes informatiques doivent savoir quelles données existent, où elles sont stockées et quels utilisateurs peuvent y accéder. Or, les informations dispersées entre plusieurs environnements rendent cette visibilité plus difficile. Les doublons, les anciennes versions de fichiers et les archives mal classées compliquent les recherches et peuvent masquer les données qui nécessitent une protection renforcée. Sans inventaire fiable, les équipes risquent de consacrer du temps à protéger des informations inutiles tout en négligeant des données critiques.
Des difficultés de conformité et de gouvernance : la conservation des données doit répondre à des objectifs précis et tenir compte des obligations applicables. Dans le cadre du RGPD, les données personnelles ne doivent notamment pas être conservées plus longtemps que nécessaire au regard des finalités du traitement, sous réserve des exceptions prévues par la réglementation. Une politique de conservation imprécise peut donc entraîner des difficultés pour justifier pourquoi certaines informations sont toujours stockées. Il ne s'agit pas de supprimer systématiquement les archives : certaines doivent être conservées pour des raisons légales, contractuelles ou opérationnelles. L'enjeu est de définir des règles adaptées à chaque catégorie de données.
Comment réduire les risques liés à la thésaurisation des données ?
Les entreprises peuvent adopter une approche progressive, sans bouleverser leurs opérations.
Cartographier les données existantes : commencez par identifier les principaux emplacements de stockage : serveurs, postes de travail, espaces cloud, applications métier et sauvegardes. Repérez les données sensibles, les doublons et les archives dont la finalité n'est plus claire.
Définir une politique de conservation : établissez des règles précisant quelles données conserver, pendant combien de temps et pour quelles raisons. Ces règles doivent tenir compte des besoins métier, des exigences légales et des obligations contractuelles.
Contrôler les accès : appliquez le principe du moindre privilège : chaque utilisateur doit accéder uniquement aux informations nécessaires à ses fonctions. Révisez régulièrement les permissions et supprimez les accès devenus inutiles.
Automatiser les processus de cycle de vie : lorsque cela est possible, utilisez les fonctionnalités de gestion du stockage pour identifier les données anciennes, appliquer des règles de conservation et déclencher des opérations de suppression ou d'archivage après validation. L'automatisation doit toutefois intégrer les exceptions légales, les besoins métier et les obligations de conservation des sauvegardes.
Réévaluer régulièrement les pratiques : les besoins évoluent, les applications changent et de nouvelles données apparaissent. Des revues périodiques permettent de vérifier que les règles restent adaptées et que les responsabilités sont clairement définies.
Moins de données inutiles, une meilleure maîtrise des risques
La thésaurisation des données est souvent le résultat de décisions prises individuellement, sans vision globale de leur impact. Pourtant, conserver davantage d'informations ne signifie pas nécessairement être mieux préparé pour l'avenir.
Pour les équipes IT et sécurité, l'objectif est de trouver un équilibre entre disponibilité de l'information, continuité des opérations, protection des données et exigences de conservation.
En identifiant les informations réellement utiles, en contrôlant les accès et en appliquant des règles cohérentes de conservation, les entreprises peuvent réduire leur exposition aux incidents et améliorer leur gouvernance informatique.
Une stratégie de cybersécurité efficace ne consiste pas uniquement à protéger toutes les données stockées. Elle consiste aussi à savoir lesquelles conserver, pourquoi les conserver et quand il est temps de s'en séparer.