Accueil »

Se conformer à la loi POPI
avec DataSecurity Plus

La loi sur la protection des informations personnelles (également appelée loi POPI ou POPIA, Protection of Personal Information Act) est une loi sur la protection des données promulguée par le Parlement sud-africain. Elle régit la collecte, l’utilisation, le stockage, la suppression et le traitement des informations personnelles par les organisations locales et étrangères en Afrique du Sud.


DataSecurity Plus de ManageEngine permet de répondre aux exigences de la loi POPI par ce qui suit :

  • Découverte des informations personnelles présentes dans les environnements de stockage de l'entreprise.
  • Surveillance de l'activité des utilisateurs dans les fichiers contenant des données sensibles.
  • Protection des fichiers contre les fuites de données accidentelles et malveillantes.
  • Fourniture d’informations avancées sur les autorisations de sécurité et le stockage des fichiers.
  • Simplification des audits POPIA grâce à des rapports détaillés.

Et bien plus encore.

Comment DataSecurity Plus aide à se conformer à la loi POPIA

Ce tableau répertorie les différentes sections de la POPIA traitées par DataSecurity Plus.

Ce que dit la section POPIACe que vous devez faireComment DataSecurity Plus vous aide

Section 10

Les informations personnelles ne peuvent être traitées que si, compte tenu de la finalité pour laquelle elles sont traitées, elles sont adéquates, pertinentes et non excessives.

Assurez-vous de ne pas avoir collecté d'informations personnelles qui ne sont pas nécessaires à vos activités.
Les informations personnelles que vous stockez ne doivent être traitées que par les employés qui en ont besoin pour effectuer leur travail.
Découverte des données :
Localise les informations personnelles d'une personne concernée qui sont stockées par votre organisation. Elle crée ensuite un inventaire, ce qui permet aux responsables de l'application de la loi de s'assurer que seules les données nécessaires sont stockées.

Analyse des autorisations :
Elle répertorie les utilisateurs qui ont accès aux données, ainsi que des données sur les actions que chaque utilisateur peut effectuer sur celles-ci.

Analyse des données ROT :
Elle identifie les fichiers anciens, périmés et non modifiés, et assure que les informations personnelles ne sont pas stockées au-delà de leur période de conservation prévue.

Section 11(4)

Si une personne concernée s'est opposée au traitement des informations personnelles, la partie responsable ne peut plus les traiter.

Recherchez toutes les instances des informations personnelles de la personne concernée et prenez les mesures nécessaires pour arrêter le traitement de ses données.
Correspondance de mots-clés :
Identifie les données correspondant à un mot-clé cible, ce qui permet de récupérer rapidement et avec précision les informations personnelles qui doivent être supprimées.

Automatisation des réponses :
Une fois la correspondance de mot-clé trouvée, les responsables de l'applicationde la loi peuvent automatiser sa suppression, sa mise en quarantaine ou effectuer une action personnalisée pour limiter son utilisation en exécutant des fichiers batch.

Section 14(1)

Les enregistrement d’informations personnelles ne doivent pas être conservés plus longtemps que nécessaire pour atteindre l'objectif pour lequel ils ont été collectés ou ensuite traités.

Les organisations ne doivent pas conserver les informations personnelles plus longtemps que nécessaire et doivent effectuer des examens périodiques afin d'identifier et de traiter les données stockées au-delà de la période prévue.
Analyse des fichiers :
Elle permet de développer une stratégie de conservation des données en détectant les données redondantes, obsolètes et triviales dans vos magasins de données et en supprimant les fichiers ayant dépassé la période de conservation.

Section 14(2)

Les enregistrements d’informations personnelles peuvent être conservés pendant des périodes supérieures à celles prévues au paragraphe (14(1)) à des fins historiques, statistiques ou de recherche si la partie responsable a établi des mesures de protection appropriées contre l'utilisation des enregistrements à d'autres fins.

Lorsqu'elles stockent des informations personnelles sensibles pendant de longues périodes, les organisations doivent mettre en place des contrôles pour assurer leur sécurité, leur intégrité et leur confidentialité.
Surveillance de l’intégrité des fichiers :
  1. Elle audite en temps réel toutes les tentatives réussies et infructueuses de création, de lecture, d'écriture, de suppression, de modification d'autorisation, de déplacement, de renommage, de copie ou de collage d'un fichier.
  2. Elle maintient une piste d'audit détaillée pour une analyse détaillée et la preuve de la conformité aux mandats réglementaires.

Sécurité des données :
  1. Elle déclenche des alertes instantanées en cas de volume suspect de modifications de fichiers ou si un utilisateur modifie un fichier critique en dehors des heures d'ouverture.
  2. Elle bloque les tentatives d'exfiltration de fichiers sensibles via des points terminaux.

Évaluation des autorisations effectives :
Elle permet d'assurer la confidentialité des données en analysant les autorisations effectives. Ainsi, les administrateurs de données peuvent vérifier que les utilisateurs ne disposent pas de privilèges supérieurs à ceux requis pour leur rôle.

Section 14(4)

Une partie responsable doit détruire ou supprimer un enregistrement d'informations personnelles ou l'anonymiser dès que cela est raisonnablement possible lorsqu'elle n'est plus autorisée à conserver cet enregistrement.

Supprimez les informations personnelles sensibles si elles atteignent leur délai de prescription, s'il n'est plus nécessaire de les traiter ou si la personne concernée demande leur suppression.
Découverte des données :
Identifiez les informations personnelles de la personne concernée que vous stockez avec une correspondance de mots-clés et d'expressions régulières, et supprimez-les du stockage de l'entreprise.

Analyse des données ROT :
Identifie et automatise la suppression des anciens fichiers.

Section 14(6)

La partie responsable doit limiter le traitement des informations personnelles.

Elle s’assure que l'accès aux informations personnelles sensibles est limité lorsqu'elles font l'objet d'un litige et ne fournit un accès que lorsque cela est nécessaire.
Principe du moindre privilège (POLP) :
  1. Il suit les modifications d'autorisation, répertorie les autorisations effectives, identifie les fichiers auxquels chaque employé peut accéder, trouve les utilisateurs disposant d'un privilège de contrôle total, évalue la vulnérabilité des fichiers, et autres, pour faciliter la mise en œuvre du POLP.
  2. Vous pouvez générer ces rapports d'autorisation chaque fois que cela est nécessaire, ou configurer des planifications de remise de rapports pour vérifier périodiquement les autorisations des fichiers.

Section 15(1)

Le traitement ultérieur des informations personnelles doit être conforme ou compatible avec l'objectif pour lequel elles ont été collectées.

Déployez des mesures pour détecter et limiter l'utilisation anormale des informations personnelles.
Alertes instantanées, réponses automatisées :
  1. Déclenchez des alertes lorsque les activités des utilisateurs sur les serveurs de fichiers, les clusters de repli, les serveurs de groupe de travail ou les stations de travail enfreignent les stratégies de gestion des données configurées.
  2. Vous pouvez également exécuter des scripts pour arrêter automatiquement les ordinateurs, les sessions des utilisateurs finaux, et autres.

Section 16(1)

Une partie responsable doit prendre des mesures raisonnablement réalisables pour s'assurer que les informations personnelles sont complètes, exactes, non trompeuses et mises à jour au besoin.

Identifiez et vérifiez l'exactitude des informations personnelles stockées par votre organisation.
Découverte des données :
  1. Utilisez la découverte de données pour trouver les informations personnelles de la personne concernée avec un ensemble de mots-clés uniques, par exemple, le numéro d'identification national, les données de carte bancaire, les identifiants de messagerie, et autres.
  2. Elle fournit des rapports détaillés sur l'emplacement des informations personnelles et les autorisations qui leur sont affectées.

Analyse des données ROT :
Elle localise les fichiers plus anciens qu'un âge fourni par l'utilisateur, ce qui permet de trouver les données qui doivent être mises à jour.

Section 17

Une partie responsable doit conserver la documentation de toutes les opérations de traitement.

Suivez toutes les actions effectuées sur les informations personnelles, de la collecte à la suppression.
Surveillance des modifications de fichiers :
  1. Elle audite les modifications des fichiers et des dossiers en temps réel avec des informations sur qui a accédé à quel fichier, quand et à partir d'où.
  2. Elle fournit des rapports détaillés pour les audits de conformité.
  3. Elle maintient une piste d'audit détaillée pour une analyse ultérieure et pour répondre aux besoins de conformité.

Section 19(1)

Une partie responsable doit sécuriser l'intégrité et la confidentialité des informations personnelles en sa possession ou sous son contrôle en prenant des mesures techniques et organisationnelles appropriées et raisonnables pour empêcher :

  1. La perte, l'endommagement ou la destruction non autorisée de informations personnelles.
  2. Et un accès ou un traitement illégal des informations personnelles.
Mettez en œuvre une solution de prévention des pertes de données (DLP, data loss prevention) pour empêcher les fuites accidentelles ou malveillantes d'informations personnelles sensibles.
Analyse des autorisations :
Elle répertorie tous les utilisateurs qui peuvent accéder à un fichier contenant des informations personnelles pour vérifier s'ils ont besoin de ce privilège.

Prévention de la perte de données sur les points terminaux :
  1. Elle surveille l'utilisation des appareils de stockage amovibles au niveau des points terminaux.
  2. Elle bloque le déplacement des fichiers sensibles vers des appareils USB ou par e-mail en tant que pièces jointes.
  3. Elle évite les fuites accidentelles de données en déclenchant des invites système sur le risque de déplacement de données critiques.
  4. Elle réduit les délais de réponse aux incidents grâce à des alertes instantanées et à un mécanisme automatisé de réponse aux menaces.

Détection des rançongiciels et réponse à leur menace :
Elle identifie les attaques potentielles de rançongiciels et arrête automatiquement les serveurs infectés, met en quarantaine les fichiers corrompus et limite la propagation du rançongiciel.

Section 19(2)

La partie responsable doit prendre des mesures raisonnables aux fins suivantes :

  1. Identifier tous les risques internes et externes raisonnablement prévisibles pour les informations personnelles en sa possession ou sous son contrôle.
  2. Établir et maintenir des mesures de protection appropriées contre les risques identifiés.
Identifier et évaluer les risques pour les informations personnelles que vous stockez. Mettre en œuvre des mesures pour atténuer le risque.
Évaluation des risques des données :
Elle calcule le score de risque des fichiers contenant des informations personnelles en analysant leurs autorisations, leur volume et le type de règles enfreintes, ainsi que les données d'audit, et autres.

Prévention de la perte de données sur les points terminaux :
Elle classe les fichiers critiques selon leur sensibilité et empêche leur fuite par e-mail, lecteurs USB, imprimantes, et autres.

Section 22(2)

Une notification de violation doit tenir compte de toutes les mesures raisonnablement nécessaires pour déterminer la portée de la compromission et pour rétablir l'intégrité du système d'information de la partie responsable.

Effectuez une enquête technico-légale sur les causes et la portée potentielles d'une violation de données.
Piste d'audit détaillée :
Elle conserve une piste d'audit complète de chaque action menant à la violation de données, ce qui permet d'analyser efficacement la cause première de la violation et les données compromises.

Section 23(1)

Une personne concernée a les droits suivants :

  1. Demander à une partie responsable de confirmer si elle détient des informations personnelles sur elle.
  2. Demander à une partie responsable l'enregistrement ou une description des informations personnelles sur elle détenues par la partie responsable, y compris des informations sur l'identité de toutes les parties qui ont ou ont eu accès à ces informations.
Localisez et partagez toutes les informations sur la personne concernée stockées par votre organisation, ainsi que les informations sur les personnes qui y ont accédé.
Découverte des données :
  1. Elle localise les instances d'informations personnelles stockées sur les serveurs de fichiers Windows et les clusters de repli.
  2. Elle analyse les numéros d'identification nationaux, les données de carte bancaire, les identifiants de messagerie et plus de cinquante autres types de données personnelles sensibles avec des règles et des politiques de découverte de données préconfigurées.

Analyse des autorisations de sécurité :
Elle trouve qui a quelles autorisations sur les fichiers contenant des informations personnelles.

Audit de l'accès aux fichiers :
Il audite l'activité des utilisateurs dans les fichiers et fournit des données sur qui a accédé à quel fichier, quand et d'où.

Section 24(1)

Une personne concernée peut demander à une partie responsable de corriger ou de supprimer les informations personnelles en sa possession concernant cette personne.

Localisez et révisez tous les cas d'informations inexactes sur la personne concernée.
Supprimez les données auxquelles la personne concernée s'oppose.
Découverte des données :
Utilisez la découverte de données pour trouver les informations personnelles de la personne concernée et exécutez des fichiers batch pour les supprimer ou les déplacer vers un emplacement sécurisé en vue d’un traitement ultérieur.

Section 26

Une partie responsable ne peut pas traiter d'informations personnelles relatives aux convictions religieuses ou philosophiques, à la race ou à l'origine ethnique, à l'appartenance syndicale, aux convictions politiques, à la santé ou à la vie sexuelle, les informations biométriques ou le comportement criminel d'une personne concernée, sauf autorisation en vertu des éléments 27 à 31 de la POPIA.

Les organisations ne peuvent pas collecter ni stocker les informations personnelles décrites sans l'autorisation nécessaire.
Découverte des données :
Elle analyse les magasins de données à la recherche de contenu correspondant à une expression régulière ou à un ensemble de mots clés. Ceci aide les organisations qui n'ont pas les autorisations nécessaires à détecter et à rectifier les instances d’informations personnelles pertinentes, et à éviter des pénalités pour non-conformité.

Évaluation des risques des données :
Elle génère des rapports sur les fichiers qui contiennent les informations personnelles ainsi que des données sur leur emplacement, qui y a accès, leur score de risque, et autres.

Clause d’exclusion de responsabilité : Une conformité complète avec le RGPD nécessite une variété de solutions, processus, personnels et technologies. Cette page est fournie seulement à titre informatif, et ne doit pas être considérée comme un conseil juridique sur la conformité à la loi POPI. ManageEngine n'offre aucune garantie, expresse, implicite ou légale, relatives aux informations contenues dans cette documentation.

Assurez la sécurité des données et obtenez la conformité PC

DataSecurity Plus aide à répondre aux exigences de nombreuses réglementations de conformité en protégeant les données au repos, en cours d'utilisation et en mouvement.

Recherchez-vous une solution SIEM unifiée qui intègre également des fonctions DLP ? Essayez Log360 dès aujourd’hui !

Essai 30 j