Discussion :

[Michael Guilloux]

Microsoft adopte une nouvelle norme de protection de la confidentialité des données de cloud
Qui n’interdit pas l’accès des gouvernements aux informations

La firme de Redmond a décidé de prendre une longueur d'avance sur ses concurrents dans le marché du cloud en garantissant à ses clients une protection de données conforme aux normes internationales.

Avec le contexte de cybersécurité actuel qui est dominé par de multiples opérations de violations de données personnelles, les entreprises et particuliers sont de plus en plus sceptiques quant à la confidentialité de leurs données hébergées sur le cloud.

Etant conscient de cette situation, Microsoft a adopté la nouvelle norme ISO/IEC 27018 de protection de la confidentialité des données de cloud pour rassurer ses clients. Il s'agit de la première norme en la matière et la firme de Redmond devient le premier fournisseur de services cloud à l'adopter.

La norme publiée l'an dernier, a été développée par l'Organisation internationale de normalisation (ISO). Répondant au contexte récent de violation massive de données, la norme définit un ensemble de règles à respecter pour garantir la confidentialité des données personnelles stockées sur le cloud.

Selon Microsoft, elle présente de nombreux avantages pour les clients, mais pour l'entreprise elle-même, « c'est une autre raison pour laquelle les clients peuvent migrer avec confiance vers le cloud de Microsoft ». A écrit Brad Smith, avocat général de Microsoft et vice-président exécutif des affaires juridiques et d'entreprises.

La norme suggère que les clients aient le plein contrôle de leurs données. Ces derniers seront informés de tout ce qui se passe, qu'il s'agisse de retour, de transfert ou de suppression de leurs données personnelles stockées sur le cloud.

« Nous allons non seulement vous laisser savoir où sont vos données, mais si nous travaillons avec d'autres entreprises qui ont besoin d'accéder à vos données, nous vous ferons savoir avec qui nous travaillons avec [ces données]. En outre, s'il y a un accès non autorisé aux informations personnelles identifiables ou un équipement de traitement ou des installations entraînant la perte, la divulgation ou la modification de ces informations, nous vous le ferons savoir. » A écrit Smith

La norme définit également un certain nombre de restrictions sur « la transmission des données sur les réseaux publics, le stockage sur un support transportable, et les processus appropriés pour les efforts de récupération et de restauration de données. »

Elle exige par ailleurs que toutes les personnes qui traitent les données personnelles soient soumises à une obligation de confidentialité. Les données ne devront pas non plus être utilisées à des fins publicitaires sans le consentement des clients.

Au vu des opérations d'espionnage sponsorisées par les Etats, le hic avec la nouvelle norme est qu'elle stipule que l'accès du gouvernement aux informations personnelles identifiables doit être notifié aux clients, à moins que cet accès soit interdit par la loi. Autrement dit, elle n'empêche pas les fournisseurs de services cloud de fournir des données personnelles aux gouvernements, même quand l'action est illégale. Et dans ce cas, les clients ne seront pas au courant de l’utilisation de leurs données.

Outre le fait que Microsoft ait adopté la nouvelle norme pour Azure, Le British Standards Institute a vérifié de façon indépendante qu'Office 365 et Dynamics CRM Online sont conformes au code de protection des informations personnelles identifiables dans le cloud public.


Source : Blog officiel Microsoft

Et vous?

La nouvelle norme suffira-t-elle à protéger la confidentialité des données de cloud?

[nchal]

C'est dans la continuité de la news sur leur partenariat avec Samsung (http://www.developpez.net/forums/d14...ccord-licence/).
Microsoft (et surtout Satya Nadella) veux gagner le marché du Cloud (et du mobile) et c'est grâce à de telles annonces qu'ils vont y parvenir. Reste à voir la réaction des concurrents...

[Saverok]

Comme dit par nchal, 2x lol, c'est dans la continuité de la nouvelle stratégie de Microsoft "cloud first, mobile first"
Pour le coup, je trouve ça pas mal et c'est agréable de voir un groupe aussi gros que Microsoft allait dans le même sens.

Avec de si grosses sociétés, chaque département a tendance à faire un peu ce qu'il veut et ça donne une impression de joyeux bordel.
Là, tous vont dans le même sens et avec une telle force de frappe, ça peut donner des choses surprenantes (dans tous les sens du terme)

[marc.collin]

en somme le client n'est pas plus en sécurité, autant utiliser un serveur en Iran

les données du client pourrait être utilisé sans son consentement ou même vendu à des entreprises américaines tel que snowden l'a dit..

[Chauve souris]

en somme le client n'est pas plus en sécurité, autant utiliser un serveur en Iran

Même pas puisque la NSA a infecté l'Iran avec des super virus.

les données du client pourrait être utilisé sans son consentement ou même vendu à des entreprises américaines tel que snowden l'a dit..

C'est le but de ces affaires de "nuages" qui, comme je le répète ne sont bonnes qu'à y stocker des données sans importances. Ce n'est quand même pas la carte mère à boire avec les techniques actuelles et les prix des composants en baisse de se bricoler (ou de le faire monter par un assembleur) un serveur de fichiers pro pour une entreprise de taille petite ou moyenne. Et si le serveur tire la langue sous le trafic on lui donne des frères jumeaux (clusters, si j'ai bien compris le concept, mais que je n'ai jamais pratiqué).

[nirgal76]

blog de MS :

la nouvelle norme stipule que l'accès du gouvernement aux informations personnelles identifiables doit être notifié aux clients, à moins que cet accès soit interdit par la loi.

Interprétation :

Autrement dit, elle n'empêche pas les fournisseurs de services cloud de fournir des données personnelles aux gouvernements, même quand l'action est illégale. Et dans ce cas, les clients ne seront pas au courant de l’utilisation de leurs données.

Ca c'est VOTRE interprétation mais nul part ils disent autoriser les accès aux gouvernements quand la loi l'interdit.

Moi je l'interprète le texte original autrement:
Si l'accès par le gouvernement est autorisé par la loi, ils laissent faire et le client est notifié. Sinon, si la loi ne l'autorise pas, pas d'accès.