DATA LIFECYCLE / PRACTICAL DESIGN

Du stockage à la suppression,
gérer où vont les données.

Que se passe-t-il si une adresse chiffrée reste dans les journaux en texte brut ou dans les index de recherche ? Que se passe-t-il si des données supprimées reviennent d'une sauvegarde ? La protection doit s’étendre au-delà du coffre-fort.

Séparez les dossiers professionnels des données personnelles.

Pour la vente au détail, conservez les identifiants proxy, les commandes, les produits et l'état de livraison dans les systèmes de l'entreprise. Stockez les noms, adresses et numéros de téléphone dans le coffre-fort. Les workflows de livraison autorisés récupèrent uniquement ce dont ils ont besoin.

Système de commande : ID de commande / ID proxy / produits / statut de livraison
Vault : nom, adresse et téléphone chiffrés mappés à un identifiant proxy
Livraison : récupérer les champs obligatoires uniquement pendant la période autorisée

Le stockage séparé réduit l'exposition directe de l'adresse en cas de vol de la base de données des commandes. Les historiques de commandes et les identifiants de proxy peuvent toujours identifier les personnes lorsqu'ils sont combinés avec d'autres informations. Les identifiants proxy ne garantissent pas l’anonymat.

À la collecte: Définir l’objectif et la rétention. Ne collectez pas de champs inutiles et n’enregistrez pas les corps de demande dans les journaux d’erreurs et d’accès.
Pendant le stockage: Séparez le texte chiffré des autorisations de déchiffrement. Incluez des réplicas, des caches et des copies d'analyse dans la gestion des données.
A l'utilisation: Autoriser les champs et le but. Renvoyez uniquement les données nécessaires et suivez les nouvelles copies créées par les transferts vers les partenaires.

Les index de recherche, avis de suppression aux partenaires et effacement irréversible des clés sont des exemples de conception. L’API actuelle ne fournit ni recherche, ni avis automatiques, ni effacement physique immédiat des sauvegardes. Consultez le guide pour le périmètre réel. Guide de démarrage

Comment rechercher des données chiffrées ?

Les noms occasionnels aléatoires produisent un texte chiffré différent pour la même adresse e-mail, empêchant ainsi les recherches de correspondance exacte ordinaires. Préférez les identifiants proxy ou les identifiants de commande. Si la correspondance des données personnelles est nécessaire, concevez un index de recherche distinct.

Exemple de correspondance exacte : HMAC à clé.

Normalisez les adresses e-mail à l’aide de règles définies et calculez un HMAC avec des clés de recherche spécifiques au organisation et au champ. Répétez l’opération pour les recherches, puis vérifiez les données sources après autorisation. La valeur de l'index concerne le texte chiffré correspondant et non déchiffrable.

Les hachages simples permettent de deviner les e-mails ou les numéros de téléphone des candidats. HMAC permet également de deviner si sa clé a été volée. Les valeurs et la fréquence répétées restent visibles. Limitez les requêtes groupées aux API de recherche.

Les recherches de sous-chaînes, de préfixes et de plages peuvent exposer des informations supplémentaires et augmenter les coûts de traitement. Évaluez ensemble la fonctionnalité, les fuites et les performances. La rotation des clés de recherche nécessite également la reconstruction des index.

Que signifie réellement la suppression ?

Supprimer des données d’un écran ne suffit pas. Bloquez la récupération, puis adressez les enregistrements sources, les index, les caches, les répliques et les partenaires. Enregistrez le comportement de conservation et de restauration des sauvegardes.

Arrêtez l'utilisation : rejetez les nouvelles récupérations et révoquez les jetons et les autorisations.
Supprimer les données actives : supprimez les enregistrements sources, les index et les répliques ; invalider les caches.
Informez les partenaires : demandez la suppression et suivez les actions terminées et en attente.
Gérez les sauvegardes : documentez ce qui reste jusqu'à l'expiration et conservez les enregistrements de suppression pour éviter toute réutilisation après la restauration.

Rendre les données illisibles en détruisant les clés.

L'effacement cryptographique rend les clés requises irrécupérables. Cela nécessite des clés dédiées et la suppression des sauvegardes, des clés encapsulées, des caches et des copies de service récupérables. La destruction d'une clé partagée affecte également les autres utilisateurs.

La désactivation réversible d’une clé n’est pas un effacement irréversible. Il ne supprime pas le texte brut déjà récupéré ni les copies chiffrées avec d'autres clés. Suivez séparément le blocage d’accès, la suppression des données actives et l’expiration des sauvegardes.

Récupérez en toute sécurité sans récupérer les données supprimées.

La restauration de la sauvegarde d'hier peut ramener les adresses supprimées aujourd'hui. Restaurez de manière isolée, réappliquez les enregistrements de suppression et les révocations en cours, puis validez avant de rouvrir l'accès. Les enregistrements de suppression ne peuvent pas exister uniquement dans cette même ancienne sauvegarde.

RPO : fenêtre de perte de données acceptable: Un objectif de 15 minutes signifie que jusqu'à 15 minutes de mises à jour récentes peuvent être perdues. Confirmez la réplication réelle, les sauvegardes et les résultats des tests.
RTO : il est temps de rétablir le service: Un objectif de deux heures comprend les clés, les autorisations, la relecture des suppressions et la validation, et pas seulement la restauration de la base de données. Ces chiffres sont des exemples et non des garanties de service.
Contrôles de récupération: Vérifiez que les données valides sont déchiffrées, que les données supprimées ne peuvent pas être récupérées, que les anciens jetons sont rejetés et que les échecs de clé arrêtent le traitement sans exposer les informations.
Éléments probants: Enregistrez l'acteur, la référence cible, l'heure, le résultat et la version clé. Évitez de copier des données personnelles ou des jetons bruts dans des journaux.

Preuve pour évaluer la conception.

Examinez les cartes d'emplacement des données, les autorisations de déchiffrement, les fuites de recherche, l'état de suppression et les résultats des tests de récupération pour évaluer la protection lors du stockage, de l'utilisation et de l'élimination.

Discuter de l'intégration technique