Rendre les systèmes SAP eurocompatibles

Le règlement général sur la protection des données mis en place par l'Union européenne soulève la question de savoir ce qu'il faut concrètement entendre par là, notamment par rapport à la loi fédérale sur la protection des données (BDSG).

De nombreuses règles fixées par le RGPD se basent sur la loi fédérale sur la protection des données. Les extensions essentielles du règlement se situent dans les domaines de la protection des consommateurs, du "droit à l'oubli", de l'obligation de rendre compte et de la portabilité des données.

C'est là que les entreprises doivent agir

Alors que les règles relatives à la portabilité des données ou à la responsabilité impliquent des ajustements dans les processus internes des entreprises, la protection des consommateurs ou le droit à l'effacement nécessitent des changements directement dans la protection des données. Dans ce cas, les entreprises doivent s'assurer que les droits des personnes dont les données sont stockées sont respectés.

Le grand défi pour les entreprises est de mettre en œuvre les différentes exigences du RGPD dans la mesure nécessaire. Elles doivent avant tout s'activer suffisamment tôt pour pouvoir mettre en œuvre les nouvelles règles dans les délais impartis.

Tout d'abord, les entreprises doivent obtenir une vue d'ensemble détaillée des processus actuellement appliqués en interne et qui concernent les données à caractère personnel.

Ces processus sont le point de départ de toutes les mesures suivantes dans le cadre du RGPD et constituent donc l'un des facteurs essentiels pour une mise en œuvre réussie des nouvelles réglementations.

Les processus pertinents reposent sur une multitude de données nécessaires au traitement des données ou générées par celui-ci. Chaque entreprise devrait examiner ces données en détail et évaluer dans quelle mesure elles peuvent être minimisées ou si ces données sont vraiment nécessaires.

En outre, la qualité des données est un facteur extrêmement important. Plus la qualité des données concernées est bonne et plus elles correspondent à un profil de données défini, plus il est facile de définir des mesures permettant de mettre en œuvre raisonnablement les exigences du RGPD.

Afin de préparer la mise en œuvre du règlement général sur la protection des données de l'UE, les services de protection des données de chaque entreprise doivent élaborer des concepts sur la manière de préserver la sécurité de l'information dans leur propre traitement des données.

Ces concepts définissent à la fois le traitement des données personnelles dans le propre environnement informatique et décrivent en outre des directives et des processus qui prennent en compte les thèmes de la protection des données, de l'obligation de rendre compte, de la portabilité des données ou encore de la mise en œuvre du droit à l'effacement des personnes concernées.

La préservation de la sécurité de l'information est particulièrement urgente dans les systèmes d'application non productifs. Les systèmes de test sont généralement dotés de données proches de la production, et ce pour de bonnes raisons. Si des données "réelles" doivent être utilisées dans les systèmes de test, des mesures doivent impérativement être prises pour garantir la protection de toutes les données personnelles.

En particulier lorsqu'il s'agit de systèmes d'application auxquels ont également accès des agents externes qui travaillent ou vivent en dehors de l'UE. Pour ce faire, l'anonymisation ou la pseudo-anonymisation des données, appliquée aux données à caractère personnel, est une solution appropriée.

Le b.a.-ba de l'analyse

Une condition essentielle à l'anonymisation des données est d'identifier les processus qui traitent ou utilisent des données à caractère personnel.

Il existe des outils qui prennent en charge ces analyses, comme SNP System Scan ou encore SNP Business Process Analysis.

Alors que le SNP System Scan fournit une vue d'ensemble de votre système SAP et se réfère en particulier à l'étendue des structures organisationnelles ou à l'utilisation des modules, le SNP Business Process Analysis (BPA) sert à analyser et à visualiser les processus commerciaux et les flux de travail.

BPA est une solution standard. Elle est utilisée pour analyser et illustrer les processus de travail, notamment à partir des systèmes ERP SAP, EBS, JD Edwards ou PeopleSoft, sur la base des données de base et des données de mouvement. SNP BPA contient un extracteur qui collecte automatiquement les données nécessaires à partir du système SAP et met les informations obtenues à disposition pour une analyse ou une création de données ultérieures.

De telles évaluations sont également pertinentes dans le cadre de projets d'anonymisation. Elles permettent de comprendre quelles variantes de processus sont utilisées dans les systèmes d'application et comment une anonymisation les affecte.

La communication entre les systèmes est tout aussi importante que la définition des processus d'entreprise. Les interfaces permettent de garantir l'échange d'informations au sein de l'environnement système propre ainsi qu'avec les partenaires de communication externes.

Lors d'une anonymisation, il ne faut pas faire l'erreur de considérer un système d'application uniquement pour lui-même. Il faut analyser clairement quels systèmes communiquent entre eux et quelles données sont échangées entre ces systèmes.

Par exemple, si l'on anonymise des données uniquement dans un système ERP et que des données d'un autre système sont renvoyées sous une forme non anonymisée via une interface, l'anonymisation de certaines données peut devenir inefficace.

Le SNP Interface Scanner (IFS) apporte un soutien complet dans l'analyse en vérifiant et en documentant les interfaces avec un minimum d'effort. Les résultats montrent quels types d'interfaces sont utilisés entre quels systèmes et à quelle fréquence ils sont utilisés.

Différentes formes de représentation (tableau, graphique Visio, etc.) permettent de mettre à disposition et d'illustrer les évaluations les plus diverses. Une fois la phase d'analyse et de conception terminée, les processus convenus doivent être mis en œuvre.

La phase de conception consiste à déterminer quelles données doivent être anonymisées et de quelle manière. Pour cela, il faut un outil qui configure ces paramètres de manière simple et réutilisable et qui soit capable d'anonymiser des données de masse de manière cohérente avec un temps de traitement réduit.

SNP Data Provisioning & Masking (SNP DPM) permet de répondre entièrement à ces exigences. Ce produit est un logiciel standard pour la mise à disposition de données de test réalistes et sûres.

Le logiciel aide à raccourcir de manière décisive les processus de développement et de changement, permet des scénarios de test et de formation plus économiques et protège en même temps les données sensibles des clients et des produits contre les abus internes et externes.

SNP DPM fournit un composant de contrôle central qui permet de configurer des scénarios de migration et des règles d'anonymisation et de pseudonymisation. Les scénarios sont appliqués lors des migrations de données ou des cycles d'anonymisation ultérieurs en tant que logique d'altération des données.

Le stockage centralisé de ces ensembles de règles présente l'avantage d'être durablement disponible et réutilisable. De plus, les mêmes règles peuvent être appliquées à différents systèmes d'application.

Avec SNP DPM, des règles d'anonymisation sont mises à disposition, ce qui permet de travestir les contacts tels que les partenaires commerciaux, les clients, les fournisseurs, les collaborateurs ou encore les données transactionnelles telles que les données financières ou logistiques.

Les règles utilisent, entre autres, des mécanismes de substitution, des mécanismes de mélange aléatoire, des mécanismes de cryptage ou des mécanismes d'initialisation.

SNP DPM met à disposition d'autres fonctionnalités. Vous pouvez notamment utiliser l'extraction de données avec des critères de sélection définis ou des extractions en utilisant des objets de gestion prédéfinis. Ces objets de gestion prédéfinis représentent aussi bien des objets de données de base, par exemple des clients, que des processus de gestion, par exemple une commande client.

Ils contiennent donc les tables pertinentes en tenant compte des dépendances nécessaires entre elles afin de fournir de manière cohérente les données dépendantes pour les documents sélectionnés.

Le temps passe

Une année est vite passée et avant même de s'en rendre compte, nous sommes le 25 mai 2018. Commencez dès maintenant les activités préparatoires nécessaires à la mise en œuvre du règlement général sur la protection des données de l'UE.

Plus la mise en œuvre des éléments clés du règlement est préparée en détail, moins il y aura de problèmes lorsque la mise en œuvre effective aura lieu - et moins le risque de sanctions élevées pour non-conformité sera élevé.