Le 23 janvier 2025 - La Semaine de la Protection des Données (du 27 au 31 janvier) et de la Journée de la Protection des Données (le 28 janvier), sont idéales pour souligner le rôle essentiel joué par la protection des données dans le succès des organisations. Les campagnes comme la Semaine de la protection des données sont bien plus que des événements annuels : elles doivent être vues comme des appels à l’action pour donner la priorité à la sécurité et à la confidentialité des données dans un paysage numérique en constante évolution.

Les 12 derniers mois étaient une période historique pour la protection de la vie privée au niveau mondial, grâce à de nouvelles lois, des décisions juridiques importantes et l’émergence de nouvelles technologies et de nouvelles tendances en terme de menaces. Il faut se préparer à une situation similaire en 2025. Les décisions importantes de la Cour de justice de l’UE (CJUE) auront des implications majeures pour les organisations opérant dans l’Union.

Les lois de cyber-sécurité adoptées en 2024, comme la NIS2, qui impliquent plus d'organisations dans le champ d'application et exige qu'elles mettent en œuvre des contrôles de cyber-sécurité stricts, le Cyber Resilience Act (CRA), qui impose un ensemble d'exigences de sécurité pour le matériel et les logiciels vendus dans la région, le Cyber Solidarity Act (CSA), conçu pour aider les états membres à mieux détecter, se préparer et répondre aux menaces à grande échelle.

Les efforts de gouvernance mondiale de l’IA ont inclus la loi européenne sur l’IA, l’adhésion de nouveaux signataires (dont le Royaume-Uni, l’UE et les USA) à la Convention-cadre du Conseil de l’Europe sur l’IA, et le cadre de gouvernance de la sécurité de l’IA chinois. L’impact de ceci se fera sentir en 2025 et au-delà, tandis que les nouvelles lois et les tendances en menaces à long terme créeront plus de complexité et d’urgence pour les équipes de sécurité et de conformité.

D’autres lois sur la protection des données incluent le projet de loi C-27 du Canada, le projet sur l’utilisation et l’accès aux données du Royaume-Uni et huit lois sur la confidentialité au niveau des États (Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota , Maryland). Le résultat accroîtra la pression sur les équipes de conformité et les chefs d’entreprise pour renforcer les mesures de protection des données.

Les lois adoptées en 2024 commenceront à porter leurs fruits et diverses exigences entreront en vigueur. La loi européenne sur l’IA prévoit l’interdiction des systèmes d’IA présentant des risques inacceptables (le social scoring et le scraping non ciblé de données faciales) dès le 2 février ; les exigences relatives aux modèles d’IA à usage général, dès le 2 août. Elle comportera un mandat pour les développeurs d’IA générative (GenAI) afin d’évaluer et d’atténuer les risques systémiques et de documenter les mesures de cyber-sécurité.

L’an dernier, les violations de données signalées publiquement aux US ont atteint plus de 353 millions d’utilisateurs finaux exposés à une fraude à l’identité. Les outils d’IA, les identifiants volés et les offres basées sur des services continuant de proliférer, on peut s’attendre à un déluge d’ attaques assez sophistiquées pouvant surprendre les équipes de sécurité non préparées. GenAI améliorera la qualité des campagnes d’ingénierie sociale et la reconnaissance des actifs vulnérables et exposés.

Les organisations ne parvenant pas à améliorer leur sécurité conformément aux meilleures pratiques risquent d’être soumises à l’examen des régulateurs mondiaux en confidentialité.
Tout comme après l’introduction du RGPD, les cybercriminels peuvent utiliser la menace d’une action réglementaire pour forcer les victimes à payer lors d’attaques d’extorsion. Si la NIS2 contribue à améliorer les organisations réglementées, il se peut que les acteurs malveillants reportent leur attention sur les organisations non soumises à la directive, telles que les petites entreprises.

Les systèmes d’IA doivent être préparés à traiter d’énormes volumes de données. Parfois, celles-ci proviennent du Web, parfois de comptes clients existants. Cela crée des problèmes potentiels de confidentialité si le consentement n’a pas été clairement obtenu (comme LinkedIn l’a découvert au Royaume-Uni). Les systèmes d’IA opaques peuvent compliquer la tâche des organisations souhaitant supprimer ou corriger des informations personnelles quand les utilisateurs le demandent. Plusieurs États américains envisagent déjà d’adopter des lois sur l’IA, comme le Colorado.

Des lors, 2025 pourrait être une année cruciale pour les équipes de sécurité et de conformité. La protection des données apparaît souvent comme un fardeau, mais il faut la considérer comme une opportunité. A une organisation, elle offre la possibilité de renforcer la fidélité et la confiance de ses clients, d’atténuer le risque de violations préjudiciables aux finances et à la réputation. Vu sous cet angle, les 12 prochains mois pourraient ouvrir la voie à de nouvelles possibilités commerciales.

Pour en savoir plus sur la manière dont une organisation peut se conformer à des réglementations spécifiques, rendez-vous sur https://www.eset.com/us/business/cybersecurity-compliance-for-business/ du site ESET.