CODiLOG, 205 Avenue Georges Clemenceau, 92024 Nanterre
06 99 32 17 37
marketing@codilog.fr

Découvrez les dessous de la cartographie automatisée iSiCarto!

DEVENEZ SAP COMME JAMAIS !

La mise en conformité RGPD passe par plusieurs étapes, à commencer par être en mesure de documenter son SI d’un point de vue « Données Personnelles ».
Où se trouvent-elles dans le SI ? Quels types de données personnelles (Nom, n° CNI etc.) ? Dans quels processus sont-elles utilisées ? Et…comment s’y prendre pour établir une telle documentation ?

Il s’agit de revoir l’ensemble des processus en place, de déterminer quelles données personnelles y sont traitées, bref cartographier le SI. Manuellement, il s’agit là d’un travail à la fois long, mobilisant beaucoup d’acteurs, fastidieux, et répétitif. Or s’il est répétitif, il est automatisable : c’est ainsi que Codilog s’est attaqué à développer un outil permettant de réaliser 80 % du travail et établir une cartographie d’un SI SAP : iSiCarto.

En s’attaquant au sujet, Codilog cherche à s’appuyer sur ses outils de scan de données (développés notamment dans le cadre de son expertise de réorganisation de structure organisationnelle au sein d’un SI : une scission-fusion de société, une réorganisation de plan de compte, etc.).

Ces outils de scan sont basés sur l’usage d’un « élément de données » SAP dans la base données. L’élément de données est l’objet dans SAP qui permet de définir le type d’une donnée au travers d’un libellé (par exemple « Société ») avec son type et sa longueur. En scannant les éléments de données adéquats, les tables de la base concernées peuvent ainsi être identifiées.


Identifier les éléments de données définissant une donnée personnelle

Une 1ère difficulté est d’identifier les éléments de données définissant une donnée personnelle. En effet, autant une donnée organisationnelle – comme une société ou une division – est très structurée dans SAP, autant une données personnelle l’est beaucoup moins et plusieurs milliers d’éléments de données sont concernés.

Une part importante de l’outil iSiCarto a ainsi consisté dans le développement d’un algorithme permettant d’identifier les éléments de données correspondant aux données personnelles. L’algorithme, basé sur l’analyse et l’interprétation des libellés, permettent de classer ces éléments de données selon le type de données personnelle (nom, mail, n° CNI, n° sécurité sociale, au total quelques dizaines de typologies à classer).

En classant les mots et leurs associations, le système identifie et classe plusieurs milliers d’éléments de données, qui servent de base au scan de la base de données.

Les associations sont définies au travers de masques, les mots classés en dictionnaire. Un 1er état édite la liste des éléments de données identifiés via l’algorithme, qui peuvent être reclassés manuellement le cas échéant. Chaque reclassement manuel enrichit le dictionnaire, qui permet au système d’être un peu plus précis à chaque lancement.

En effet, un tel algorithme n’est pas parfait et doit permettre une revue manuelle : l’objectif est d’enrichir le système à chaque revue manuelle et ainsi augmenter progressivement la justesse de l’algorithme.

La liste exhaustive des tables de la base de données contenant des données personnelles peut ainsi être éditée en mentionnant le nombre d’enregistrements concernés et ressortir un ordre de grandeur d’utilisation des données personnelles.

Retrouver la donnée personnelle partout où elle se cache

Un 2ème scan consiste à retrouver la saisie de données personnelles sur des champs non prévus spécifiquement pour se faire, sans que l’élément de données puisse laisser présager de la présence d’un mail, d’un nom, n° IBAN. En effet les libellés de certains éléments de données  ne permettent pas de définir clairement s’il s’agit d’une données personnelle ou non, de plus des données personnelles sont saisies dans des champs non prévus à cet effet.

Sur la base des éléments identifiés lors du 1er scan, un nouveau scan – détourné – est lancé cette fois-ci sur l’ensemble des données du SI, avec pour objectif de retrouver des valeurs correspondant à celles identifiées comme des données personnelles lors du 1er scan, qui fait office de référentiel.

Et ainsi retrouver des noms dans des champs libres, retrouver des mails dans des noms, etc.

Un 2ème scan consiste à retrouver la saisie de données personnelles sur des champs non prévus spécifiquement pour se faire, sans que l’élément de données puisse laisser présager de la présence d’un mail, d’un nom, n° IBAN. En effet les libellés de certains éléments de données  ne permettent pas de définir clairement s’il s’agit d’une données personnelle ou non, de plus des données personnelles sont saisies dans des champs non prévus à cet effet.

Sur la base des éléments identifiés lors du 1er scan, un nouveau scan – détourné – est lancé cette fois-ci sur l’ensemble des données du SI, avec pour objectif de retrouver des valeurs correspondant à celles identifiées comme des données personnelles lors du 1er scan, qui fait office de référentiel.
Et ainsi retrouver des noms dans des champs libres, retrouver des mails dans des noms, etc.

 Retrouver les données personnelles indirectes

Par ailleurs l’outil effectue le scan des clés techniques du SI SAP identifiant un individu dans le système et devenant ainsi une données personnelle : il s’agit d’un n° matricule (fiche matricule SAP), d’un n° fournisseur (fiche fournisseur identifiant une personne en particulier) etc..

Ces clés techniques correspondent aux données de base du système et sont celles qui se retrouvent au sein des données transactionnelles. Par exemple une note de frais dans SAP ne stockera pas le nom de la personne mais son n° de matricule. La cartographie doit cependant mentionner la note de frais qui est un flux transactionnel concernant spécifiquement un individu.

En restitution les données personnelles proprement dites seront ainsi principalement mentionnées dans des fiches de données de base, les données transactionnelles ressortant principalement au travers des clés techniques identifiant une fiche de données de base.

L’objectif principal est de retrouver l’ensemble des données de base et processus SAP manipulant de la données personnelles, et ce façon exhaustive.

Le résultat constitue ainsi la base de la cartographie, à laquelle il convient d’ajouter des éléments hors SI (la données personnelles sort-t-elle de l’UE, quelle la personne responsable du traitement ?).

Article rédigé par Philippe Kerleo, consultant SAP expert RGPD

Notre événement 2019 sur la conformité au RGPD en vidéo.

Au programme : un point sur les enjeux actuels du RGPD effectué par le cabinet d’avocat YDES et une présentation des solutions de CODiLOG et réalisations chez ses clients. CODiLOG a démontré une expertise pour accompagner ses clients sur ce sujet avec différentes offres adaptées à chaque contexte. La conformité au RGPD n’aura plus de secret pour vous !

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *