FR3091369A1 - Plateforme de sécurisation de données - Google Patents

Abstract

La présente invention concerne une plateforme de sécurisation de données partagées ou échangées dans un système informatique, la plateforme comprenant au moins une architecture informatique dans lequel un serveur met en œuvre un procédé de sécurisation comprenant au moins une tokénisation ou une anonymisation de données. Figure 1

Description

Description

Titre de l'invention : Plateforme de sécurisation de données.

Domaine technique de l’invention

[0001] La présente invention concerne le domaine de la détection de violation de la propriété intellectuelle dans un environnement complètement distribué et ouvert au partage. Technique antérieure

[0002] De nos jours la donnée transite de façon très intense dans les réseaux et systèmes informatiques ouverts et distribués. Principalement dans des domaines comme le nuage (Cloud), l’apprentissage machine (machine learning) ou d’autres services où la donnée est considérée comme la matière première, parfois en combinaison avec les données collectées lors d’un usage d’internet par un serveur de collecte de données de ciblage puis exploitées.

[0003] Ainsi il est connu par la demande WO2013182639 un Procédé d'anonymisation de données aptes à concourir à l'identification d'un utilisateur lors de la collecte d'un profil dudit utilisateur par un serveur de collecte de données, ledit procédé comprenant les étapes suivantes :

- chiffrement des données de profil collectées par un terminal dudit utilisateur avec une clé de confidentialité partagée entre ledit terminal et le serveur de collecte de données,

- transmission des données de profil chiffrées et des données aptes à concourir à l'identification de l'utilisateur à un serveur d'anonymisation interposé entre le terminal et le serveur de collecte

- chiffrement des données aptes à concourir à l'identification de l'utilisateur avec une clé d'anonymisation dudit serveur d'anonymisation avant de relayer les données collectées chiffrées et les données d'identification anonymisées audit serveur de collecte et dans lequel

- dès réception des données de profil collectées chiffrées, le serveur de collecte sélectionne une annonce ciblée en fonction des données de profil déchiffrées,

- le serveur de collecte transmet au serveur d'anonymisation un message ciblé comprenant les données d'identification anonymisées et l'annonce ciblée sélectionnée et chiffrée avec une clé partagée avec le terminal,

- le serveur d'anonymisation transmet l'annonce ciblée au terminal utilisateur correspondant aux données d'identification déchiffrées.

Ce système enseigne l’utilisation d’un serveur d’anonymisation par un serveur de collecte de données.

[0004] Le document US2014304825 ou EP 2 734 953 enseigne un Procédé d'anonymisation de données comprenant: la lecture de paramètres d'une procédure d'anonymisation à partir d'une ressource de procédure d'anonymisation configurable, les paramètres de lecture définissant un flux de travail destiné à recevoir des données à anonymiser et à lui appliquer une ou plusieurs transformations, et dans lequel les paramètres de lecture comprennent également une indication d'un nombre autorisé de threads de traitement simultanés pour recevoir les données et appliquer la ou les transformations d'anonymisation; recevoir des données à anonymiser à partir d'une source de données conformément au flux de travail défini, la source de données étant identifiable à partir d'un ou plusieurs des paramètres de lecture; et appliquer une ou plusieurs transformations d'anonymisation aux données reçues en fonction du flux de travail défini, dans lequel la ou les transformations comprennent la transformation d'au moins une partie originale des données reçues en une partie transformée, et dans lequel les étapes consistant à recevoir des données et à appliquer une ou davantage de transformations d'anonymisation sont effectuées en utilisant pas plus que le nombre autorisé de threads de traitement simultanés indiqués dans les paramètres de lecture.

[0005] Ce document enseigne une limitation à un nombre de threads autorisés, ce qui est incompatible avec une plateforme publique s’adressant à tout utilisateur et à tout retraitement de la donnée en vue de sa protection.

[0006] Ce document limite la ou les transformations d'anonymisation appliquées qui sont une ou plusieurs sélectionnées dans le groupe comprenant: un hachage; rédiger; filtrer; trouver et remplacer; remplacement avec des valeurs aléatoires; validation; et masquage.

[0007] L’arrivée de la règlementation européenne dans le monde des services informatiques oblige les services traitant ou conservant des données personnelles à mettre en place des méthodes de sécurisation dans l’ensemble de leurs services. Cette contrainte a de forts impacts sur le business des services informatiques.

[0008] L’offre de services de sécurisation et/ou désensibilisation de données doit ne pas être limitée par un nombre de threads ou par le choix de transformations.

[0009] Les principaux problèmes techniques posés par l’offre d’un service de sécurisation et/ou désensibilisation de données sont liés:

[0010] - au Chiffrement :

[0011] - à la Disponibilité :

[0012] - à la Variabilité de la taille des données à sécuriser

Exposé de l'invention

[0013] La présente invention a pour but de pallier certains inconvénients de l'art antérieur et en particulier d’encourager et de faciliter le partage de données dans un environnement décentralisé, en offrant la possibilité au propriétaire de protéger ou et sécuriser tout ou partie de sa donnée.

[0014] A cet effet, la présente invention concerne une Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI), la plateforme comprenant :

[0015] · au moins un coffre dédié propre à chaque client du SI, sécurisé en fonction des besoins formulés par le client pour sauvegarder au moins des instructions de sécurisation transmises par le gestionnaire et/ou des données et comportant un fichier GDPR (Règlement Général sur la Protection des Données) qui permet de définir selon le type de données des traitements de sécurisation qui satisfont la norme GDPR ce fichier GDPR pouvant être mutualisé ou privatisé par le choix du gestionnaire;

• au moins un service multitraitement comportant au moins :

[0016] · un service requête comprenant une infrastructure informatique et logicielle pour analyser les requêtes transmises par chaque client via un(e) interface client/canal service web (webservice);

• au moins un serveur de traitement comportant au moins un processeur, une mémoire comprenant un ensemble de programmes/algorithmes dont l’exécution sur ledit processeur met en œuvre au moins une méthode d’anonymisation caractérisé en ce que l’ensemble de programmes/algorithmes met en œuvre un ensemble de méthodes de traitement de sécurisation des données des clients, pour les enregistrer dans une base de données, ledit ensemble comprenant au moins :

• au choix au moins une méthode de création de jeton (tokenisation) des données pour transformer les données en tokens ou jetons irréversibles ;

• ou au moins une méthode d’anonymisation/pseudonymisation des données • ou également une méthode de sécurisation combinée de tokenisation et d’anonymisation des données,

[0017] le choix de mise en œuvre au choix s’effectuant automatiquement par le résultat de l’analyse des besoins formulées par le client dans sa ou ses requêtes et des instructions de sécurisation formulées par le gestionnaire.

Selon une autre particularité, les requêtes sont transmises chiffrées depuis le terminal client par une clé attribuée à l’utilisateur ou l’entreprise, la plateforme recevant le certificat de l’utilisateur l’authentifie, recherche dans le coffre la clé de déchiffrement associée et déchiffre puis analyse les données du message de requête.

[0018] Selon une autre particularité, la Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) comprend au moins une interface gestionnaire pour permettre à un client gestionnaire d’un SI de transmettre des fichiers d’instructions de sécurisation de données propre à chaque client dudit SI.

Selon une autre particularité, la Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) comprend au moins un service de certificat comprenant au moins une infrastructure informatique comprenant au moins un processeur, une mémoire contenant au moins un programme dont l’exécution sur le processeur génère un certificat d’authentification propre à chaque client dudit SI pour se connecter à la plateforme et/ou au service multitraitement et émettre des requêtes de traitement de sécurisation de données.

Selon une autre particularité, le service multitraitement comprend un programme dont l’exécution sur ledit processeur permet de comparer des entrées effectuées par le client au fur et à mesure avec les données du fichier GDPR stocké dans le coffre dédié sécurisé propre audit client et générer une indication d’erreur ou une suggestion de modification satisfaisant la norme GDPR, les entrées validées par le client étant mémorisées dans ledit coffre et, dans le cas où le client surpasse (overule) la suggestion, d’envoyer systématiquement un message avec un token ou un message anonymisé d’un drapeau signalant la non compatibilité GDPR.

Selon une autre particularité, le service multitraitement repose sur une architecture multi-colonne et multi-site et comprend au moins deux centres de données ayant une structure en colonnes pour le traitement des données, au moins un dispositif réplicateur de données pour configurer chaque centre de données de manière à obtenir des données identiques dans chacune des colonnes des centres de données, au moins un répartiteur (4) de charge configuré pour diffuser dynamiquement et sans interruption des demandes de traitements indépendamment sur chacune des colonnes en fonction de leur charge, au moins un bus de données configuré pour permettre la synchronisation les données entre lesdits centres de données, chaque colonne comprenant au moins un serveur de traitement et au moins une base de données sécurisée.

Selon une autre particularité, chaque centre de données (10a, 10b) comprend au moins une couche de sécurité comportant au moins un dispositif comprenant au moins un processeur, une mémoire comportant un ensemble de programmes dont l’exécution permet de générer, stocker et protéger des clés cryptographiques pour sécuriser au moins les données traitées.

Selon une autre particularité, le serveur de traitement de données est connecté au dispositif de la couche de sécurité via un moyen de communication afin de récupérer des clés cryptographiques servant à sécuriser les données en fonction du type de traitement demandé par chaque client du SI.

Selon une autre particularité, le serveur de traitement de chaque centre de données comprend des moyens de communication filaires/sans fils pour transférer les données traitées dans au moins une base de données sécurisée et sécuriser l’accès aux dites données via les clés cryptographiques récupérées dans le dispositif de sécurité de la couche de sécurité.

Selon une autre particularité, le serveur de traitement de chaque centre de données comprend des moyens de communication filaires/sans fils pour se connecter au coffre dédié sécurisé de chaque client du SI et transférer les données traitées dudit client en fonction de ses préférences.

Selon une autre particularité, dans le cas d’une sécurisation combinée les données sont d’abord envoyées au module de tokenisation puis le module d’anonymisation ayant reçu les données pendant la tokenisation combine les données avec le jeton reçu du module de création de jetons (tokeniseur) pour générer une information tokeniséeanonymisée à envoyer au client.

[0019] Selon un autre but l’invention concerne également un serveur, comportant un ou plusieurs coffres informatiques et mettant en œuvre un service permettant à un système d’information (SI) accédant au serveur de mettre en place une sécurité pour ses données sensibles qu’il conserve et/ou qu’il manipule, en

[0020] - mettant en place les bonnes méthodes de sécurité, telles que l’anonymisation ou la pseudonymisation, vis-à-vis des données sensibles en configurant par une interface la configuration des instructions de sécurisations transmises par le gestionnaire et en autorisant leur sauvegarde dans une ou plusieurs zones de coffres dédiés à chaque gestionnaire,

[0021] - pouvant stocker de manière sécurisée et réversible pour un SI ses données sensibles dans un ou plusieurs coffres,

[0022] - apportant un choix de moyens d’anonymisation ou pseudonymisation ou de tokenisation combinables et /ou adaptables aux contraintes du SI par les choix effectués par le gestionnaire,

[0023] - pouvant redonner en toute sécurité les données sensibles vers le SI par chiffrement et ou signature et ou certificat d’authentification propre à chaque client dudit SI, [0024] - pouvant sécuriser tous types de données.

[0025] Selon une autre particularité, la désensibilisation d’une donnée peut être réalisée par association du jeton (Token) avec une concaténation des données personnelles (Nom, Prénom, Adresse, Numéro de téléphone,...) et mémorisation.

[0026] Ainsi, grâce à ce serveur, il est possible de soustraire un système d’information (SI) à la contrainte de protection des données sensibles qu’il contient et/ou manipule.

[0027] Un dernier but de l’invention est de proposer une architecture permettant la mise en œuvre du service.

[0028] Ce but est atteint par une architecture informatique en multi-colonne et multi-site, permettant le traitement par lots, comprenant une interface web applicative avec parefeu, un serveur tel que décrit dans la présente demande, ainsi qu’une base de données gérant un ou plusieurs coffres physiques ou logiques affectables, à chaque gestionnaire pour mémoriser les configurations de sécurité en fonction des données ou d’une pluralité d’utilisateurs pour mémoriser chaque certificat affecté à chaque utilisateur et d’autres services de sécurité pour chaque colonne, un dispositif répartiteur de charge permettant de diffuser les demandes indépendamment sur toutes les colonnes de l’architecture et un système de réplication permettant d’avoir des colonnes identiques, chaque serveur fournissant un accueil spécifique des gestionnaires de SI par une interface spécifique permettant la définition d’au moins une sécurisation de stockage pour chaque type de données et d’authentification des utilisateurs et pouvant fournir à chaque utilisateur un jeton servant de donnée pivot.

[0029] Selon une autre particularité, le serveur comporte un outil logiciel de désensibilisation des données utilisant deux familles de méthodes :

[0030] Une première de Généralisation pour annuler l’unicité de la donnée, telle que par masquage ou par K-anonymat/Agrégation ;

[0031] Une deuxième de Randomisation pour diminuer la précision de la donnée [0032] par ajout de bruit, par substitution d’une donnée par une autre en gardant en mémoire du coffre la substitution ou par permutation.

Selon une autre particularité, le serveur (60, 6a, 6b, 6c, 6d) fournit un accueil spécifique pour les gestionnaires de SI réalisant une interface pour le terminal du gestionnaire pour permettre au gestionnaire de définir par sélection dans plusieurs menus le type de données (personnelles, scientifiques, techniques , commerciales,) pour chaque type un attribut de définition de la donnée , pour personnel ,nom, téléphone, adresse domicile, employeur, adresse bureau, etc..., pour scientifique , calculs, nouveau produit, etc..., pour commerciale : nouveau marché, etc ...).

[0033] Selon une autre particularité, le serveur fournit un accueil spécifique des gestionnaires de SI réalisant une interface pour le terminal pour définir une pluralité d’utilisateurs avec pour chacun un certificat pour permettre une authentification de chaque utilisateur et une définition des types de données accessibles ou des types de services accessibles, ces données étant mémorisées dans un coffre spécifique à l’entreprise représentée par le gestionnaire.

[0034] Selon une autre particularité, le serveur fournissant un accueil spécifique des gestionnaires de SI réalise une interface pour définir selon les classifications des données les Règles de désensibilisation à respecter en fonction de la classification des données.

[0035] Les règles à respecter comprenant :

[0036] · L’individualisation : est-il toujours possible d’isoler un individu ?

• La corrélation : est-il possible de relier entre eux des ensembles de données distincts concernant un même individu ?

• L’inférence : peut-on déduire de l’information sur un individu ? [0037] Les règles de classifications des données comprenant :

[0038] · Directe : Donnée unique sur un individu (Numéro de téléphone,...) • Pseudo Directe : Données donnant accès à un individu unique (Corrélation de données) • Indirecte : Données dites non personnelles mais permettant de retrouver la personne (Jointure d’informations diverses).

[0039] Selon une autre particularité, la désensibilisation d’une donnée est réalisée en association du Token avec une concaténation des données personnelles (Nom, Prénom, Adresse, Numéro de téléphone,...) et mémorisation.

[0040] D’autres particularités et avantages de la présente invention sont détaillés dans la description qui suit.

Brève description des dessins

[0041] D'autres particularités et avantages de la présente invention apparaîtront plus clairement à la lecture de la description ci-après, faite en référence aux dessins annexés, dans lesquels :

[0042] [fig.l]

[0043] - la figure 1 représente schématiquement une architecture de système SI selon l’invention.

[0044] [fig.2]

[0045] - la figure 2 représente schématiquement l’utilisation de la plateforme comportant un coffre physique (71) et un logique (72) de sécurisation des données dans un échange avec différents utilisateurs.

[0046] [fig.3]

[0047] - la figure 3 présente le scénario qui permet d’effectuer le remplacement de la donnée par un jeton irréversible en conservant l’unicité de l’entrée ;

[0048] [fig.4]

[0049] - La figure 4 présente le scénario permettant d’effectuer l’anonymisation des données personnelles par l’application d’une méthode de floutage.;

[Fig 5]

- la figure 5 présente le scénario permettant à la fois d’anonymiser et de tokeniser (créer un jeton à partir ) des données ;

[Fig 6]

- la figure 6 représente un exemple de résultat d’utilisation des règles de désensibilisation de données appliquées à une carte bancaire

[Fig 7]

- la figure 7 représente un exemple d’algorithme de (tokenisation) génération d’un jeton correspondant à une donnée

Description des modes de réalisation

[0050]

[0051]

[0052]

[0053]

[0054]

[0055]

[0056]

La présente invention concerne une Architecture informatique pour la solution.

La solution fonctionne sur une architecture informatique en multi-colonnes et multisites permettant le traitement par lots comportant un dispositif répartiteur (4) de charge permettant de diffuser les demandes indépendamment sur toutes les colonnes. Un système de réplication permet d’avoir des colonnes identiques.

Cette architecture permet d’avoir un service proche du service continu malgré les évolutions techniques et sécuritaires qui sont imposées pour respecter une politique de sécurité.

Chaque client gestionnaire de SI est isolé sur un accueil spécifique par une interface spécifique permettant une sécurisation de stockage et d’authentification.

Dans certains modes de réalisation, la plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI), la plateforme comprend :

• au moins un coffre (71, 72) dédié propre à chaque client du SI, sécurisé en fonction des besoins formulés par le client pour sauvegarder au moins des instructions de sécurisation transmises par le gestionnaire et/ou des données et comportant un fichier GDPR (Règlement Général sur la Protection des Données) qui permet de définir selon le type de données des traitements de sécurisation qui satisfont la norme GDPR ce fichier GDPR pouvant être mutualisé ou privatisé par le choix du gestionnaire;

• au moins un service multitraitement comportant au moins :

• un service requête (64) comprenant une infrastructure informatique et logiciel pour analyser les requêtes transmises par chaque client via un(e) interface client/canal service web (webservice);

• au moins un serveur de traitement (60, 6a, 6b, 6c, 6d) comportant au moins un processeur, une mémoire comprenant un ensemble de programmes/algorithmes dont l’exécution sur ledit processeur met en œuvre au moins une méthode d’anonymisation caractérisé en ce que l’ensemble de programmes/algorithmes met en œuvre un ensemble de méthodes de traitement de sécurisation des données des clients, pour les enregistrer dans une base de données (7a, 7b, 7c, 7d), ledit ensemble comprenant au moins :

• au choix au moins une méthode de tokenisation des données pour transformer les données en tokens ou jetons irréversibles ;

• ou au moins une méthode d’anonymisation/pseudonymisation des données • ou également une méthode de sécurisation combinée de tokenisation et d’anonymisation des données, le choix de mise en œuvre au choix s’effectuant automatiquement par le résultat de l’analyse des besoins formulés par le client dans sa ou ses requêtes et des instructions de sécurisations formulées par le gestionnaire

[0057] La solution permet, par de l’apprentissage machine (machine leaming), à l’aide de nombreux cas d’usage, de pouvoir produire différents résultats en fonction des contraintes liées à la norme GDPR. La solution fournit au choix une ou plusieurs méthodes de désensibilisation des données, par exemple par anonymisation des données personnelles prédéfinie et/ou en fournissant un jeton de référence sur ces données.

[0058] L’avantage de cette solution est l’irréversibilité du jeton calculé qui devient utilisable comme donnée pivot dans les échanges de données personnelles au sein du SI.

[0059] La solution permet de redonner, à l’utilisateur qui dispose du jeton, les données en clair par simple appel à ce jeton sur le serveur.

[0060] La possibilité de traitement par lot (mode batch) autorise la prise en compte de fortes volumétries.

[0061] La solution fonctionne sur une architecture en quadri-colonne avec un répartiteur (4) de charge en entrée.

[0062] Cette architecture technique est repartie, par exemple, sur deux datacenters (centre de données (10a, 10b)).

[0063] Les colonnes sont synchronisées applicativement par un bus (5) de données (par exemple et de manière non limitative, un bus monétique) entre les deux datacenters.

[0064] La haute disponibilité est permise par une scalabilité de la solution, toute intervention est faite sans arrêt de service.

[0065] L'offre est déployée sur des serveurs physiques dédiés pour permettre un suivi des upgrades sécurité et applicatif permanents.

[0066] L'accueil des flux peut être fait en fonction de volumes attendus sur des coffres (71, 72) dédiés ou mutualisés.

[0067] Le coffre (71, 72) peut accueillir jusqu’à 200 Millions de données sensibles (PAN, IB AN ou autre..).

Les données sont stockées sur une base de données (7a, 7b, 7c, 7d) MYSQL.

L’architecture comporte également dans chaque colonne ou centre de données (10a, 10b) et de calcul (datacenter) une couche sécurité comportant au moins un dispositif (8a, 8b, 8c, 8d) ou un (Hardware Security Module HSM) Module Matériel de Sécurité qui est un appareil considéré comme inviolable offrant des fonctions cryptographiques. [0068] Les clés de sécurités sont présentes dans les HSM (8a, 8b, 8c, 8d) de la couche sécurité. Un module matériel de sécurité (HSM) est un processeur de chiffrement dédié, spécialement conçu pour offrir un service de sécurité qui consiste à générer, stocker et protéger des clefs cryptographiques de sécurité tout au long de leur cycle de vie.

[0069] Dans certains modes de réalisations, le service multitraitement repose sur une architecture multicolonnes et multisites et comprend au moins deux centres de données ayant une structure en colonnes pour le traitement des données, au moins un dispositif réplicateur pour configurer chaque centre de données (10a, 10b) de manière à obtenir des données identiques dans chacune des colonnes des centres de données, au moins un répartiteur (4) de charge configuré pour diffuser dynamiquement et sans interruption des demandes de traitements indépendamment sur chacune des colonnes en fonction de leur charge, au moins un bus (5) de données configuré pour permettre la synchronisation des données entre lesdits centres de données, chaque colonne comprenant au moins un serveur de traitement et au moins une base de données (7a, 7b, 7c, 7d) sécurisée.

[0070] Dans certains modes de réalisation, chaque centre de données (10a, 10b) comprend au moins une couche de sécurité comportant au moins un dispositif (8a, 8b, 8c, 8d) comprenant au moins un processeur, une mémoire comportant un ensemble de programmes dont l’exécution permet de générer, stocker et protéger des clés cryptographiques pour sécuriser au moins les données traitées.

[0071] Dans certains modes de réalisations, le serveur de traitement de données est connecté au dispositif (8a, 8b, 8c, 8d) de la couche de sécurité via un moyen de communication afin de récupérer des clés cryptographiques servant à sécuriser les données en fonction du type de traitement demandé par chaque client du SI.

[0072] Dans certains modes de réalisation, le serveur de traitement de chaque centre de données (10a, 10b) comprend des moyens de communication filaires/sans fils pour transférer les données traitées dans au moins une base de données (7a, 7b, 7c, 7d) sécurisée et sécuriser l’accès aux dites données via les clés cryptographiques récupérées dans le dispositif (8a, 8b, 8c, 8d) de sécurité de la couche de sécurité.

[0073] Dans certains modes de réalisation, le serveur de traitement de chaque centre de données (10a, 10b) comprend des moyens de communication filaires/sans fils pour se connecter au coffre (71, 72) dédié sécurisé de chaque client du SI et transférer les données traitées dudit client en fonction de ses préférences.

[0074] Dans certains modes de réalisation, les requêtes sont transmises chiffrées depuis le terminal client par une clé attribuée à l’utilisateur ou l’entreprise, la plateforme recevant le certificat de l’utilisateur l’authentifie, recherche dans le coffre (71, 72) la clé de déchiffrement associée et déchiffre puis analyse les données du message de requête.

[0075] Dans certains modes de réalisation, la plateforme comprend au moins une interface gestionnaire pour permettre à un client gestionnaire d’un SI de transmettre des fichiers d’instructions de sécurisation de données propre à chaque client dudit SI.

[0076] Un outil logiciel (Danny) utilise ces deux familles de méthodes :

Généralisation : Annuler l’unicité de la donnée

[0077] Masquage : consiste à modifier la donnée réelle (partiellement ou totalement)

[0078] K-anonymat/Agrégation : Les techniques de l’agrégation et du k-anonymat visent à empêcher qu’une personne concernée puisse être isolée en la regroupant avec, au moins, k autres individus.

[0079] Randomisation : Diminuer la précision de la donnée

[0080] Ajout de bruit : Rendre la donnée moins précise et plus générale.

[0081] Substitution : Substituer la donnée réelle par une autre

[0082] Permutation : Echange aléatoire de données.

[0083] Les connections au coffre (71, 72) se font par WEBServices avec un certificat client.

[0084] Dans certains modes de réalisation qu’elle comprend au moins un service de certificat comprenant au moins une infrastructure informatique comprenant au moins un processeur, une mémoire contenant au moins un programme dont l’exécution sur le processeur génère un certificat d’authentification propre à chaque client dudit SI pour se connecter à la plateforme et/ou au service multitraitement et émettre des requêtes de traitement de sécurisation de données.

[0085] Dans certains modes de réalisation, le service multitraitement comprend un programme dont l’exécution sur ledit processeur permet de comparer des entrées effectuées par le client au fur et à mesure avec les données du fichier GDPR stocké dans le coffre (71, 72) dédié sécurisé propre audit client et générer une indication d’erreur ou une suggestion de modification satisfaisant la norme GDPR, les entrées validées par le client étant mémorisées dans ledit coffre (71, 72) et, dans le cas où le client surpasse (overule) la suggestion, d’envoyer systématiquement un message avec un token ou un message anonymisé d’un drapeau signalant la non compatibilité GDPR.

[0086] L’outil utilise des techniques diverses et combinables de désensibilisation des données et au choix de l’utilisateur.

[0087] En effet bien que, l’anonymisation représente le niveau maximal de protection elle est connue également pour être un processus irréversible qui consiste à changer le contenu ou la structure même des données. Toutes les informations directement ou indirectement identifiantes sont supprimées ou modifiées, rendant à priori impossible toute ré-identification des personnes.

[0088] En raison de ces griefs, la pseudonymisation peut être une alternative à l’anonymisation. A la différence de cette dernière, la pseudonymisation est un processus réversible qui consiste à remplacer un attribut par un autre au sein d’un enregistrement. La pseudonymisation est une technique, par exemple, privilégiée dans les projets où l’identité d’un individu n’est pas essentielle

[0089] L’outil (63) (DANNY. L’outil Danny peut comprendre au moins un tokeniseur (62)) de désensibilisation des données est basé sur trois concepts imbriqués :

[0090] Premier concept : - La haute disponibilité.

[0091] La haute disponibilité est assurée par 3 points forts :

[0092] - un seul accès,

[0093] - une architecture multi-sites,

[0094] - une synchronisation fonctionnelle.

[0095] Authentification :

[0096] Contrôle de la validité du certificat (1 par client appelant) certifié par une autorité de certifications.

[0097] Cette authentification est une authentification mutuelle

[0098] De plus cette authentification permet l'entrée en zone PCI ; seul le numéro de série du certificat permet l'accès au coffre (71, 72) associé.

[0099] Les certificats sont renouvelés tous les deux ans

[0100] Deuxième concept : -La mise en place d’un grand nombre de méthodes d’anonymisation et ou pseudonymisation existantes sur le serveur pour répondre à tout besoin de sécurisation des données sensibles.

[0101] Pseudonymisation : Rendre impossible tout lien entre le pseudonyme et la personne réelle, donc la réversibilité est impossible.

[0102] Randomisation : Diminuer la précision de la donnée

[0103] Ajout de bruit : Rendre la donnée moins précise et plus générale.

[0104] Substitution : Substituer la donnée réelle par une autre

[0105] Permutation : Echange aléatoire de données

[0106] Chiffrement : Rendre la donnée non accessible

[0107] Format Preserving Encryption (BPS) : chiffrer les données sensibles tout en gardant leur format d’origine.

[0108] Généralisation : Annuler l’unicité de la donnée

[0109] Masquage : consiste à modifier la donnée réelle (partiellement ou totalement)

[0110] K-anonymat/Agrégation : Les techniques de l’agrégation et du k-anonymat visent à empêcher qu’une personne concernée puisse être isolée en la regroupant avec, au moins, k autres individus.

[0111] Troisième concept : -La tokenisation de données pivot dans les SI concernés.

[0112] La donnée pivot peut être composée d’une donnée élémentaire ou de la concaténation de plusieurs données. Cette donnée pivot sera chiffrée à l’aide d’un algorithme qui respectera l’unicité d’entrée. L’implémentation cryptographique permet l’irréversibilité et respecte l’unicité. Il est soumis à des tests de robustesse.

[0113] Dans certains modes de réalisation, un scénario permet à la fois d’anonymiser et de tokeniser des données. Ce traitement consiste à tokeniser une donnée pivot et à associer à ce token (3) des données complémentaires pour un retour client avec ces données anonymisées.

[0114] Dans certains modes de réalisation, dans le cas d’une sécurisation combinée les données sont d’abord envoyées au module de tokenisation puis le module d’anonymisation ayant reçu les données pendant la tokenisation combine les données avec le jeton reçu du tokeniseur (62) pour générer une information tokeniséeanonymisée à envoyer au client.

[0115] Les services associés peuvent être:

[0116] - Enrôlement donnée pivot,

[0117] - Enrichissement de la donnée pivot avec des données complémentaires,

[0118] - Lecture de données complémentaire,

[0119] - Consultation du jeton,

[0120] - Gestion du jeton.

Pour effectuer la tokenisation de la donnée sensible, le serveur pourra mettre en œuvre de préférence, dans son composant (63) logiciel de tokenisation un algorithme BPS de chiffrement (encryption), à n itérations, préservant le format de la donnée initiale. Le principe de cet algorithme est représenté sur la figure 7 et consiste dans la première itération à tronquer ou décomposer la donnée sensible en deux chaînes de caractères (CHA0 et CHB0) puis d’utiliser la chaîne de droite CHB0 dans une fonction F de chiffrement effectuant un chiffrement de (CHB0) à partir d’une clé K contenue dans HSM (8a, 8b, 8c, 8d) et d’une valeur de réglage Tr à laquelle est ajoutée la valeur zéro, le résultat de cette fonction étant ajouté à la chaîne de gauche (CHA0) pour former le résultat (CHAI) de la première itération et (CHB0) devenant (CHB1). Lors de la deuxième itération le résultat de gauche (CHAI) est utilisé dans une même fonction de chiffrement F pour effectuer un chiffrement de (CHAI) à partir de la même clé K et de la valeur de réglage TL à laquelle est ajoutée la valeur 1 pour générer le résultat ajouté à la chaîne de droite précédente (CHB1) pour constituer la chaîne droite suivante (CHB2), le résultat de gauche (CHAI) devenant (CHA2). Au bout de n itérations du processus les chaînes gauche (CHAw) et droite (CHBw) sont obtenues pour être concaténées et constituer le chiffré (CHy).

[0121] Un calcul de logarithme discret Ld est appliqué sur la valeur (CHy) pour générer le token (3).

[0122] Le module de tokenisation peut également mettre en œuvre un procédé FF3 de tokénisation de données de grande longueur (au-delà de 19 caractères, par exemple). Le procédé peut comprendre une combinaison de l’algorithme ou procédé BPS décrit cidessus et un algorithme dit de « courbes elliptiques ». Dans le procédé FF3, le procédé BPS est d’abord utilisé, avec au moins 10 tours ou itérations, le résultat est ensuite couplé à l’algorithme de « courbes elliptiques » pour lui donner (au token) cette fonction d’irréversibilité. L’emploi peut se faire comme suit :

[0123] · Selon le nombre de bits en entrée, on choisit, via un programme, la courbe adaptée parmi un ensemble de courbes elliptiques pré-enregistrées dans une mémoire dédiée ;

• On choisit un point P de la courbe, les composants de ce point sont codés sur un nombre précis de bits • On fait le calcul : Y=Y'.P, Y' représente la sortie de l’algorithme BPS • Le résultat de ce calcul est un point Y qui appartient à la courbe, ce qui veut dire que ses composants sont codés sur un nombre précis de bits • On effectue une compression, via un programme, de ce résultat : cette compression dépend du nombre de bits de l’entrée et permet d’avoir la bonne taille à la sortie • Linalement on fait une conversion du résultat alphanumérique (diviser le nombre de bits pas 6)

[0124]

[0125] Types de données tokenisables

[0126] Si la tokenisation de certains types de données nécessite des évolutions techniques ou autre de la solution de tokenisation, les solutions présentées seront remplacées par les nouvelles solutions sans modifier l’esprit de l’invention.

[0127] En standard, il existe actuellement 2 algorithmes, qui seront implémentés en fonction du choix du client.

[0128] · L’algorithme PAN qui permet la tokenisation uniquement du PAN (Primary

Account Number)

[0129] Le token généré conserve la longueur du PAN initial, de plus il peut ou non conserver certaines caractéristiques du PAN.,

[0130] · L’algorithme MULTI qui permet la tokenisation de n’importe quel type de données (PAN, BIC, IB AN, numéros de téléphones, des adresses mails ...), le champ à tokéniser est une zone de 10 à 96 caractères. La longueur du token généré pourra varier en fonction de la longueur de la donnée reçue en entrée.

[0131] Ces deux algorithmes respectent l'unicité ; l’avantage est qu’une donnée n'a qu'un seul token et donc peut servir de donnée de référence.

[0132] Pour la tokenisation de données personnelles (GDPR), l’outil (63) (DANNY) peut proposer une désensibilisation des données personnelles par association du Token avec une concaténation des données personnelles (Nom, Prénom, Adresse, Numéro de téléphone,...).

[0133] Le serveur (6a, 6b, 6c, 6d, 60) fournit un accueil spécifique pour les gestionnaires de SI réalisant une interface pour le terminal du gestionnaire pour permettre au gestionnaire de définir par sélection dans plusieurs menus le type de données (personnelles, scientifiques, techniques , commerciales,) pour chaque type un attribut de définition de la donnée , pour personnel :nom téléphone, adresse domicile, employeur, adresse bureau, etc..., pour scientifique : calculs, nouveau produit, etc..., pour commerciale : nouveau marché, etc ...), et associer à chaque type ou attribut un traitement de la donnée ou service associé pour la désensibiliser et la sécuriser.

[0134] Le serveur (60) permet ainsi au gestionnaire de déterminer les règles à respecter, les classifications de données, les méthodes de sécurisation à appliquer en fonction des types de données, il permet également de déterminer les certificats d’utilisateur associé à chaque utilisateur géré par le gestionnaire, le certificat devant être reçu par le serveur avant tout traitement de sécurisation de la donnée.

[0135] a. Les Règles à respecter sont par exemple moins l’une des suivantes:

[0136] L’individualisation : est-il toujours possible d’isoler un individu ?

[0137] La corrélation : est-il possible de relier entre eux des ensembles de données distincts concernant un même individu ?

[0138] L’inférence : peut-on déduire de l’information sur un individu ?

[0139] b. Les classification des données sont au moins l’une des suivantes :

[0140] Directe : Donnée unique sur un individu (Numéro de téléphone,...)

[0141] Pseudo Directe : Données donnant accès à un individu unique (Corrélation de donnée)

[0142] Indirecte : Données dites non personnelles mais permettant de retrouver la personne (Jointure d’informations diverses)

[0143] c. la ou les méthodes de sécurisation sont choisies au moins parmi l’une des suivantes :

[0144] L’anonymisation : irréversible

[0145] Pseudonymisation : réversible, hash ou token (FPE ou pas)

[0146] Randomisation : ajout de bruit, substitution

[0147] Généralisation : masquage, K-anonymat, L-diversité

[0148] Le serveur (60) permet au moins une proposition de désensibilisation des données, telle que par exemple :

[0149] Tokenisation des données personnelles et filtre, masque sur les données liées au besoin.

[0150] La figure 3 présente le scénario qui permet d’effectuer le remplacement de la donnée par un jeton (3) irréversible en conservant l’unicité de l’entrée. Comme on peut le voir sur cette figure, la donnée pivot étant le PAN ou une autre donnée définie lors de la configuration comme donnée pivot par le gestionnaire client, ces données seront envoyées chiffrées au serveur par une clé appartenant ou associée au client dans HSM et le serveur 60 déchiffrera la donnée, analysera celle -ci en fonction des critères définis lors de la configuration et déclenchera le traitement approprié, à savoir dans le cas présent la tokenisation.

[0151] Le couple donnée pivot / jeton est stocké en coffre (71, 72) sécurisé pour autoriser des

[0152] services associés mémorisés lors de la configuration tels que :

[0153] - Enrôlement autour d’une donnée pivot - Consultation avec un Token.

[0154] La figure 4 présente le scénario permettant d’effectuer l’anonymisation des données personnelles par l’application d’une méthode de floutage contenue dans l’outil (63). Les données ne sont pas conservées lors du traitement et lors de la configuration par le gestionnaire client les données floutées ont été définies comme des données nécessitant une irréversibilité et le gestionnaire a choisi le floutage comme type d’anonymisation dans son menu de configuration. La configuration étant mémorisée dans le coffre (71, 72) correspondant à l’entreprise représentée par le gestionnaire, chaque fois qu’un utilisateur authentifié adressera une donnée du même type de façon sécurisée, celle-ci sera retournée floutée à l’utilisateur

[0155] Service associé :

[0156] - Anonymisation de données avec méthode de floutage associée

[0157] La figure 5 présente le scénario permettant à la fois d’anonymiser et de tokeniser des données. La donnée (1) est constituée d’une donnée pivot et de données complémentaires. Le traitement consiste à tokeniser la donnée pivot (2) et à traiter la donnée complémentaire par l’outil d’anonymisation puis à associer ces données complémentaires anonymisées avec le jeton (3) pour un retour client du jeton avec ces données anonymisées.

[0158] Les services associés lors de la configuration peuvent être:

[0159] - Enrôlement donnée pivot,

- Enrichissement de la donnée pivot avec des données complémentaires,

- Lecture de données complémentaires,

- Consultation du jeton,

- Gestion du jeton.

[0160] L’invention se rapporte aussi à un serveur pour sécuriser les données.

[0161] Dans certains modes de réalisation, le serveur comporte un ou plusieurs coffres (71, 72) informatiques et mettant en œuvre un service permettant à un système d’information (SI) accédant au serveur de mettre en place une sécurité pour ses données sensibles qu’il conserve et/ou qu’il manipule, en

- mettant en place les bonnes méthodes de sécurité vis-à-vis des données sensibles en configurant par une interface la configuration des instructions de sécurisation transmises par le gestionnaire et en autorisant leur sauvegarde dans une ou plusieurs zones de coffres (71, 72) dédiés à chaque gestionnaire,

- pouvant stocker de manière sécurisée et réversible pour un SI ses données sensibles dans un ou plusieurs coffres (71, 72),

- apportant un choix de moyens d’anonymisation ou pseudonymisation ou de tokenisation combinables et /ou adaptables aux contraintes du SI par les choix effectués par le gestionnaire,

[0162] Dans certains modes de réalisation, la désensibilisation d’une donnée peut être réalisée par association du token avec une concaténation des données personnelles (Nom, Prénom, Adresse, Numéro de téléphone,...) et mémorisation.

[0163] L’invention se rapporte aussi à une architecture informatique pour le traitement sécurisé de données.

[0164] Dans certains modes de réalisation, l’architecture informatique est multi-colonnes et multi-sites. Elle permet le traitement par lots, et comprend une interface web applicative avec pare-feu (5a, 5b, 5c, 5d), un serveur ainsi qu’une base de données (7a, 7b, 7c, 7d) gérant un ou plusieurs coffres physiques (71) ou logiques (72) affectables, à chaque gestionnaire pour mémoriser les configurations de sécurité en fonction des données ou d’une pluralité d’utilisateurs pour mémoriser chaque certificat affecté à chaque utilisateur et d’autres services de sécurité pour chaque colonne, un dispositif répartiteur (4) de charge permettant de diffuser les demandes indépendamment sur toutes les colonnes de l’architecture et un système de réplication permettant d’avoir des colonnes identiques, chaque serveur fournissant un accueil spécifique des gestionnaires de SI par une interface spécifique permettant la définition d’au moins une sécurisation de stockage pour chaque type de données et d’authentification des utilisateurs et pouvant fournir à chaque utilisateur un jeton servant de donnée pivot.

[0165] Dans certains modes de réalisation, le serveur de l’architecture informatique comporte un outil logiciel de désensibilisation des données utilisant deux familles de méthodes :

Une première de Généralisation pour annuler l’unicité de la donnée , telle que par Masquage ou par K-anonymat/Agrégation ;

Une deuxième de Randomisation pour diminuer la précision de la donnée par Ajout de bruit, par substitution d’une donnée par une autre en gardant en mémoire du coffre (71, 72) la substitution ou par permutation.

[0166] Dans certains modes de réalisation, le serveur (6a, 6b, 6c, 6d, 60) fournit un accueil spécifique pour les gestionnaires de SI réalisant une interface pour le terminal du gestionnaire pour permettre au gestionnaire de définir par sélection dans plusieurs menus le type de données (personnelles, scientifiques, techniques , commerciales,) pour chaque type un attribut de définition de la donnée , pour personnel :nom téléphone, adresse domicile, employeur, adresse bureau, etc..., pour scientifique : calculs, nouveau produit, etc..., pour commerciale : nouveau marché, etc ...).

[0167] Dans certains modes de réalisation, le serveur fournit un accueil spécifique des gestionnaires de SI réalisant une interface pour le terminal pour définir une pluralités d’utilisateurs avec pour chacun un certificat pour permettre une authentification de chaque utilisateur et une définition des types de données accessibles ou des types de services accessibles, ces données étant mémorisées dans un coffre (71, 72) spécifique à l’entreprise représentée par le gestionnaire.

[0168] Dans certains modes de réalisations, le serveur fournissant un accueil spécifique des gestionnaires de SI réalise une interface pour définir selon les classifications des données les Règles de désensibilisation à respecter en fonction de la classification des données.

[0169] Dans certains modes de réalisation, les règles à respecter, dans l’architecture informatique ou le serveur, sont :

L’individualisation : est-il toujours possible d’isoler un individu ?

La corrélation : est-il possible de relier entre eux des ensembles de données distincts concernant un même individu ?

L’inférence : peut-on déduire de l’information sur un individu ?

[0170] Dans certains modes de réalisation, les règles de classification des données, dans l’architecture informatique ou le serveur, sont :

Directe : Donnée unique sur un individu (Numéro de téléphone,...)

Pseudo Directe : Données donnant accès à un individu unique (Corrélation de donnée)

Indirecte : Données dites non personnelles mais permettant de retrouver la personne (Jointure d’informations diverses).

[0171] Dans certains modes de réalisation, la désensibilisation d’une donnée, dans l’architecture informatique ou le serveur, est réalisée en association du token avec une concaténation des données personnelles (Nom, Prénom, Adresse, Numéro de téléphone,...) et mémorisation.

[0172] La présente demande décrit diverses caractéristiques techniques et avantages en référence aux figures et/ou à divers modes de réalisation. L’homme de métier comprendra que les caractéristiques techniques d’un mode de réalisation donné peuvent en fait être combinées avec des caractéristiques d’un autre mode de réalisation à moins que l’inverse ne soit explicitement mentionné ou qu’il ne soit évident que ces caractéristiques sont incompatibles ou que la combinaison ne fournisse pas une solution à au moins un des problèmes techniques mentionnés dans la présente demande. De plus, les caractéristiques techniques décrites dans un mode de réalisation donné peuvent être isolées des autres caractéristiques de ce mode à moins que l’inverse ne soit explicitement mentionné.

[0173] Il doit être évident pour les personnes versées dans l'art que la présente invention permet des modes de réalisation sous de nombreuses autres formes spécifiques sans l'éloigner du domaine d'application de l'invention comme revendiqué. Par conséquent, les présents modes de réalisation doivent être considérés à titre d'illustration, mais peuvent être modifiés dans le domaine défini par la portée des revendications jointes, et l'invention ne doit pas être limitée aux détails donnés ci-dessus.

[0174] On comprendra aisément à la lecture de la présente demande que les composants de la présente invention, comme généralement décrits et illustrés dans les figures, peuvent être arrangés et conçus selon une grande variété de configurations différentes. Ainsi, la description de la présente invention et les figures afférentes ne sont pas prévues pour limiter la portée de l'invention mais représentent simplement des modes de réalisation choisis.

[0175] Plusieurs unités fonctionnelles décrites dans la présente description ont été nommées « modules », afin de souligner leur indépendance d'exécution. Par exemple, un module peut être mis en œuvre par circuit électronique, tel qu’un circuit intégré par exemple ou par d’autre types d’arrangement de composants, tels que par exemple des semiconducteurs, des portes logiques, des transistors ou d'autres composants discrets. De tels modules peuvent également être mis en œuvre par une ou plusieurs application(s) logicielle(s) ou portion(s) de code exécutable(s) au sein d’au moins un environnement logiciel, pour l'exécution par divers types de processeurs et ce, quelque soit le langage utilisé. Un module identifié peut, par exemple, comporter un ou plusieurs blocs physiques ou logiques d’instructions machine qui peuvent, par exemple, être organisés en objet, procédé, ou fonction. De plus, les routines et instructions d'un module identifié n'ont pas besoin d'être physiquement localisés ensemble, mais peuvent comporter des instructions disparates stockées dans différents endroits qui, une fois réunis fonctionnellement et logiquement ensemble, forment le module et réalisent le but indiqué pour le module.

[0176] En effet, un module peut être une instruction simple de code exécutable, ou une pluralité d'instructions, et peut même être distribué parmi plusieurs différents segments de code ou parmi différents programmes et stocké dans plusieurs blocs de mémoires. De même, des données opérationnelles peuvent être identifiées et illustrées dans des modules, et peuvent être incorporées sous n'importe quelle forme appropriée et être organisées dans n'importe quel type approprié de structure de données. Les données opérationnelles peuvent être rassemblées ou peuvent être réparties sur différents endroits incluant différents dispositifs de stockage finis, et peuvent exister, au moins partiellement, simplement en tant que signaux électroniques sur un système ou un réseau. De plus, par le terme système, on entend ici tout type de terminal ou dispositif agencé pour effectuer les fonctions décrites en référence aux modules. Le système comporte des moyens de traitement de données permettant de réaliser ces fonctions décrites et pourra donc comporter des circuits spécifiques réalisant ces fonctions ou comporter, d’une manière générale, des ressources informatiques permettant d’exécuter les instructions décrites précédemment.

[0177] Les références dans la présente description à une implémentation, un mode ou une variante de réalisation signifie qu'un dispositif, ou un module, ou une structure, ou une caractéristique particulière décrite est inclus dans au moins un mode de réalisation de la présente invention et que les différents exemples ne se rapportent pas forcément au même mode de réalisation.

[0178] En outre, les dispositifs, les structures, ou les caractéristiques décrites peuvent être combinés de n'importe quelle façon appropriée dans un ou plusieurs modes de réalisation, à moins qu’ils ne soient incompatibles entre eux. Dans la présente description, de nombreux détails spécifiques sont fournis à titre illustratif et nullement limitatif, de façon à détailler précisément l’invention. L’homme de métier comprendra cependant que l'invention peut être réalisée en l’absence d’un ou plusieurs de ces détails spécifiques ou avec des variantes. A d’autres occasions, certains aspects ne sont pas détaillés de façon à éviter d’obscurcir et alourdir la présente description et l’homme de métier comprendra que des moyens divers et variés pourront être utilisés et que l’invention n’est pas limitée aux seuls exemples décrits.

[0179] La présente demande décrit diverses caractéristiques techniques et avantages en référence aux figures et/ou à divers modes de réalisation. L’homme de métier comprendra que les caractéristiques techniques d’un mode de réalisation donné peuvent en fait être combinées avec des caractéristiques d’un autre mode de réalisation à moins que l’inverse ne soit explicitement mentionné ou qu’il ne soit évident que ces caractéristiques sont incompatibles ou que la combinaison ne fournisse pas une solution à au moins un des problèmes techniques mentionnés dans la présente demande. De plus, les caractéristiques techniques décrites dans un mode de réalisation donné peuvent être isolées des autres caractéristiques de ce mode à moins que l’inverse ne soit explicitement mentionné.

[0180] Il doit être évident pour les personnes versées dans l'art que la présente invention permet des modes de réalisation sous de nombreuses autres formes spécifiques sans l'éloigner du domaine d'application de l'invention comme revendiqué. Par conséquent, les présents modes de réalisation doivent être considérés à titre d'illustration, mais peuvent être modifiés dans le domaine défini par la protection demandée, et l'invention ne doit pas être limitée aux détails donnés ci-dessus.

[0181] Après avoir décrit et illustré les principes de l'invention en référence à divers modes de réalisation, il sera reconnu que les divers modes de réalisation peuvent être modifiés en termes d'agencement et de détail sans s'écarter de ces principes. On comprendra que les différents concepts et aspects de l'invention décrits ci-dessus peuvent être mis en œuvre, par exemple, en utilisant un ou plusieurs processeurs, modules, instructions exécutables par machine, ordinateurs et / ou serveurs. Il convient de comprendre que les concepts et les aspects de l'invention décrits ici ne sont pas liés ni limités à un type particulier d'environnement informatique, sauf indication contraire. Différents types d'environnements informatiques spécialisés peuvent être utilisés avec ou effectuer des opérations conformément aux enseignements décrits ici. Les éléments des modes de réalisation montrés dans le logiciel peuvent être implémentés dans le matériel et inversement.

[0182] Un ou plusieurs dispositifs, processeurs ou dispositifs de traitement peuvent être configurés pour exécuter la ou les fonctions de chacun des éléments et modules de l'agencement structurel décrit ici. Par exemple, le ou les dispositifs, processeurs ou dispositifs de traitement peuvent être configurés pour exécuter une ou plusieurs séquences d'une ou plusieurs instructions exécutables par la machine contenues dans une mémoire principale afin de mettre en œuvre le ou les procédés ou la ou les fonctions décrites dans la présente. L'exécution des séquences d'instructions contenues dans une mémoire principale amène les processeurs à exécuter au moins certaines des étapes du processus ou des fonctions des éléments décrits ici. Un ou plusieurs processeurs dans un agencement multitraitement peuvent également être utilisés pour exécuter les séquences d'instructions contenues dans une mémoire principale ou un ordinateur lisible en mémoire. Dans des variantes de modes de réalisation, des circuits câblés peuvent être utilisés à la place ou en combinaison avec des instructions logicielles. Ainsi, les modes de réalisation ne sont limités à aucune combinaison spécifique de circuits matériels et logiciels.

[0183] Le terme support lisible par ordinateur, tel qu'utilisé ici, désigne tout support qui participe à la fourniture d'instructions à un processeur pour exécution. Un tel support est non transitoire et peut prendre de nombreuses formes, y compris, mais sans s'y limiter, un support non volatile, un support volatile et un support de transmission. Les supports non volatiles incluent, par exemple, les disques optiques ou magnétiques. Les supports volatiles incluent la mémoire dynamique. Les supports de transmission comprennent les câbles coaxiaux, le fil de cuivre et les fibres optiques. Les formes courantes de supports lisibles par ordinateur incluent, par exemple, une disquette, un disque flexible, un disque dur, une bande magnétique, tout autre support magnétique, un CD-ROM, un DVD, tout autre support optique, des cartes perforées, un autre support physique avec des motifs de trous, une RAM, une PROM et une EPROM, une LLASH-EPROM, toute autre puce mémoire ou cartouche, une onde porteuse comme décrit ci-après, ou tout autre support pouvant être lu par un ordinateur. Diverses formes de supports lisibles par ordinateur peuvent être impliquées dans le transport d'une ou plusieurs séquences d'une ou plusieurs instructions au processeur pour exécution.

[0184] Des programmes d'ordinateur comprenant des instructions exécutables par une machine pour la mise en oeuvre d'au moins une des étapes des procédés et / ou des aspects et / ou des concepts de l'invention décrits ici ou une ou plusieurs fonctions de divers éléments de l'agencement structurel décrit ici peuvent être mis en œuvre ou plusieurs ordinateurs comprenant au moins une interface, un processeur physique et une mémoire non transitoire (également appelé, de manière générale, un support de stockage ou de lecture lisible par machine non transitoire). L’ordinateur est un ordinateur à usage spécial, car il est programmé pour exécuter des étapes spécifiques du ou des procédés décrits ci-dessus. La mémoire non transitoire est codée ou programmée avec des instructions de code spécifiques pour la mise en oeuvre du ou des procédés ci-dessus et de ses étapes associées. La mémoire non transitoire peut être agencée en communication avec le processeur physique afin que le processeur physique, en cours d'utilisation, lise et exécute les instructions de codes spécifiques incorporées dans la mémoire non transitoire. L'interface de l'ordinateur à usage spécifique peut être agencée en communication avec le processeur physique et recevoir des paramètres d'entrée qui sont traités par le processeur physique.

Liste des signes de références

[0185] (CL) Clients

[0186] (CHxx) Chaîne de caractères

[0187] (TR,TL) paramètres de réglage

[0188] (F) fonction de chiffrement

[0189] (BPS, FF3) procédé de tokénisation

[0190] (3) Token

[0191] (4) Répartiteur de charge

[0192] (5) Bus de données

[0193] (5a, 5b, 5c, 5d) interfaces web applicatives avec pare-feu

[0194] (6a, 6b, 6c, 6d, 60) Serveurs

[0195] (7a, 7b, 7c, 7d) bases de données

[0196] (8a, 8b,8c,8d) dispositif de la couche de sécurité (HSM)

[0197] (10a, 10b) Centres de données

[0198] (62) Tokeniseur

[0199] (63) outil DANNY

[0200] (64) service de requête

[0201] (71) coffre physique

[0202] (72) coffre logique

Claims (1)

1. Revendications [Revendication 1] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI), la plateforme comprenant :

   • au moins un coffre (71, 72) dédié propre à chaque client du SI, sécurisé en fonction des besoins formulés par le client pour sauvegarder au moins des instructions de sécurisation transmises par le gestionnaire et/ou des données et comportant un fichier GDPR (Règlement Général sur la Protection des Données) qui permet de définir selon le type de données des traitements de sécurisation qui satisfont la norme GDPR ce fichier GDPR pouvant être mutualisé ou privatisé par le choix du gestionnaire;

   • au moins un service multitraitement comportant au moins :

   • un service requête (64) comprenant une infrastructure in- formatique et logiciel pour analyser les requêtes transmises par chaque client via un(e) interface client (61)/canal service web (webservice);

   • au moins un serveur de traitement (60, 6a, 6b, 6c, 6d) comportant au moins un processeur, une mémoire comprenant un ensemble de programmes/algorithmes dont l’exécution sur ledit processeur met en œuvre au moins une méthode d’anonymisation caractérisé en ce que l’ensemble de programmes/algorithmes met en œuvre un ensemble de méthodes de traitement de sécurisation des données des clients, pour les enregistrer dans une base de données (7a, 7b, 7c, 7d), ledit ensemble comprenant au moins :

   • au choix au moins une méthode de tokenisation des données pour transformer les données en tokens ou jetons irréversibles ;

   • ou au moins une méthode d’anonymisation/pseudonymisation des données • ou également une méthode de sécurisation combinée de tokenisation et d’anonymisation des données, le choix de mise en œuvre au choix s’effectuant automatiquement par le

   résultat de l’analyse des besoins formulés par le client dans sa ou ses requêtes et des instructions de sécurisations formulées par le gestionnaire [Revendication 2] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon la revendication 1, caractérisée en ce que les requêtes sont transmises chiffrées depuis le terminal client par une clé attribuée à l’utilisateur ou l’entreprise, la plateforme recevant le certificat de l’utilisateur l’authentifie, recherche dans le coffre (71, 72) la clé de déchiffrement associée et déchiffre puis analyse les données du message de requête. [Revendication 3] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon la revendication 1, caractérisée en ce qu’elle comprend au moins une interface gestionnaire pour permettre à un client gestionnaire d’un SI de transmettre des fichiers d’instructions de sécurisation de données propre à chaque client dudit SI [Revendication 4] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon la revendication 1, caractérisée en ce qu’elle comprend au moins un service de certificat comprenant au moins une infrastructure informatique comprenant au moins un processeur, une mémoire contenant au moins un programme dont l’exécution sur le processeur génère un certificat d’authentification propre à chaque client dudit SI pour se connecter à la plateforme et/ou au service multitraitement et émettre des requêtes de traitement de sécurisation de données. [Revendication 5] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon la revendication 1, caractérisée en ce que le service multitraitement comprend un programme dont l’exécution sur ledit processeur permet de comparer des entrées effectuées par le client au fur et à mesure avec les données du fichier GDPR stocké dans le coffre (71, 72) dédié sécurisé propre audit client et générer une indication d’erreur ou une suggestion de modification satisfaisant la norme GDPR, les entrées validées par le client étant mémorisées dans ledit coffre (71, 72) et, dans le cas où le client surpasse (overule) la suggestion, d’envoyer systématiquement un message avec un token ou un message anonymisé d’un drapeau signalant la non compatibilité GDPR. [Revendication 6] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon la revendication 1, caractérisée en ce

   que le service multitraitement repose sur une architecture multicolonnes et multisites et comprend au moins deux centres de données ayant une structure en colonnes pour le traitement des données, au moins un dispositif réplicateur pour configurer chaque centre de données (10a, 10b) de manière à obtenir des données identiques dans chacune des colonnes des centres de données, au moins un répartiteur (4) de charge configuré pour diffuser dynamiquement et sans interruption des demandes de traitements indépendamment sur chacune des colonnes en fonction de leur charge, au moins un bus (5) de données configuré pour permettre la synchronisation des données entre lesdits centres de données, chaque colonne comprenant au moins un serveur de traitement et au moins une base de données (7a, 7b, 7c, 7d) sécurisée. [Revendication 7] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon la revendication 3, caractérisée en ce que chaque centre de données (10a, 10b) comprend au moins une couche de sécurité comportant au moins un dispositif (8a, 8b, 8c, 8d) comprenant au moins un processeur, une mémoire comportant un ensemble de programmes dont l’exécution permet de générer, stocker et protéger des clés cryptographiques pour sécuriser au moins les données traitées. [Revendication 8] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon les revendications 1 à 4, caractérisée en ce que le serveur de traitement de données est connecté au dispositif (8a, 8b, 8c, 8d) de la couche de sécurité via un moyen de communication afin de récupérer des clés cryptographiques servant à sécuriser les données en fonction du type de traitement demandé par chaque client du SI. [Revendication 9] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon la revendication 5, caractérisée en ce que le serveur de traitement de chaque centre de données (10a, 10b) comprend des moyens de communication filaires/sans fils pour transférer les données traitées dans au moins une base de données (7a, 7b, 7c, 7d) sécurisée et sécuriser l’accès aux dites données via les clés cryptographiques récupérées dans le dispositif (8a, 8b, 8c, 8d) de sécurité de la couche de sécurité. [Revendication 10] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon la revendication 5, caractérisée en ce que le serveur de traitement de chaque centre de données (10a, 10b)

   comprend des moyens de communication filaires/sans fils pour se connecter au coffre (71, 72) dédié sécurisé de chaque client du SI et transférer les données traitées dudit client en fonction de ses préférences. [Revendication 11] Plateforme de sécurisation de données gérées ou manipulées dans un système d’information (SI) selon une des revendications 1 à 7, caractérisée en ce que dans le cas d’une sécurisation combinée les données sont d’abord envoyées au module de tokenisation puis le module d’anonymisation ayant reçu les données pendant la tokenisation combine les données avec le jeton reçu du tokeniseur (62) pour générer une information tokenisée-anonymisée à envoyer au client. [Revendication 12] Serveur selon une des revendications 1 ou 8 à 10 caractérisé en ce qu’il comporte un ou plusieurs coffres (71, 72) informatiques et mettant en œuvre un service permettant à un système d’information (SI) accédant au serveur de mettre en place une sécurité pour ses données sensibles qu’il conserve et/ou qu’il manipule, en - mettant en place les bonnes méthodes de sécurité, telles que l’anonymisation ou la pseudonymisation, vis-à-vis des données sensibles en configurant par une interface la configuration des instructions de sécurisation transmises par le gestionnaire et en autorisant leur sauvegarde dans une ou plusieurs zones de coffres (71, 72) dédiés à chaque gestionnaire, - pouvant stocker de manière sécurisée et réversible pour un SI ses données sensibles dans un ou plusieurs coffres (71, 72), - apportant un choix de moyens d’anonymisation ou pseudonymisation ou de tokenisation combinables et /ou adaptables aux contraintes du SI par les choix effectués par le gestionnaire, - pouvant redonner en toute sécurité les données sensibles vers le SI par chiffrement et ou signature et ou certificat d’authentification propre à chaque client dudit SI, - pouvant sécuriser tous types de données. [Revendication 13] Serveur selon une des revendications 1 ou 8 à 10 ou 12, caractérisé en ce que la désensibilisation d’une donnée peut être réalisée par association du Token avec une concaténation des données personnelles (Nom, Prénom, Adresse, Numéro de téléphone,...) et mémorisation. [Revendication 14] Architecture informatique en multi-colonnes et multi-sites, permettant le traitement par lots, comprenant une interface web applicative avec parefeu (5a, 5b, 5c, 5d), un serveur selon une des revendications 1 ou 8 à 10

   ou 12, ainsi qu’une base de données (7a, 7b, 7c, 7d) gérant un ou plusieurs coffres physiques (71) ou logiques (72) affectables, à chaque gestionnaire pour mémoriser les configurations de sécurité en fonction des données ou d’une pluralité d’utilisateurs pour mémoriser chaque certificat affecté à chaque utilisateur et d’autres services de sécurité pour chaque colonne, un dispositif répartiteur (4) de charge permettant de diffuser les demandes indépendamment sur toutes les colonnes de l’architecture et un système de réplication permettant d’avoir des colonnes identiques, chaque serveur fournissant un accueil spécifique des gestionnaires de SI par une interface spécifique permettant la définition d’au moins une sécurisation de stockage pour chaque type de données et d’authentification des utilisateurs et pouvant fournir à chaque utilisateur un jeton servant de donnée pivot. [Revendication 15] Architecture informatique selon la revendication 14, caractérisé en ce que le serveur comporte un outil logiciel de désensibilisation des données utilisant deux familles de méthodes : Une première de Généralisation pour annuler l’unicité de la donnée , telle que par Masquage ou par K-anonymat/Agrégation ; Une deuxième de Randomisation pour diminuer la précision de la donnée par Ajout de bruit, par substitution d’une donnée par une autre en gardant en mémoire du coffre (71, 72) la substitution ou par permutation. [Revendication 16] Architecture informatique selon la revendication 14 ou 15, caractérisé en ce que le serveur (6a, 6b, 6c, 6d, 60) fournit un accueil spécifique pour les gestionnaires de SI réalisant une interface pour le terminal du gestionnaire pour permettre au gestionnaire de définir par sélection dans plusieurs menus le type de données (personnelles, scientifiques, techniques , commerciales,) pour chaque type un attribut de définition de la donnée , pour personnel :nom téléphone, adresse domicile, employeur, adresse bureau, etc..., pour scientifique : calculs, nouveau produit, etc..., pour commerciale : nouveau marché, etc ...). [Revendication 17] Architecture informatique selon la revendication 14 ou 15, caractérisé en ce le serveur fournit un accueil spécifique des gestionnaires de SI réalisant une interface pour le terminal pour définir une pluralités d’utilisateurs avec pour chacun un certificat pour permettre une authentification de chaque utilisateur et une définition des types de données accessibles ou des types de services accessibles, ces données étant mémorisées dans un coffre (71, 72) spécifique à l’entreprise représentée par

   le gestionnaire. [Revendication 18] Architecture informatique selon la revendication 14 ou 15, caractérisé en ce le serveur fournissant un accueil spécifique des gestionnaires de SI réalise une interface pour définir selon les classifications des données les Règles de désensibilisation à respecter en fonction de la classification des données, les règles à respecter comprenant : • L’individualisation : est-il toujours possible d’isoler un individu ? • La corrélation : est-il possible de relier entre eux des ensembles de données distincts concernant un même individu ? • L’inférence : peut-on déduire de l’information sur un individu ? règles de classification des données comprenant : • Directe : Donnée unique sur un individu (Numéro de téléphone,...) • Pseudo Directe : Données donnant accès à un individu unique (Corrélation de donnée) • Indirecte : Données dites non personnelles mais permettant de retrouver la personne (Jointure d’informations diverses) [Revendication 19] Architecture informatique selon la revendication 14 ou 15, caractérisé en ce que la désensibilisation d’une donnée est réalisée en association du token avec une concaténation des données personnelles (Nom, Prénom, Adresse, Numéro de téléphone,...) et mémorisation.

   1/4