Cartographier son risque numérique
Recenser, décrire, coter : la méthode d'inventaire avant toute mesure de sécurité.
Recenser, décrire, coter : la méthode d'inventaire avant toute mesure de sécurité.
La protection des données personnelles repose sur une démarche en quatre temps : connaître son exposition, se mettre en conformité, sécuriser, réagir. Cette page détaille le premier temps, celui qui conditionne tous les autres : on ne protège efficacement que ce que l'on a recensé et évalué. Une cartographie du risque numérique se construit en quatre mouvements — recenser les traitements, les décrire, identifier les événements redoutés, coter le risque — puis se maintient dans un registre.
Un traitement est toute opération portant sur des données personnelles : collecte, enregistrement, consultation, transmission, conservation, effacement. Le recensement consiste à lister toutes les finalités poursuivies par la structure. Dans une petite organisation, on retrouve typiquement la gestion des clients et prospects, la facturation, la paie et la gestion du personnel, le recrutement, la relation avec les fournisseurs, la newsletter et la communication, la vidéosurveillance éventuelle, la gestion du site web et de ses statistiques. Chaque finalité correspond à une ligne du registre des activités de traitement, dont la tenue est exigée par l'article 30 du RGPD dans la quasi-totalité des cas.
La méthode pratique consiste à interroger chaque service ou chaque personne clé sur les fichiers et les logiciels qu'elle utilise, plutôt que de raisonner en théorie. Les traitements oubliés sont presque toujours ceux qui vivent dans un tableur local, une boîte de messagerie ou un outil adopté sans validation.
Pour chaque traitement recensé, la fiche doit préciser : la finalité et la base légale qui la justifie (consentement, contrat, obligation légale, intérêt légitime, mission d'intérêt public), les catégories de personnes concernées, les catégories de données mobilisées — en signalant les données sensibles au sens de l'article 9, qui appellent des garanties renforcées —, les destinataires internes et externes, les sous-traitants intervenant sur ces données, les transferts hors Union européenne le cas échéant, la durée de conservation appliquée, et les mesures de sécurité déjà en place.
À cette description fonctionnelle s'ajoute une description technique : sur quels supports la donnée réside-t-elle (serveur interne, hébergement externe, poste de travail, ordinateur portable, téléphone, support papier), et par quels chemins elle circule (qui saisit, qui consulte, qui exporte, vers où). Cette vue des flux est indispensable, car un flux non maîtrisé — un export mensuel envoyé par courriel, une synchronisation vers un cloud personnel — est souvent le maillon faible.
Une fois les traitements décrits, on identifie ce qui pourrait mal tourner. Les événements redoutés se ramènent à trois atteintes : à la confidentialité (accès ou divulgation non autorisés), à l'intégrité (altération, modification indue), à la disponibilité (perte, destruction, indisponibilité). Pour chacun, on recense les sources de risque : acte malveillant externe, erreur ou malveillance interne, défaillance d'un prestataire, panne matérielle, sinistre, perte ou vol de support.
Le raisonnement doit rester concret : pour le traitement de paie, l'événement redouté principal est la divulgation des bulletins et des coordonnées bancaires ; pour la vidéosurveillance, l'accès non autorisé aux images ; pour les données clients, l'exfiltration en masse à des fins de fraude. Nommer précisément l'événement permet ensuite de choisir des mesures qui le visent, plutôt que d'empiler des protections génériques.
Chaque événement redouté est coté sur deux axes. La vraisemblance estime la probabilité qu'il survienne, compte tenu des vulnérabilités existantes et des mesures déjà en place. La gravité estime l'ampleur des conséquences pour les personnes concernées — préjudice matériel, usurpation d'identité, atteinte à la réputation, discrimination, impossibilité d'accéder à un service — et non pour la seule organisation. Une échelle à quatre niveaux (négligeable, limitée, importante, maximale) suffit dans la plupart des cas.
Le croisement des deux cotations donne une hiérarchie : les risques à la fois vraisemblables et graves sont traités en priorité, les risques graves mais peu vraisemblables font l'objet d'un plan de réponse, les risques mineurs sont acceptés et documentés comme tels. Cette hiérarchie est la principale sortie de la cartographie : elle transforme une liste de préoccupations en programme d'action.
Les résultats sont consignés dans un registre des risques : traitement concerné, événement redouté, cotation avant mesures, mesures décidées, responsable, échéance, cotation résiduelle attendue. Ce document se relit à intervalle régulier et à chaque changement significatif — nouvel outil, nouveau prestataire, incident, évolution réglementaire. Un registre figé un an après sa création ne vaut plus grand-chose.
Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, l'article 35 impose une analyse d'impact relative à la protection des données (AIPD). C'est notamment le cas pour l'évaluation systématique d'aspects personnels, le traitement à grande échelle de données sensibles, ou la surveillance systématique d'une zone accessible au public. La CNIL publie une liste des types de traitements qui y sont soumis et une liste de ceux qui en sont dispensés. La cartographie sert de socle à cette analyse : elle en fournit la description et l'appréciation initiale du risque.
Prenons une structure d'une vingtaine de salariés. Le traitement « gestion de la paie » a pour finalité l'établissement des bulletins et le versement des salaires, sur une base légale d'obligation légale et d'exécution du contrat de travail. Les personnes concernées sont les salariés et les anciens salariés ; les données mobilisées comprennent l'identité, le numéro de sécurité sociale, les coordonnées bancaires, la rémunération et, potentiellement, des éléments de santé via les arrêts de travail. Les destinataires sont le service ou la personne en charge de la paie, l'expert-comptable, l'organisme de retraite et l'administration fiscale et sociale. Un sous-traitant intervient : le logiciel de paie en ligne, hébergé chez un prestataire. La conservation suit les durées légales, généralement cinq ans pour les bulletins côté employeur, avec archivage au-delà pour la reconstitution des carrières.
Les événements redoutés se hiérarchisent vite : la divulgation des bulletins et des coordonnées bancaires (confidentialité, gravité importante), l'altération des montants (intégrité, gravité importante mais vraisemblance faible si des contrôles existent), l'indisponibilité du logiciel en période de paie (disponibilité, gravité limitée, vraisemblance moyenne). La priorité de traitement porte donc sur le contrôle des accès au logiciel et aux exports, le chiffrement des fichiers échangés avec l'expert-comptable, et une sauvegarde permettant de reconstituer une paie en cas de défaillance du prestataire.
La cartographie n'a pas besoin d'un outil sophistiqué : un tableur structuré suffit pour une petite structure, à condition qu'il soit tenu à jour et accessible au pilote de la conformité. Ce qui compte, c'est le rythme de révision : à chaque nouveau projet, à chaque changement de prestataire, à chaque incident, et au minimum une revue annuelle complète. Rattacher la mise à jour de la cartographie à un événement déjà existant — la revue budgétaire, l'entretien annuel des responsables de service — évite qu'elle soit repoussée indéfiniment.
Trois écueils reviennent. Confondre la cartographie des traitements et la cartographie du système d'information : la seconde est utile, mais c'est la première qui est exigée et qui structure la conformité. Coter la gravité du point de vue de l'entreprise plutôt que des personnes, ce qui conduit à sous-estimer les traitements sensibles. Enfin, produire un document unique et ne jamais le revoir : la cartographie est un processus, pas un livrable ponctuel.
La cartographie du risque numérique est la fondation de la protection des données : elle rend visible ce qui est traité, où, par qui, et ce qui peut mal tourner. Elle alimente le registre des traitements, le registre des risques et, quand il le faut, l'AIPD. Une fois cette base établie, la suite consiste à structurer la mise en conformité selon les six étapes de la CNIL et à déployer des mesures techniques proportionnées aux risques identifiés.