Les mesures techniques de sécurité des données
Un socle commun, décliné par niveau de sensibilité, au sens de l'article 32 du RGPD.
Un socle commun, décliné par niveau de sensibilité, au sens de l'article 32 du RGPD.
La sécurisation technique est le troisième temps d'une démarche de protection des données face au risque numérique, après la cartographie et la conformité. L'article 32 du RGPD demande des mesures « appropriées » au risque : il n'existe donc pas de liste unique, mais un socle commun que l'on renforce selon la sensibilité des données et l'exposition du traitement. Cette page décrit ce socle, domaine par domaine.
Avant de choisir des mesures, on classe les traitements par niveau de sensibilité, à partir de la cartographie du risque : données courantes à faible enjeu, données personnelles ordinaires, données dont la divulgation aurait des conséquences importantes (coordonnées bancaires, éléments de rémunération), données sensibles au sens de l'article 9. Le niveau conditionne l'exigence : ce qui est acceptable pour une liste de diffusion ne l'est pas pour un fichier de paie. La proportionnalité fonctionne dans les deux sens — sous-protéger expose, sur-protéger paralyse l'activité et pousse aux contournements.
Le socle : des comptes nominatifs et individuels, jamais de compte partagé ; le principe du moindre privilège, chacun n'accédant qu'aux données nécessaires à sa fonction ; une revue des habilitations à chaque arrivée, changement de poste et départ, avec suppression le jour même du départ ; l'authentification multifacteur activée sur les accès à privilèges, les accès distants et les outils exposés sur internet ; une politique de mots de passe conforme aux recommandations en vigueur, appuyée sur un gestionnaire de mots de passe plutôt que sur la mémoire des utilisateurs. La traçabilité des accès aux données sensibles complète le dispositif.
Les postes fixes et portables doivent disposer d'un verrouillage automatique, d'un antivirus tenu à jour, d'un pare-feu local actif et du chiffrement du disque — indispensable sur les portables, dont le vol ou la perte est un scénario courant. Les supports amovibles sont chiffrés ou proscrits. Pour les connexions depuis l'extérieur — télétravail, déplacement, réseau public —, l'accès aux ressources internes passe par un tunnel chiffré, un réseau privé virtuel (VPN), de façon qu'aucune donnée ne transite en clair sur une infrastructure non maîtrisée ; l'accès est conditionné à l'authentification multifacteur.
Une sauvegarde n'a de valeur que si elle est régulière, externalisée et testée. La règle usuelle est de conserver trois copies des données, sur deux types de supports différents, dont une copie hors site et déconnectée. La copie déconnectée est ce qui protège contre un rançongiciel, qui cherche justement à chiffrer les sauvegardes accessibles. Les restaurations doivent être testées périodiquement : une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Un plan de reprise décrit qui fait quoi, dans quel ordre, avec quels délais cibles.
Les accès aux données sensibles, les opérations d'administration, les connexions distantes et les événements de sécurité sont journalisés, avec une durée de conservation définie et proportionnée. La journalisation ne sert que si les journaux sont relus : une revue régulière, même sommaire, permet de repérer une connexion inhabituelle, un volume d'export anormal, une tentative répétée d'authentification. Sans journaux exploités, une intrusion peut rester invisible pendant des mois, ce qui aggrave l'ampleur d'une éventuelle violation.
Les systèmes d'exploitation, les logiciels métier, les navigateurs, les équipements réseau et les composants exposés sur internet doivent être mis à jour sans délai excessif, en priorisant les correctifs de sécurité critiques. Un inventaire du parc et des versions installées est le préalable : on ne corrige pas ce qu'on ne sait pas posséder. Les équipements en fin de support, qui ne reçoivent plus de correctifs, sont remplacés ou isolés.
Les échanges avec l'extérieur — site web, messagerie, transferts de fichiers, accès aux applications en ligne — utilisent des protocoles chiffrés à jour. Les données sensibles au repos sont chiffrées, sur les serveurs comme sur les postes. Le chiffrement ne vaut que par sa gestion des clés : les clés et les secrets ne sont pas stockés à côté des données qu'ils protègent, leur accès est restreint et tracé, et leur renouvellement est prévu.
Tout ce qui est accessible depuis internet — site vitrine, formulaire de contact, espace client, interface d'administration — élargit la surface d'attaque. Le socle : chiffrement systématique des échanges, mise à jour du gestionnaire de contenu et de ses extensions, comptes d'administration en authentification multifacteur et jamais nommés « admin », limitation des tentatives de connexion, sauvegarde du site et de sa base de données, et suppression des composants inutilisés. Un formulaire qui collecte des données personnelles applique la minimisation — ne demander que le nécessaire — et informe la personne sur la finalité et ses droits au point de collecte.
Tout ne doit pas être joignable depuis partout. Séparer les environnements — poste de travail, serveurs de fichiers, applications exposées sur internet, sauvegardes, administration — limite la propagation d'une compromission : un poste infecté ne doit pas pouvoir atteindre directement les sauvegardes ni la console d'administration. Sur un petit réseau, cela passe par des réseaux logiques distincts, un filtrage entre eux, et des comptes d'administration réservés à cet usage, non utilisés pour la bureautique courante. Les accès d'administration à distance sont restreints à des adresses connues et systématiquement protégés par authentification multifacteur.
Les mesures logiques ne servent à rien si l'accès physique n'est pas maîtrisé. Les serveurs et les équipements réseau sont dans un local fermé, à accès restreint et tracé. Les postes en zone accessible au public sont verrouillés et attachés. Les documents papier contenant des données personnelles sont rangés sous clé et détruits par un moyen sûr en fin de vie. Une protection contre les coupures de courant et un minimum de prévention contre l'incendie et le dégât des eaux protègent la disponibilité.
Une donnée dont la durée de conservation est atteinte doit être effacée ou anonymisée, y compris dans les sauvegardes selon un calendrier défini. Un matériel réformé — ordinateur, disque, téléphone, photocopieur avec disque interne — est effacé de façon sûre ou physiquement détruit avant sortie. La revente ou le don d'un poste sans effacement complet est une cause fréquente et évitable de divulgation.
Les mesures en place sont décrites dans une politique de sécurité proportionnée à la taille de la structure, connue des personnes concernées. Elles sont aussi vérifiées : test de restauration des sauvegardes, revue périodique des comptes et des habilitations, contrôle des mises à jour appliquées, et, quand c'est possible, test d'hameçonnage interne ou audit léger. Une mesure jamais testée est une intention ; la documentation et le test sont ce qui permet de démontrer la conformité à l'article 32 en cas de contrôle ou après un incident.
Une large part des incidents commence par un courriel d'hameçonnage ouvert, un mot de passe réutilisé, une pièce jointe piégée ou une erreur de destinataire. La sensibilisation régulière des équipes — reconnaître un hameçonnage, signaler un doute, manipuler les données avec précaution — est une mesure de sécurité à part entière au sens de l'article 32, pas un supplément facultatif. Elle est d'autant plus efficace qu'elle est concrète, courte et répétée.
Les mesures techniques se choisissent en fonction du risque, pas d'un catalogue : un socle commun — accès maîtrisés, authentification forte, sauvegardes testées, journalisation exploitée, mises à jour, chiffrement, sensibilisation — renforcé sur les traitements sensibles. Ces mesures n'ont de sens qu'articulées à la démarche de conformité et complétées par une procédure pour notifier une violation lorsqu'un incident survient malgré tout.