Les Chroniques numériques

La lettre d'information du cyber-espace

(Semaine du 15 novembre 2021)

Les actualités du cyber-espace

Cybersecurité : L'hygiène numérique vaincra la cyber-épidémie

Au premier jour de la cyber-sécurité, le constat de la vulnérabilité numérique de l’humanité s’impose. Un nombre croissant des activités sociales ou économiques requiert le recours à un réseau ou à une base de données informatiques (commerce en ligne, grandes et petites entreprises, architecture, annuaire d’anciens élèves, avocat, paie, comptabilité). Profitant de cette vulnérabilité, une cyber-épidémie à l’origine non encore identifiée sévit, toujours plus vigoureuse. Aucun miracle d’un vaccin informatique n’est en vue. Pour faire face, juste les gestes barrière de l’hygiène informatique. Ils sont simples.

Les données et les systèmes informatiques sensibles tout comme les risques numériques sont cartographiés. Chaque activité sociale ou économique génère nécessairement des éléments à protéger (liste des clients, salaires et rémunération des collaborateurs, propriété intellectuelle ou industrielle…). L’indentification des données personnelles ou commerciales les plus importantes sont une première étape sur laquelle la conception du système d’information s’appuiera par la suite.

Chaque utilisateur est sensibilisé dès sa prise de fonctions afin de prendre de bonnes habitudes. Cette sensibilisation porte non seulement sur les enjeux de la cyber-sécurité pour les utilisateurs et l’organisation, mais également sur le cadre réglementaire applicable et sur les bonnes pratiques à respecter (aucune connexion de clé USB ni de téléphone personnels et fermeture de son ordinateur par un mot de passe en cas d’absence par exemple). Le maintien de la vigilance des utilisateurs implique que des cycles de formation réguliers soient effectués. Le nouvel utilisateur peut signer une charte dédiée et se voir remettre un manuel de sécurité numérique.

L’accès de chaque utilisateur du système ou de la base de données numériques est strictement proportionné à ses fonctions et rien de plus. Cela exige le cloisonnement de la structure du système informatique. Les risques de fuite d’information sensible sont circonscrits et l’identification de leur source, le cas échéant, est facilité.

La gestion des mots de passe est cohérente et efficace. Ainsi, il faut vérifier la robustesse des mots de passe d’accès au système lesquels doivent uniquement consister en une suite aléatoire de chiffres, de lettres (majuscules et minuscules) et de caractères spéciaux (@, {, ]). Toute référence à un élément d’identification (nom, prénom, un lieu, date de naissance, etc.). Par ailleurs, chaque utilisateur a son propre mot de passe lequel est détruit après le départ de l’entreprise du collaborateur ou du fait d’un changement de poste.

Une politique adéquate de mobilité anticipe les mouvements de tous les utilisateurs du système au sein de l’entité concernée. Les droits d’accès à ce système tout comme l’attribution du matériel portable (ordinateur portable et téléphone mobile) sont dimensionnés aux seules fonctions de l’utilisateur dès sa prise de poste. Un changement de fonctions implique l’évolution de ces accès uniquement en considération des exigences de ce nouveau poste. Ces droits d’accès concernent la création et la suppression des comptes électroniques et des boîtes mail attachées, des accès aux locaux (remise et reprise des clés et badges) et des mots de passe.

Un seul jour d’hygiène numérique ne viendra pas à bout de la cyber-épidémie. Le chemin sera long et étroit, mais gestes barrières, anti-virus et pare-feu repousseront ses assauts et garantiront la victoire.

Données personnelles : La vertu numérique triomphera

Prudence à celui qui utilise des renseignements concernant ses concitoyens au quotidien. Nombre d’entre elles sont des données personnelles, c’est-à-dire tout élément permettant l’identification d’un individu, directement ou indirectement. Elles sont partout : nom de famille, prénom, date et lieu de naissance, photographie ou encore adresse IP.

La question ne s’arrête pas là. Les traitements de ces données personnelles sont omniprésents : collecte, stockage, transformation, cryptage ou profilage. Le responsable de ce traitement qui en définit les finalités les modalités voit ses responsabilités s’accroitre et doit être toujours plus parcimonieux.

Le Règlement national sur la protection des données (le célèbre RGPD) et la Loi informatique et libertés (la LIL pour les intimes) prévoient d’importantes sanctions en cas de violation de la règlementation sur la protection des données. D’une part, la Commission nationale de l’informatique et des libertés (CNIL) peut infliger une amende administrative pouvant aller jusqu’à 4% du chiffre d’affaires. D’autre part, la sanction pénale peut atteindre cinq ans d’emprisonnement et 300 000 euros d’amende ou 1,5 million d’euros pour une personne morale (par exemple société ou encore association).

Face à ces responsabilités, le responsable de traitement proactif peut triompherdans cette bataille des données personnelles.

Le premier levier stratégique est de garantir, lors de la création du traitement de données, la stricte proportionnalité entre la finalité affichée du traitement de données et les moyens mis en œuvre pour la réaliser. Par exemple, au supermarché, la lutte contre le vol des produits vendus ou contre les dégradations interdit le ciblage des clients en particulier et requiert de cantonner les objectifs des caméras aux seules entrées et couloirs du magasin. De même, la vidéosurveillance sur le lieu de travail doit être limitée aux seuls salariés effectuant une opération spécifique comme la manipulation d’argent liquide, à l’exclusion des autres collègues.

La deuxième carte du stratège numérique est de s’assurer que les données personnelles qu’il entend utiliser soient absolument indispensables à l’opération envisagée et qu’elles soient recueillies de manière objective. Par exemple, un site internet de recrutement n’est pas autorisé à demander la nationalité du candidat lequel est soit de nationalité française soit étranger ayant une autorisation de travail officielle. Ces renseignements personnels sont recueillis selon des menus déroulants et évitent tout commentaire libre déplacé.

Enfin, la victoire finale requiert que le responsable de traitement institue des procédures qui garantissent à chacun ses droits numériques inaliénables que sont l’accès à ses données, leur rectification, la limitation de leur traitement, leur portabilité ou encore leur effacement. Le respect des délais de réponse légaux, du formalisme et de l’obligation d’information réglementaires impose de pouvoir apporter une réponse systématique et simple à toute demande en ce sens.

Le triomphe à la bataille des données personnelles acquis, le responsable de traitement s’enorgueillira d’avoir contribué à l’édification d’un monde nouveau parcouru d’informations sur chacun. Ce monde nouveau sera empreint de pratiques vertueuses et de responsabilité, tout en étant dépourvu de braconnage numérique au profit exclusif du plus offrant. Reste la dernière condition : que chacun s'y engage.

Prochain numéro des Chroniques numériques :
La semaine du 30 novembre 2021

Rédacteur en chef et directeur de publication :

Etienne Jaboeuf

Avocat au Barreau de Paris

DPO certifié

29 Rue Jean de Beauvais

75005 Paris

contact@jaboeuf-avocat.eu

www.jaboeuf-avocat.eu

Cet e-mail a été envoyé à ejaboeuf@gmail.com Vous avez reçu cet email car vous vous êtes inscrit sur le site de Maître Etienne Jaboeuf.

Vous pouvez consulter les conditions générales d'utilisation.