Sécurité et protection des données : cours de Première STMG

Une entreprise, une association ou une mairie manipule chaque jour des informations : fichiers clients, salaires, commandes, factures, comptes de messagerie. Ces informations circulent dans son système d'information, que tu as étudié dans les chapitres précédents. Plus l'organisation se numérise, plus ces données sont stockées, copiées, échangées... et donc exposées.

Dans ce cours, tu vas répondre à trois questions simples. Qu'est-ce qui menace les données ? Comment les mettre à l'abri ? Quelles règles juridiques l'organisation doit-elle respecter ? Ces trois questions reviennent dans les sujets de Bac de sciences de gestion et numérique, souvent à partir d'une situation d'entreprise.

Le programme de STMG attend qu'une organisation respecte les obligations réglementaires sur la sécurité des données. Elle doit aussi tenir compte des risques liés à l'usage des technologies et des protections qu'ils rendent nécessaires.⁵ La transformation numérique offre aux organisations de nouvelles occasions, mais elle expose aussi l'ensemble de leurs chaînes de valeur.¹

Le référentiel de compétences numériques regroupe ces enjeux dans un domaine « protection et sécurité ». Il comprend notamment deux volets complémentaires.²

• Sécuriser : défendre les équipements, les communications et les données pour se prémunir contre les attaques, les pièges, les désagréments et les incidents. On y range les logiciels de protection et la maîtrise de bonnes pratiques.²
• Protéger : maîtriser ses traces et gérer correctement les données personnelles.²

Autrement dit, sécuriser répond à la question « comment empêcher qu'on abîme, vole ou détourne ce que je possède ? », tandis que protéger répond à « comment respecter les personnes dont je détiens les informations ? ».

On imagine souvent un pirate isolé qui force un système. La réalité est plus variée. Les atteintes aux données peuvent venir d'actes de malveillance délibérés, menés avec l'intention de nuire, mais aussi de la simple négligence.¹ Cette distinction compte, car les réponses ne sont pas les mêmes : face à la malveillance, il faut des techniques de défense ; face à la négligence, il faut surtout de la formation et des habitudes.

La hausse du nombre de salariés qui manipulent des données renforce encore l'importance de cette question dans les organisations.¹

Pour se prémunir contre les attaques et les incidents, une organisation combine plusieurs familles de moyens. Aucun ne suffit seul : c'est leur addition qui rend le système solide.

Un certificat électronique apporte une protection automatique lors des échanges sur internet : il sécurise les pages web, les courriers ou encore les fichiers.¹ Tu le rencontres tous les jours sans t'en rendre compte. Dans l'adresse d'un site, le s de https signifie « sécurisé » : il concerne la sécurisation des transactions effectuées via Internet.¹

Un service d'archivage sérieux apporte aussi des garanties sur les données conservées : intégrité, authenticité et sécurité.⁴ Ces mots ont un sens précis :

• une donnée est intègre si elle n'a pas été modifiée par erreur ou à l'insu de son propriétaire ;
• elle est authentique si on peut établir qu'elle provient bien de celui qui est censé l'avoir produite ;
• elle est sécurisée si son accès est contrôlé.

Ces trois qualités expliquent pourquoi une organisation ne se contente pas de « stocker » : elle veut pouvoir faire confiance à ce qu'elle retrouve.

Une donnée à caractère personnel est une information qui se rapporte à une personne physique identifiée ou identifiable, directement (son nom) ou indirectement (un numéro de client, une adresse e-mail, une photo). Le RGPD ne protège donc pas « les données » en général : il protège les personnes à propos de ce que d'autres savent d'elles. À l'inverse, les données publiques que l'on ouvre à tous sont des données non nominatives : elles ne relèvent ni de la vie privée ni de la sécurité.⁴

Le respect de ce règlement oblige les organisations à une véritable transparence sur l'usage des données personnelles.¹ Le RGPD s'impose à elles : ce n'est pas une option.

Le RGPD a remplacé une ancienne règle, la directive 95/46/CE, adoptée le 24 octobre 1995.⁶ Cette directive est restée en vigueur jusqu'au 24 mai 2018.⁶ Le lendemain, le 25 mai 2018, le RGPD est devenu applicable dans toute l'Union européenne. Pendant plus de vingt ans, l'Europe s'est donc appuyée sur un texte écrit bien avant l'essor des réseaux sociaux et des services en ligne actuels, d'où l'intérêt d'une règle commune plus ambitieuse.

En France, c'est la Commission nationale de l'informatique et des libertés (CNIL) qui veille au respect de ces règles. La loi de 2018 lui a donné des missions supplémentaires, ainsi qu'un pouvoir de contrôle et de sanction renforcé en matière de protection des données.⁶ La CNIL est présentée comme l'autorité de surveillance numérique française.⁶

Pour guider les organisations face à cette responsabilité accrue, la CNIL conseille une démarche en six étapes.⁶ Retiens surtout la logique : on identifie ce qu'on possède, on organise les responsabilités, on vérifie les risques, puis on documente ce qu'on fait.

Prenons l'exemple d'un réseau social allemand, Knuddels. Plus de 2,6 millions de données de ses utilisateurs ont fuité. L'autorité allemande de protection des données lui a infligé une amende de 20 000 euros.⁶

Le montant a été limité pour deux raisons : la transparence du réseau social et sa rapidité à mettre à jour la sécurité.⁶ La leçon est précieuse : après un incident, l'attitude de l'organisation compte. Dissimuler la fuite aggrave la situation ; réagir vite et l'expliquer en limite les conséquences.