Cybersécurité et RGPD : cours de Terminale STMG

Une entreprise, une association ou un lycée stockent des informations : fichiers clients, paies, adresses, notes, factures. Ces informations circulent sur des réseaux, dorment sur des serveurs ou dans le cloud, et passent par des ordinateurs et des téléphones. Chaque maillon peut être attaqué ou mal utilisé.

Tu as déjà vu, dans les chapitres précédents, les réseaux informatiques, l'architecture client-serveur et le cloud, puis les grandes idées de la sécurité des systèmes d'information. Ce cours les relie à deux questions très concrètes en gestion : comment protéger ce que l'organisation possède ? et quelles règles doit-elle respecter quand elle manipule des informations sur des personnes ?

L'éducation à la sécurité numérique concerne le quotidien de chaque citoyen, pas seulement les informaticiens ¹. De l'école au lycée, les programmes la font entrer dans plusieurs enseignements, car elle fait partie de la citoyenneté numérique de chacun ². Les séries STMG et STI2D comportent des aspects précis de cybersécurité dans leurs programmes ².

Cette définition contient deux objets à protéger :

• le système d'information : matériels, logiciels, réseaux, comptes d'utilisateurs, procédures ;
• les données qui circulent dans ce système : fichiers, messages, bases de clients.

Elle parle aussi de techniques et de solutions. Une solution peut être un outil acheté ou installé ; une technique, une manière de faire. La sécurité n'est donc jamais un simple logiciel : elle mélange des outils et des comportements.

Le champ couvre beaucoup de métiers et de disciplines : l'informatique, le droit du numérique, les assurances, la commercialisation de solutions de protection, et même la diplomatie, avec la question des ingérences ². Pour le Bac, concentre-toi surtout sur le versant organisationnel : qui est responsable, quelles règles, quelles mesures.

Le ministère recense de nombreux sujets de sécurité numérique : mots de passe, piratage d'un compte, hameçonnage, virus, rançongiciel, vol d'identité, spams, protection des données personnelles et de la vie privée ¹. Pour t'y retrouver, range ces menaces selon la cible de l'attaquant.

Les thèmes de la sécurité numérique cités par l'Éducation nationale donnent déjà un panorama des protections : gestion des mots de passe, sécurité des appareils mobiles, cryptographie et chiffrement, protection des données personnelles, gestion des cookies, protection de l'identité en ligne ¹. Ce sont des mesures de protection. On les range en deux familles.

Pourquoi des deux ? Un chiffrement parfait ne sert à rien si un salarié donne son mot de passe par courriel. À l'inverse, une charte parfaite ne protège pas un serveur jamais mis à jour. Une bonne sécurité combine plusieurs barrières : si l'une cède, la suivante retient l'attaque.

Une donnée personnelle est une information qui concerne une personne identifiée ou que l'on peut identifier : un nom, une adresse, un numéro de client, une note. Le RGPD vise donc ce que l'organisation sait sur les gens. Dans un sujet de gestion, repère toujours : de qui parle-t-on ? (clients, salariés, élèves), quelles données ?, dans quel but ?

Le RGPD repose sur quelques grands principes : collecter les données pour une finalité précise, n'en garder que le nécessaire (minimisation), pour une durée limitée, et les sécuriser. Il donne aussi des droits aux personnes concernées : droit d'accès à leurs données, de rectification, d'effacement, d'opposition et de portabilité.

La ressource d'accompagnement du programme de management, sciences de gestion et numérique place le RGPD à côté de la sécurité informatique, de la cybercriminalité, de la cybersécurité et de la CNIL ³. Elle insiste sur le fait que la protection des données personnelles oblige les organisations à respecter le règlement ³. Elle étudie aussi les risques liés au RGPD et l'organigramme d'une société pour situer les responsabilités ³.

Il est tentant de séparer les deux sujets : la cybersécurité serait technique, le RGPD juridique. En réalité, ils se nourrissent l'un l'autre. Le RGPD fixe ce que l'organisation doit respecter pour les données des personnes ; la cybersécurité fournit les moyens de le faire concrètement. La sécurité des systèmes d'information s'élargit d'ailleurs à la cybersécurité, avec une cyberdéfense pour lutter contre la cybercriminalité ³.

La cybersécurité est aussi un secteur qui recrute. Avec l'ANSSI et d'autres partenaires, le ministère de l'Éducation nationale mène le programme DemainSpécialisteCyber : il présente aux jeunes, filles et garçons, les nombreuses formations, parcours et métiers de ce domaine ². L'ANSSI propose en plus un guide intitulé Panorama des métiers de la cybersécurité ¹.

Dans le secondaire, certaines formations vont plus loin : technologie au collège, SNT, NSI, bac pro CIEL, BTS CIEL et SIO ¹. Le Cybermois se déroule chaque année du 1er au 31 octobre pour sensibiliser élèves et personnels ².