Sécurité des données : protéger le plus sensible de manière spécifique

25 juillet 2018

Pour satisfaire à l’obligation de sécurité des données qu’il traite, tout organisme doit déterminer si les mesures qu’il a choisies sont proportionnées aux risques sur les droits et libertés. Comment s’y prendre ?

Pourquoi gérer les risques de sécurité des systèmes les plus sensibles ?

Une fois les pratiques de sécurité base mises en œuvre, la gestion des risques les plus élevés doit être abordée de manière spécifique.
Le RGPD et les lignes directrices du G29 prévoient les cas qui peuvent engendrer des risques élevés pour les droits et libertés des personnes.

Pour ces systèmes, il convient de gérer les risques, c’est-à-dire les identifier, les analyser (comprendre/détailler), les estimer (en termes de gravité et de vraisemblance), et déterminer les mesures pour y faire face.

Concrètement, comment faire ?

Les bonnes questions à se poser :

Quels pourraient être les impacts sur les personnes concernées en cas :
- d’accès illégitime à des données ?
- de modification non désirée de données ?
- de disparition de données ?
Qui (ou quoi) pourrait être à l’origine de telles violations (sources de risques) ?
Comment chacun de ces violations pourrait-elle arriver ?
Quelles mesures (de prévention, de protection, de détection, de réaction…) devrait-on prévoir pour réduire ces risques à un niveau acceptable ?
Serait-ce grave (compte tenu des mesures existantes ou prévues) ?
Serait-ce vraisemblable (compte tenu des mesures existantes ou prévues) ?

Le tableau suivant peut être utilisé pour formaliser cette réflexion :

Risques	Impacts sur les personnes	Principales sources de risques	Principales menaces	Mesures existantes ou prévues	Gravité	Vraisemblance
Accès illégitime à des données
Modification non désirée de données
Disparition de données

Quelle différence entre sécurité de l’information et protection de la vie privée ?

Les deux logiques sont complémentaires et devraient être menées en parallèle.

L’objectif de la sécurité de l’information est de protéger l’organisme des atteintes liées à son patrimoine informationnel.
Celui de la protection de la vie privée est de protéger les personnes des atteintes liées à leurs données.

Texte reference

Références

La partie "étude des risques de sécurité" des guides et du logiciel libre pour mener des PIA

Ces mesures ne suffisent plus lorsque....

Le RGPD vous impose de réaliser une analyse d'impact relative à la protection des données (AIPD ou PIA). Dans ce cas, vous devrez, en plus de la gestion des risques de sécurité, étudier le respect des principes et droits fondamentaux.

> Réaliser une l'analyse d'impact sur la protection des données (AIPD)

Texte reference