Comment protéger les données contre les fuites et les attaques ?

La sécurité est l'obligation du RGPD qui pèse le plus lourd dans les sanctions et dans la vie des organisations. Une fuite de données, un rançongiciel ou une simple erreur d'envoi peuvent exposer des milliers de personnes, paralyser une activité et entraîner une sanction. Cette rubrique traduit l'article 32 du RGPD et les recommandations de la CNIL et de l'ANSSI en gestes concrets, accessibles à toutes les structures, de la TPE à la collectivité.

Ce que vous trouverez dans cette rubrique

Les articles couvrent les mesures de prévention et la gestion des incidents. Côté prévention : mots de passe et recommandations de la CNIL, double authentification, sauvegardes, chiffrement, journalisation, hébergement dans le cloud européen, supports amovibles, appareils personnels, imprimantes multifonctions, tests d'intrusion, fin de support des logiciels. Côté incidents : que faire face à un rançongiciel, reconnaître et contrer l'hameçonnage, réagir au vol d'un ordinateur portable ou à une erreur d'envoi de courriel, tenir le registre des violations, notifier la CNIL, obtenir l'assistance de cybermalveillance.gouv.fr. Chaque article propose des mesures adaptées à la taille de l'organisme.

La sécurité, première cause de sanctions

Les défauts de sécurité figurent parmi les manquements les plus fréquemment sanctionnés par la CNIL. La CNIL ne sanctionne pas l'incident en lui-même, puisqu'aucun système n'est invulnérable, mais l'absence de mesures élémentaires qui l'a rendu possible ou en a aggravé les conséquences : mots de passe faibles ou stockés en clair, absence de double authentification sur les accès distants, logiciels non mis à jour, absence de chiffrement, absence de journalisation. En janvier 2026, elle a sanctionné Free Mobile et Free à hauteur de 27 et 15 millions d'euros à la suite d'une fuite massive de données d'abonnés. De nombreuses sanctions plus modestes, prononcées selon la procédure simplifiée, visent aussi de petites structures pour des défauts de sécurité élémentaires.

Les menaces qui visent toutes les structures

Les petites entreprises, les associations et les collectivités sont autant visées que les grandes organisations, souvent parce qu'elles sont moins bien protégées. L'hameçonnage reste la porte d'entrée la plus fréquente, avec des messages imitant un fournisseur, une banque ou un service administratif pour dérober des identifiants. Les rançongiciels chiffrent les données et menacent de les publier. Le piratage des comptes de messagerie permet des fraudes au virement. Les erreurs humaines, comme l'envoi d'un fichier au mauvais destinataire ou la perte d'un ordinateur non chiffré, restent une cause majeure de violations. Le dispositif cybermalveillance.gouv.fr publie chaque année un rapport d'activité qui confirme la prédominance de ces menaces chez les particuliers, les entreprises et les collectivités.

Les gestes qui évitent la plupart des incidents

Une poignée de mesures suffit à éviter la majorité des incidents courants. Utiliser des mots de passe longs et uniques, idéalement gérés par un gestionnaire de mots de passe. Activer la double authentification sur la messagerie, les outils en ligne et les accès à distance. Appliquer sans délai les mises à jour des systèmes et des logiciels. Réaliser des sauvegardes régulières, dont une copie déconnectée, et tester leur restauration. Chiffrer les ordinateurs portables et les supports amovibles. Donner à chacun un compte individuel et des droits limités à ses besoins. Sensibiliser les équipes à l'hameçonnage. Ces gestes, peu coûteux, sont aussi ceux que la CNIL vérifie en premier lors d'un contrôle.

Quand l'incident survient

Malgré les précautions, un incident peut toujours survenir. La rapidité et la qualité de la réaction comptent alors autant que la prévention. Il faut contenir l'incident en isolant les postes touchés et en coupant les accès compromis, préserver les traces pour l'enquête, évaluer le risque pour les personnes concernées, consigner l'incident dans le registre des violations, notifier la CNIL dans les 72 heures si un risque existe, informer les personnes en cas de risque élevé, déposer plainte en cas d'acte malveillant et prévenir son assureur. Les articles de la rubrique détaillent ces étapes pour les incidents les plus fréquents, avec des modèles de notification et de messages aux personnes concernées.

Le cadre européen de la cybersécurité

La sécurité des données ne relève plus seulement du RGPD. La directive NIS 2, transposée en droit français, impose des obligations de cybersécurité et de notification des incidents à de nombreuses entités dans des secteurs essentiels et importants, comme l'énergie, les transports, la santé, l'eau, les infrastructures numériques, les collectivités ou certaines industries. Le règlement sur la cyber-résilience imposera progressivement des exigences de sécurité aux produits comportant des éléments numériques. Ces textes s'ajoutent au RGPD et peuvent imposer des notifications parallèles à différentes autorités. Les articles de la rubrique expliquent ces articulations pour les organismes concernés.

Les ressources gratuites

De nombreuses ressources publiques gratuites aident les organismes à améliorer leur sécurité. Le guide de la sécurité des données personnelles de la CNIL, mis à jour en 2024, présente les mesures attendues par thème. Le guide d'hygiène informatique de l'ANSSI liste quarante-deux mesures pour les organisations. Le dispositif cybermalveillance.gouv.fr propose des fiches pratiques, un diagnostic en ligne, une assistance aux victimes et un annuaire de prestataires labellisés ExpertCyber. Les articles de la rubrique renvoient vers ces ressources et en présentent les points essentiels.

La sécurité au quotidien

La sécurité n'est pas seulement une affaire de technique. Elle repose sur des habitudes partagées par tous : verrouiller son poste en quittant son bureau, ne pas laisser de documents sur l'imprimante, vérifier l'adresse d'un expéditeur avant de cliquer, signaler immédiatement un message suspect ou une erreur d'envoi, ne pas utiliser de clé USB d'origine inconnue. Les articles de la rubrique proposent des fiches réflexes et des idées de sensibilisation adaptées aux équipes non techniques, afin de faire de la sécurité une responsabilité collective plutôt qu'une contrainte imposée par le service informatique.

Les mots de passe, première ligne de défense

Les mots de passe restent le moyen d'authentification le plus répandu, et leur faiblesse est à l'origine de nombreuses intrusions. La CNIL a actualisé en 2022 sa recommandation relative aux mots de passe, qui propose plusieurs configurations selon le contexte : un mot de passe d'au moins douze caractères combinant majuscules, minuscules, chiffres et caractères spéciaux, ou une phrase de passe plus longue, ou un mot de passe plus court associé à des mesures complémentaires comme la limitation du nombre de tentatives. Elle insiste sur l'importance de ne jamais réutiliser un même mot de passe sur plusieurs services, car une fuite sur un site permet alors d'accéder aux autres comptes. Les gestionnaires de mots de passe facilitent l'application de ces règles en générant et en mémorisant des mots de passe uniques. Côté organisme, les mots de passe doivent être stockés sous forme hachée avec un algorithme adapté, jamais en clair.

Les sauvegardes, assurance contre les rançongiciels

Face aux rançongiciels, les sauvegardes sont souvent la seule solution pour reprendre l'activité sans payer de rançon. Encore faut-il qu'elles soient utilisables au moment où l'on en a besoin. Les attaquants cherchent systématiquement à chiffrer ou supprimer les sauvegardes accessibles depuis le réseau, ce qui impose de conserver au moins une copie déconnectée ou protégée contre la modification. Les sauvegardes doivent être régulières, couvrir toutes les données importantes, y compris celles des outils en ligne, être chiffrées et testées par des restaurations réelles. De nombreuses organisations découvrent au moment d'une attaque que leurs sauvegardes étaient incomplètes, anciennes ou elles aussi chiffrées. Les articles de la rubrique détaillent la règle dite 3-2-1 et les solutions adaptées aux petites structures.

Le cloud et l'hébergement des données

La plupart des organisations confient désormais leurs données à des services en ligne : messagerie, stockage de fichiers, logiciels de gestion, sauvegardes. Ce choix améliore souvent la sécurité, car les grands fournisseurs disposent de moyens importants, mais il soulève des questions de localisation des données, de transferts hors de l'Union, d'exposition aux législations étrangères et de dépendance. Pour les données sensibles, l'hébergement par un prestataire européen, voire qualifié SecNumCloud par l'ANSSI, limite ces risques. Pour les données de santé, la certification HDS est obligatoire. Dans tous les cas, un contrat conforme à l'article 28 doit encadrer la relation, et les réglages de sécurité proposés par le fournisseur, comme la double authentification, doivent être activés.

Les équipements souvent oubliés

Certains équipements échappent souvent à l'attention. Les imprimantes multifonctions conservent sur leur disque dur des copies des documents numérisés ou imprimés, qui peuvent être récupérées lors de la revente ou de la restitution de l'appareil. Les clés USB et disques externes se perdent facilement et doivent être chiffrés. Les téléphones professionnels contiennent la messagerie et les contacts et doivent être protégés par un code et chiffrés. Les appareils personnels utilisés pour le travail échappent au contrôle de l'organisme et doivent être encadrés par une charte. Les logiciels et systèmes qui ne sont plus mis à jour par leur éditeur deviennent des portes d'entrée pour les attaquants. Les articles de la rubrique consacrent un article à chacun de ces équipements.

Tester sa sécurité

L'article 32 impose de tester, analyser et évaluer régulièrement l'efficacité des mesures de sécurité. Pour une petite structure, cela peut consister à vérifier que les sauvegardes se restaurent, à passer en revue les comptes et les droits d'accès, à contrôler que les mises à jour sont appliquées et à réaliser une campagne de sensibilisation à l'hameçonnage. Pour les organisations plus importantes ou exposées, un test d'intrusion réalisé par un prestataire qualifié permet d'identifier les failles exploitables par un attaquant. Les prestataires d'audit de la sécurité des systèmes d'information qualifiés par l'ANSSI offrent des garanties de compétence et de confiance. Les résultats des tests alimentent un plan d'action et constituent une preuve de la démarche de sécurité.

À qui s'adresse cette rubrique ?

Les articles s'adressent aux dirigeants de petites structures qui gèrent eux-mêmes leur informatique, aux responsables informatiques et aux prestataires qui accompagnent les entreprises, aux délégués à la protection des données qui doivent conseiller sur la sécurité, et à tous les salariés qui manipulent des données. Ils évitent le jargon technique et proposent des mesures classées par priorité et par coût, pour permettre à chacun d'améliorer sa sécurité avec les moyens dont il dispose.

Hameçonnage : apprendre à reconnaître les pièges

L'hameçonnage reste la première cause d'incidents dans les organisations. Les messages frauduleux imitent de plus en plus fidèlement les communications d'un fournisseur, d'une banque, d'un transporteur, d'un service administratif ou d'un collègue, et l'intelligence artificielle générative rend leur rédaction plus convaincante. Quelques signes doivent alerter : un sentiment d'urgence, une demande inhabituelle comme un changement de coordonnées bancaires ou un paiement rapide, une adresse d'expéditeur légèrement différente de l'adresse habituelle, un lien qui mène vers un site dont l'adresse ne correspond pas au service annoncé, une pièce jointe inattendue. Le bon réflexe consiste à ne pas cliquer, à vérifier par un autre canal, par exemple en appelant l'interlocuteur à un numéro connu, et à signaler le message au service informatique ou sur la plateforme signal-spam.fr.

Le rançongiciel : les premières heures

Lorsqu'un rançongiciel frappe, les premières heures sont décisives. Il faut déconnecter immédiatement les postes et serveurs touchés du réseau, sans les éteindre pour préserver les traces utiles à l'enquête, prévenir le prestataire informatique et la direction, ne pas payer la rançon, contacter cybermalveillance.gouv.fr pour être orienté vers des prestataires compétents, déposer plainte, et évaluer si des données personnelles ont été chiffrées ou exfiltrées, ce qui conditionne la notification à la CNIL dans les 72 heures. La reprise d'activité s'appuie sur les sauvegardes, après avoir identifié et corrigé la faille exploitée par les attaquants, pour éviter une nouvelle infection. L'article consacré aux rançongiciels propose une fiche réflexe à afficher et à connaître de tous.

L'erreur humaine, une violation comme les autres

Toutes les violations ne sont pas des attaques. Un courriel envoyé au mauvais destinataire, une liste de diffusion avec les adresses visibles, un fichier partagé publiquement par erreur, un dossier oublié dans un train : ces incidents du quotidien constituent des violations de données au sens du RGPD. Ils doivent être consignés dans le registre des violations, et notifiés à la CNIL lorsqu'ils présentent un risque pour les personnes. La réaction compte : demander au destinataire de supprimer le message, retirer le partage, prévenir les personnes concernées si nécessaire. Une culture du signalement, sans recherche de coupable, permet de traiter ces incidents rapidement et d'en tirer des leçons pour éviter qu'ils ne se reproduisent.

Le registre des violations et la notification

Toute violation de données doit être documentée dans un registre interne, qu'elle soit notifiée ou non à la CNIL. Ce registre décrit les faits, leurs effets et les mesures prises, ainsi que le raisonnement qui a conduit à notifier ou non. La notification à la CNIL, dans les 72 heures, est requise lorsque la violation présente un risque pour les droits et libertés des personnes ; elle se fait en ligne et peut être complétée au fur et à mesure de l'enquête. L'information des personnes est requise lorsque le risque est élevé. Les articles de la rubrique proposent un modèle de registre des violations, des exemples de situations avec la décision de notifier ou non, et des modèles de messages aux personnes concernées.

La double authentification, mesure prioritaire

Si une seule mesure devait être retenue, ce serait la double authentification. Elle consiste à demander, en plus du mot de passe, un second élément que seul l'utilisateur possède, comme un code généré par une application sur son téléphone, une notification à valider ou une clé physique. Même si le mot de passe est volé par hameçonnage ou réutilisé après une fuite sur un autre site, l'attaquant ne peut pas se connecter. La CNIL considère désormais cette mesure comme attendue pour les accès exposés sur internet, et plusieurs sanctions ont relevé son absence. La plupart des messageries, outils collaboratifs et services en ligne la proposent gratuitement : il suffit de l'activer, en commençant par les comptes d'administration et la messagerie. L'article consacré à la double authentification guide pas à pas sa mise en place dans une PME.

Des articles classés par priorité

Chaque article de la rubrique indique le niveau de priorité de la mesure présentée et son coût approximatif, pour aider les petites structures à commencer par les gestes qui protègent le plus. La double authentification, les sauvegardes déconnectées et les mises à jour figurent en tête, car elles neutralisent la majorité des attaques courantes. Les mesures plus avancées, comme les tests d'intrusion, sont présentées pour les structures plus exposées, avec des repères pour choisir un prestataire qualifié et lire son rapport.