RGPD : le volet informatique

Ce qui relève de nous, et ce qui n’en relève pas

Nous ne rédigeons pas votre registre de traitements, nous ne qualifions pas vos bases légales et nous ne faisons pas d’analyse d’impact. Ce travail revient à un juriste ou à un délégué à la protection des données, et nous vous orientons vers eux.

Ce que nous faisons, c'est le socle technique sans lequel aucune conformité ne tient : savoir où sont les données, qui peut les atteindre, ce qui est tracé, ce qui est sauvegardé, et ce qui est réellement effacé quand il doit l’être.

C'est aussi la partie que personne ne peut faire à votre place sur le papier, parce qu’elle dépend de la façon dont votre installation est montée.

Les six points techniques que nous traitons

• Savoir où sont les données. C'est le point de départ, et il réserve des surprises : un export de clients sur le bureau d’un poste, une copie sur une clé USB, un fichier dans une boîte mail, une base de test avec de vraies données. On ne protège pas ce qu’on ne sait pas localiser.
• Les accès nominatifs. Un compte par personne, jamais un compte partagé. Sans cela, aucune trace ne désigne qui a consulté quoi, et le droit d’accès comme la gestion d’un incident deviennent impossibles à instruire.
• Le moindre privilège. Chacun accède à ce dont il a besoin, et pas au reste. C'est le réglage le plus négligé et le plus efficace : il limite ce qu’un compte compromis permet de faire.
• Le chiffrement des postes mobiles. Un portable volé sans chiffrement livre ses données. Chiffré, il ne livre rien, ce qui change la nature même de l’incident.
• La journalisation. Des traces conservées assez longtemps pour être utiles. Sans journaux, une notification de violation de données se rédige sans savoir ce qui est réellement sorti, ce qui est la pire des situations.
• L'effacement maîtrisé. Supprimer une donnée veut dire la supprimer aussi des sauvegardes selon un cycle défini, et des postes où elle a été recopiée. Un effacement qui ne porte que sur l’écran n’est pas un effacement.

La durée de conservation, en pratique

Garder une donnée personnelle indéfiniment « au cas où » est la pratique la plus répandue et la plus difficile à défendre. Techniquement, cela demande de savoir quelles données ont une date de péremption et de prévoir leur sortie.

C'est un travail commun : vous décidez des durées avec votre conseil, et nous les rendons applicables dans les logiciels, les partages et les sauvegardes. Une durée écrite dans un registre mais jamais appliquée dans les fichiers ne protège personne.

Le jour où il y a un incident

Une violation de données se déclare dans un délai court, et la déclaration demande de savoir quelles données sont concernées, combien de personnes, et par où c’est entré. Ces réponses se trouvent dans les journaux, ou nulle part.

C'est la raison pour laquelle nous insistons sur la journalisation et la surveillance bien avant qu’il se passe quoi que ce soit. Après coup, il est trop tard pour décider de conserver des traces.

En cas d’incident, nous intervenons en moins de 24 heures ouvrées, et nous vous fournissons les éléments techniques dont votre conseil a besoin.