La CNIL, l’autorité française de contrôle de la protection des données, a mis à jour un guide sur la sécurité des données datant de 2010 et l’a adapté au RGPD. Le guide est à jour de 2010 disponible en anglaisqui nouvelle version pour l’instant uniquement en français.
Le principe de sécurité des données (art. 32 RGPD) vise à une gestion adéquate des risques liés à la protection des données. Pour cette gestion des risques, la CNIL recommande une approche en quatre étapes :
- Enregistrement des traitements de données
- Évaluation des risques:
- Détermination de l’impact potentiel sur les personnes concernées dans trois scénarios : (i) accès non autorisé aux données personnelles ; (ii) modification indésirable des données personnelles ; (iii) perte de données. Des exemples d’effets indésirables pourraient être l’usurpation d’identité, des accusations injustifiées suite à des données incorrectes, le fait de ne pas voir les effets secondaires d’un traitement médical parce que des données médicales ont été perdues).
- Détermination des sources de risqueIl s’agit de dangers internes et externes, humains et autres ;
- Détermination des scénarios de risque, c’est-à-dire les circonstances qui peuvent conduire à la réalisation d’un risque ;
- Détermination des mesures existantes ou possibles pour la prévention des risques, c’est-à-dire les mesures de sécurité techniques et organisationnelles ;
- Estimation de la probabilité de la survenance du risque ;
- Mesures de réduction des risques prendre et vérifier
- Régulièrement Contrôles de sécurité
La deuxième étape, l’évaluation des risques, peut être représentée comme suit :
Le guide décrit ensuite en 17 chapitres les mesures de sécurité techniques et organisationnelles selon le RGPD :
- Sensibiliser les utilisateurs
- Authentifier les utilisateurs
- Gérer les habilitations
- Tracer les accès et gérer les incidents
- Sécuriser les postes de travail
- Sécuriser l’informatique mobile
- Protéger le réseau informatique interne
- Sécuriser les serveurs
- Sécuriser les sites web
- Sauvegarder et prévoir la continuité d’activité
- Archiver de manière sécurisée
- Encadrer la maintenance et la destruction des données
- Gérer la sous-traitance
- Sécuriser les échanges avec d’autres organismes
- Protéger les locaux
- Encadrer les développements informatiques
- Chiffrer, garantir l’intégrité ou signer