Vente à emporter (AI)
- La CNIL a mis à jour le guide 2010 sur la sécurité des données et l’a adapté au RGPD ; nouvelle version disponible uniquement en français pour le moment.
- Le principe de sécurité des données (article 32 du RGPD) exige une gestion appropriée des risques en quatre étapes : enregistrement, évaluation, mesures, audits.
- L’évaluation des risques comprend les conséquences, les sources de risque, les scénarios de risque, les mesures de protection existantes et la probabilité d’occurrence.
- Le guide énumère 17 mesures techniques et organisationnelles, telles que l’authentification, le contrôle d’accès, la sauvegarde, le cryptage et le développement sécurisé.
La CNIL, l’autorité française de contrôle de la protection des données, a mis à jour un guide sur la sécurité des données datant de 2010 et l’a adapté au RGPD. Le guide est à jour de 2010 disponible en anglaisqui nouvelle version pour l’instant uniquement en français.
Le principe de sécurité des données (art. 32 RGPD) vise à une gestion adéquate des risques liés à la protection des données. Pour cette gestion des risques, la CNIL recommande une approche en quatre étapes :
- Enregistrement des traitements de données
- Évaluation des risques:
- Détermination de l’impact potentiel sur les personnes concernées dans trois scénarios : (i) accès non autorisé aux données personnelles ; (ii) modification indésirable des données personnelles ; (iii) perte de données. Des exemples d’effets indésirables pourraient être l’usurpation d’identité, des accusations injustifiées suite à des données incorrectes, le fait de ne pas voir les effets secondaires d’un traitement médical parce que des données médicales ont été perdues).
- Détermination des sources de risqueIl s’agit de dangers internes et externes, humains et autres ;
- Détermination des scénarios de risque, c’est-à-dire les circonstances qui peuvent conduire à la réalisation d’un risque ;
- Détermination des mesures existantes ou possibles pour la prévention des risques, c’est-à-dire les mesures de sécurité techniques et organisationnelles ;
- Estimation de la probabilité de la survenance du risque ;
- Mesures de réduction des risques prendre et vérifier
- Régulièrement Contrôles de sécurité
La deuxième étape, l’évaluation des risques, peut être représentée comme suit :
Le guide décrit ensuite en 17 chapitres les mesures de sécurité techniques et organisationnelles selon le RGPD :
- Sensibiliser les utilisateurs
- Authentifier les utilisateurs
- Gérer les habilitations
- Tracer les accès et gérer les incidents
- Sécuriser les postes de travail
- Sécuriser l’informatique mobile
- Protéger le réseau informatique interne
- Sécuriser les serveurs
- Sécuriser les sites web
- Sauvegarder et prévoir la continuité d’activité
- Archiver de manière sécurisée
- Encadrer la maintenance et la destruction des données
- Gérer la sous-traitance
- Sécuriser les échanges avec d’autres organismes
- Protéger les locaux
- Encadrer les développements informatiques
- Chiffrer, garantir l’intégrité ou signer