Ce cas pratique porte sur une PME fictive de 250 salariés (dénommée ALPHACORP pour l’exercice), venant de subir une fuite de données consécutive à une campagne de phishing, et devant structurer sa réponse tant sur le plan de la gouvernance que de la conformité réglementaire. Il illustre comment la gestion des risques et le cadre juridique se traduisent en décisions concrètes, plutôt qu’en principes abstraits.
Inventorier les actifs et prioriser les enjeux
La démarche commence par identifier ce qui a de la valeur et ce qui conditionne le fonctionnement de l’activité. Les actifs critiques se répartissent en quatre catégories : les données clients sensibles, dont la fuite menace directement la survie de l’entreprise ; les services cloud (messagerie, CRM), vitaux pour la communication et la relation client ; les postes de travail et terminaux mobiles, principal vecteur d’entrée du phishing subi ; et le personnel lui-même, cible privilégiée de l’ingénierie sociale.
Les parties prenantes à considérer incluent les prestataires cloud — responsables de la sécurité de leurs infrastructures, sans que cela n’exonère l’organisation de sa propre responsabilité sur les données —, les clients dont la confiance a été ébranlée, et la CNIL, à laquelle l’incident doit être notifié.
La priorisation des enjeux suit un ordre logique : d’abord la confidentialité, pour empêcher de nouvelles fuites et éviter des sanctions massives ; puis la disponibilité, pour garantir l’accès continu aux outils cloud et maintenir l’activité opérationnelle ; enfin la conformité légale, pour se mettre en règle vis-à-vis du RGPD à la suite de l’incident.
Structurer la gouvernance
L’organisation proposée répartit les responsabilités selon un schéma classique mais souvent négligé dans les PME de cette taille : la direction porte la responsabilité finale, arbitre le plan d’actions et alloue les ressources budgétaires ; un référent SSI, en l’absence de RSSI dédié, coordonne la sécurité et sert de point de contact en cas d’incident ; un DPO devient indispensable dès lors que l’organisation traite des données sensibles à grande échelle ; des relais informatique et libertés (RIL), positionnés dans chaque service clé, facilitent la remontée d’information.
Trois politiques de sécurité s’imposent en priorité. Une politique d’authentification et de mots de passe, avec authentification multifacteur systématique, répond directement au vol d’identifiants qui a permis l’incident initial. Une charte informatique définit les règles de bon usage et sensibilise les salariés (interdiction de cliquer sur des liens suspects, verrouillage systématique de session). Une politique de classification de l’information distingue les niveaux de sensibilité (public, interne, confidentiel) et leur applique des mesures de protection proportionnées, à commencer par le chiffrement des données les plus sensibles.
Rédiger ces politiques suit quatre phases : un cadrage initial définissant objectifs et périmètre avec la direction ; une concertation avec les métiers et les ressources humaines pour s’assurer que les règles resteront applicables ; une rédaction formalisant les exigences techniques et organisationnelles ; enfin une validation et diffusion, signée par la direction et accompagnée d’une sensibilisation obligatoire de l’ensemble du personnel.
Traduire la conformité en actions concrètes
La conformité ne se limite jamais à un principe déclaré — elle se vérifie dans des actions précises, que je résume ici en regard de leur référentiel d’origine :
| Référentiel | Exigence | Action concrète |
|---|---|---|
| RGPD (art. 32) | Sécurité du traitement | Authentification multifacteur sur le CRM et la messagerie |
| RGPD (art. 33) | Notification de violation | Registre interne des violations, notification CNIL sous 72h si nécessaire |
| ANSSI (règle 2) | Sensibilisation | Simulations de phishing régulières pour entraîner les salariés |
| ANSSI (règle 18) | Chiffrement | Chiffrement systématique des données sensibles, en cloud comme par courriel |
| RGPD (accountability) | Responsabilisation | Registre des traitements de données personnelles tenu à jour |
| ANSSI (règle 37) | Sauvegarde | Politique de sauvegarde hors ligne contre le risque de rançongiciel |
Ce tableau illustre un principe plus général : les référentiels RGPD et ANSSI, bien que d’origine et de portée différentes, convergent presque systématiquement vers les mêmes mesures concrètes — authentification forte, chiffrement, sauvegarde isolée, sensibilisation répétée. Une organisation qui traite sérieusement l’un traite, de fait, une bonne part de l’autre.