Sécurité des données
La sécurité se lit dans les accès, les sous-traitants, les sauvegardes, la réaction en cas d’incident et la capacité à montrer des mesures vérifiables.
La sécurité ne se résume ni à une formule générale ni à un mot de passe fort. Sur un site public, elle se mesure dans les accès, les réglages, la sous-traitance, la gestion des incidents, les sauvegardes et la capacité à expliquer ce qui a été prévu, vérifié et corrigé.
Une page “sécurité” n’a de valeur que si elle correspond à une réalité vérifiable et soutenable.
Comptes individuels, habilitations revues, retrait des accès inutiles, logique de mot de passe et séparation minimale des rôles.
Administration exposée, messages d’erreur, dépendances, parcours de collecte, composants tiers et surfaces d’exposition évitables.
Journalisation utile, gestion des alertes, qualification des incidents et capacité à reconstituer rapidement ce qui s’est passé.
Sauvegardes, restauration, indisponibilité, compromission, reprise d’activité et ordre de réaction lorsque le service vacille.
La sécurité ne se limite ni au serveur ni au développement. Elle repose aussi sur l’organisation, les utilisateurs et les prestataires.
Le vrai défaut ne tient pas seulement à l’incident. Il tient souvent à l’absence de méthode pour le qualifier, le documenter et agir dans les délais utiles.
Distinguer l’incident technique simple de la violation de données à caractère personnel.
Fermer l’accès concerné, préserver les traces utiles et limiter l’extension du problème.
Reconstituer les faits, les données concernées, les catégories de personnes touchées et les mesures prises.
Si le risque est réel, notification à la CNIL sans retard injustifié et, si possible, dans les 72 heures.
Si le risque est élevé pour les personnes, communication claire, utile et rapide aux personnes concernées.
Un audit de site ne remplace pas un audit SSI complet, mais il permet déjà d’objectiver de nombreuses faiblesses visibles ou déductibles.
Le site, les formulaires, les composants tiers, la documentation et les premières preuves de sécurité doivent pouvoir être relus ensemble.
