Guide de la sécurité des données personnelles - CNIL

1 FrLA S CURIT DES donn ES PERSONNELLESLES GUIDES DE LA CNIL2 SOMMAIREI ntroduction : G rer les risques sur la vie priv eSensibiliser les utilisateursAuthentifier les utilisateursG rer les habilitationsTracer les acc s et g rer les incidentsS curiser les postes de travailS curiser l'informatique mobileProt ger le r seau informatique interneS curiser les serveursS curiser les sites webSauvegarder et pr voir la continuit d'activit Archiver de mani re s curis eEncadrer la maintenance et la destruction des donn esG rer la sous-traitanceS curiser les changes avec d'autres organismesProt ger les locauxEncadrer les d veloppements informatiquesChiffrer, garantir l int grit ou signer valuer le niveau de s curit des donn es personnelles de votre organismeFICHE N 1 :FICHE N 2 :FICHE N 3 :FICHE N 4 : FICHE N 5 :FICHE N 6 :FICHE N 7 :FICHE N 8 :FICHE N 9 :FICHE N 10 :FICHE N 11 :FICHE N 12 :FICHE N 13 :FICHE N 14 :FICHE N 15 :FICHE N 16 :FICHE N 17 : 479111213151617192021222325262728303 LES GUIDES DE LA CNILLA S CURITE DES donn ES PERSONNELLESINTRODUCTIONL a gestion des risques permet de d terminer les pr cautions prendre au regard de la nature des donn es et des risques pr sent s par le traitement, pour pr server la s cu-rit des donn es (article 34 de la loi du 6 janvier 1978 modifi e, dite loi Informatique et Libert s).

2 Le r glement europ en 2016/679 du 27 avril 2016 (dit r glement g n ral sur la protection des donn es ou RGPD) pr cise que la protection des donn es personnelles n cessite de prendre des mesures techniques et organisationnelles appropri es afin de garantir un niveau de s curit adapt au risque (article 32).Une telle approche permet en effet une prise de d cision objective et la d termination de mesures strictement n cessaires et adapt es au contexte. Il est cependant parfois difficile, lorsque l on n est pas familier de ces m thodes, de mettre en uvre une telle d marche et de s assurer que le minimum a bien t mis en uvre. Pour vous aider dans votre mise en conformit , ce Guide rappelle ces pr cautions l men-taires qui devraient tre mises en uvre de fa on syst l id al, ce Guide sera utilis dans le cadre d une gestion des risques, m me minimale, constitu e des quatre tapes suivantes :Recenser les traitements de donn es caract re personnel, automatis s ou non, les donn es trai-t es (ex : fichiers client, contrats) et les supports sur lesquels elles reposent : les mat riels (ex : serveurs, ordinateurs portables, disques durs) ; les logiciels (ex : syst me d exploitation, logiciel m tier) ; les canaux de communication (ex : fibre optique, Wi-Fi, Internet) ; les supports papier (ex : document imprim , photocopie).

3 Appr cier les risques engendr s par chaque traitement :1. Identifier les impacts potentiels sur les droits et libert s des personnes concern es, pour les trois v -nements redout s suivants :- acc s ill gitime des donn es (ex : usurpations d identit s cons cutives la divulgation des fiches de paie de l ensemble des salari s d une entreprise) ;- modification non d sir e de donn es (ex : accusation tort d une personne d une faute ou d un d lit suite la modification de journaux d acc s) ;- disparition de donn es (ex : non d tection d une interaction m dicamenteuse du fait de l impossibilit d acc der au dossier lectronique du patient).2. Identifier les sources de risques (qui ou quoi pourrait tre l origine de chaque v nement redout ?), en prenant en compte des sources humaines internes et externes (ex : administrateur informatique, utilisateur, attaquant externe, concurrent), et des sources non humaines internes ou externes (ex : eau, mat riaux dangereux, virus informatique non cibl ).

4 4 LES GUIDES DE LA CNILLA S CURITE DES donn ES PERSONNELLESR isquesImpacts sur les personnesPrincipales sources de risquesPrincipales menacesMesures existantes ou pr vuesGravit VraisemblanceAcc s ill gitime des donn esModification non d sir e de donn esDisparition de donn es3. Identifier les menaces r alisables (qu est-ce qui pourrait permettre que chaque v nement redout survienne ?). Ces menaces se r alisent via les supports des donn es (mat riels, logiciels, canaux de communication, supports papier, etc.), qui peuvent tre :- utilis s de mani re inadapt e (ex : abus de droits, erreur de manipulation) ;- modifi s (ex : pi geage logiciel ou mat riel keylogger, installation d un logiciel malveillant) ;- perdus (ex : vol d un ordinateur portable, perte d une cl USB) ;- observ s (ex : observation d un cran dans un train, g olocalisation d un mat riel) ;- d t rior s (ex : vandalisme, d gradation du fait de l usure naturelle) ;- surcharg s (ex : unit de stockage pleine, attaque par d nis de service).

5 4. D terminer les mesures existantes ou pr vues qui permettent de traiter chaque risque (ex : contr le d acc s, sauvegardes, tra abilit , s curit des locaux, chiffrement, anonymisation).5. Estimer la gravit et la vraisemblance des risques, au regard des l ments pr c dents (exemple d chelle utilisable pour l estimation : n gligeable, mod r e, importante, maximale).Le tableau suivant peut tre utilis pour formaliser cette r flexion :Mettre en uvre et v rifier les mesures pr vues. Si les mesures existantes et pr vues sont jug es appropri es, il convient de s assurer qu elles soient appliqu es et contr l r aliser des audits de s curit p riodiques. Chaque audit devrait donner lieu un plan d action dont la mise en uvre devrait tre suivie au plus haut niveau de l GUIDES DE LA CNILLA S CURITE DES donn ES PERSONNELLESPOUR ALLER PLUS LOIN Le RGPD introduit la notion d analyse d impact relative la protection des donn es et pr cise que celle-ci doit au moins contenir une description du traitement et de ses finalit s, une valuation de la n cessit et de la proportionnalit , une appr ciation des risques [.]

6 ] et les mesures envisag es pour traiter ces risques et se conformer au r glement (voir article ). La r flexion sur les risques dont il est question dans la pr sente fiche permet d alimenter le volet sur l appr ciation des risques de l analyse d impact. Les guides PIA de la CNIL ( ) permettent de me-ner une analyse d impact relative la protection des donn es. L tude des risques sur la s curit de l information1 peut tre men e en m me temps que l tude des risques sur la vie priv e. Ces approches sont compatibles. L tude des risques permet de d terminer des mesures de s curit mettre en place. Il est n ces-saire de pr voir un budget pour leur mise en Par exemple l aide de la m thode EBIOS, m thode de gestion des risques publi e par l Agence nationale de la s curit des syst mes d information (ANSSI) du Secr tariat g n ral de la d fense et de la s curit nationale (SGDSN). EBIOS est une marque d pos e du SGDSN ( ).

7 LES GUIDES DE LA CNILLA S CURITE DES donn ES PERSONNELLES7 SENSIBILISER LES UTILISATEURSF aire prendre conscience chaque utilisateurdes enjeux en mati re de s curit et de vie priv e. LES PR CAUTIONS L MENTAIRES Sensibiliser les utilisateurs travaillant avec des donn es caract re personnel aux risques li s aux libert s et la vie priv e, les informer des mesures prises pour traiter les risques et des cons quences potentielles en cas de manquement. Organiser une s ance de sensibilisation, envoyer r guli rement les mises jour des proc dures pertinentes pour les fonctions des personnes, faire des rappels par messagerie lectronique, etc. Documenter les proc dures d exploitation, les tenir jour et les rendre disponibles tous les utilisateurs concern s. Concr tement, toute action sur un traitement de donn es caract re personnel, qu il s agisse d op rations d administration ou de la simple utilisation d une application, doit tre expliqu e dans un langage clair et adapt chaque cat gorie d utilisateurs, dans des documents auxquels ces derniers peuvent se r f rer.

8 R diger une charte informatique et lui donner une force contraignante (ex. annexion au r glement int rieur). Cette charte devrait au moins comporter les l ments suivants :1. Le rappel des r gles de protection des donn es et les sanctions encourues en cas de non respect de Le champ d application de la charte, qui inclut notamment : - les modalit s d intervention des quipes charg es de la gestion des ressources informatiques de l organisme ;- les moyens d authentification utilis s par l organisme ;- les r gles de s curit auxquelles les utilisateurs doivent se conformer, ce qui doit inclure notamment de : - signaler au service informatique interne toute violation ou tentative de violation suspect e de son compte informatique et de mani re g n rale tout dysfonctionnement ; - ne jamais confier son identifiant/mot de passe un tiers ; - ne pas installer, copier, modifier, d truire des logiciels sans autorisation ; - verrouiller son ordinateur d s que l on quitte son poste de travail.

9 - ne pas acc der, tenter d acc der, ou supprimer des informations si cela ne rel ve pas des t ches incombant l utilisateur ; - respecter les proc dures pr alablement d finies par l organisme afin d encadrer les op rations de copie de donn es sur des supports amovibles, notamment en obtenant l accord pr alable du sup -rieur hi rarchique et en respectant les r gles de s curit .3. Les modalit s d utilisation des moyens informatiques et de t l communications mis disposition comme : - le poste de travail ; - les quipements nomades (notamment dans le cadre du t l travail) ; - les espaces de stockage individuel ; - les r seaux locaux ; - les conditions d utilisation des dispositifs personnels ; - l Internet ; - la messagerie lectronique ; - la t l phonie. 4. Les conditions d administration du syst me d information, et l existence, le cas ch ant, de : - syst mes automatiques de filtrage ; - syst mes automatiques de tra abilit ; - gestion du poste de Les responsabilit s et sanctions encourues en cas de non respect de la ALLER PLUS LOIN Mettre en place une politique de classification de l information d finissant plusieurs niveaux et imposant un marquage des documents et des e-mails contenant des donn es confidentielles.

10 Porter une mention visible et explicite sur chaque page des documents papiers ou lectroniques qui contiennent des donn es sensibles2. Organiser des s ances de formation et de sensibilisation la s curit de l information. Des rappels p riodiques peuvent tre effectu s par le biais de la messagerie lectronique. Pr voir la signature d un engagement de confidentialit (voir mod le de clause ci-dessous), ou pr voir dans les contrats de travail une clause de confidentialit sp cifique concernant les donn es carac-t re LES UTILISATEURS1 Exemple d engagement de confidentialit pour les personnes ayant vocation manipuler des donn es caract re personnel :Je soussign /e Monsieur/Madame _____, exer ant les fonctions de _____ au sein de la soci t _____ (ci-apr s d nomm e la Soci t ), tant ce titre amen /e acc der des donn es caract re personnel, d clare reconna tre la confidentialit desdites donn m engage par cons quent, conform ment l article 121 de la loi du 6 janvier 1978 modifi e relative l informatique, aux fichiers et aux libert s ainsi qu l article 32 du r glement g n ral sur la protection des donn es du 27 avril 2016, prendre toutes pr cau-tions conformes aux usages et l tat de l art dans le cadre de mes attributions afin de prot ger la confidentialit des informations auxquelles j ai acc s, et en particulier d emp cher qu elles ne soient communiqu es des personnes non express ment autoris es recevoir ces m engage en particulier.