DOSSIER FRA9 · Numérique et intelligence artificielle
Cybersécurité et données personnelles en France
Qui protège les systèmes, qui contrôle les données et quels réflexes adopter.
Comprendre l’essentiel en un regard
Mis à jour
FRA9Principes éditoriauxSignaler une correction
La durée estime le texte principal; tableaux, outils, sources et questions demandent un temps de lecture supplémentaire.
repères: ANSSI · CNIL · RGPD · Rançongiciels
ANSSI, CNIL et Cybermalveillance: qui fait quoi?
L’ANSSI protège les systèmes de l’État, régule certains acteurs essentiels et publie des référentiels de sécurité. La CNIL contrôle les traitements de données personnelles et le RGPD. Cybermalveillance.gouv.fr informe, assiste et oriente particuliers, collectivités et entreprises. Une plainte pénale, un incident technique et une notification de violation restent trois démarches différentes.
Réduire le risque avant l’incident
Activez l’authentification multifacteur, utilisez un gestionnaire de mots de passe, corrigez rapidement les failles et retirez les comptes inutiles. Séparez administration, usage quotidien et prestataires. Des sauvegardes hors ligne ou isolées doivent être restaurées en test, pas seulement déclarées réussies. L’organisation doit connaître ses actifs, responsables, contacts d’urgence et services indispensables.
Hameçonnage et fraude au paiement
Un message peut copier le nom d’un dirigeant, d’une banque, d’un fournisseur ou d’une administration. Vérifiez la demande par un second canal déjà connu, surtout pour un changement d’IBAN, un code de connexion ou un paiement urgent. Examinez le domaine complet, pas seulement le nom affiché. Ne validez jamais une notification d’authentification que vous n’avez pas déclenchée.
Les premières heures d’un incident
Isolez les équipements touchés du réseau sans les éteindre aveuglément, alertez l’équipe ou le prestataire responsable et préservez journaux, courriels et chronologie. Bloquez les accès compromis et préparez la continuité des fonctions critiques. En cas de rançongiciel, Cybermalveillance recommande de ne pas payer. Communiquez des faits confirmés et désignez une personne qui coordonne technique, juridique et métier.
Violation de données et délai de 72 heures
Toute perte de confidentialité, d’intégrité ou de disponibilité de données personnelles doit être documentée. Si elle crée un risque pour les personnes, le responsable de traitement notifie la CNIL dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance. Une notification initiale peut être complétée; un risque élevé peut aussi imposer d’informer les personnes concernées.
Victime individuelle: sécuriser puis signaler
Changez d’abord le mot de passe du compte principal depuis un appareil sain, révoquez les sessions et contrôlez les moyens de récupération. Prévenez banque ou opérateur si paiement, carte ou ligne mobile sont concernés. Gardez URL, en-têtes, captures et relevés. THESEE, Perceval, PHAROS, plainte et plateforme 17Cyber répondent à des situations distinctes: utilisez l’orientation officielle adaptée aux faits.
Sous-traitants, cloud et responsabilité
Externaliser un service ne transfère pas toute la responsabilité. Contrat, accès administrateur, localisation, chiffrement, journalisation, sauvegarde, sous-traitance ultérieure et procédure de sortie doivent être vérifiés avant achat. Le responsable de traitement et son sous-traitant définissent qui détecte, alerte, documente et notifie. Testez le contact d’urgence du fournisseur avant qu’un incident réel ne bloque l’activité.
Le dossier de preuve et de reprise
Tenez une chronologie des détections, décisions, systèmes touchés, données possibles, mesures et communications. Conservez les éléments techniques sans diffuser de données sensibles. Après restauration, changez les secrets, recherchez la porte d’entrée, surveillez la récidive et corrigez le processus, pas seulement la machine. Le retour d’expérience doit produire des responsables, des échéances et un nouveau test de restauration.
Questions fréquentes
ANSSI et CNIL ont-elles le même rôle?
Non. L’ANSSI traite la sécurité des systèmes; la CNIL contrôle les données personnelles et le RGPD.
Une violation doit-elle toujours être notifiée?
Elle doit toujours être documentée; la notification à la CNIL dépend notamment du risque pour les personnes.
Quel est le délai de notification?
Sans retard injustifié et, si possible, dans les 72 heures après connaissance d’une violation présentant un risque.
Faut-il payer une rançon?
Cybermalveillance.gouv.fr recommande de ne pas payer et d’isoler puis faire assister l’organisation.
Une sauvegarde suffit-elle?
Seulement si elle est isolée, protégée et régulièrement testée par une restauration réelle.
À lire aussi
