Cas corrigés type E5, E6 et E7

1. « Le tableur était tenu à la main, donc faux dès qu'un poste changeait de mains. L'agent remonte chaque jour la configuration et les logiciels de chaque poste : l'inventaire technique reste juste sans effort. GLPI relie en plus chaque matériel à son utilisateur, à sa garantie, à ses tickets et à ses licences, ce qui permet de faire les contrôles qu'un tableur ne fait pas, comme le rapprochement des licences. C'est ce que demande la compétence : un recensement avec un outil de gestion des actifs. »
2. « C'est une contrefaçon : 7 installations hors licence. Le risque juridique, c'est un audit de l'éditeur, qui exigerait de régulariser, souvent au tarif public avec des pénalités. Au minimum, 7 × 290 = 2 030 € HT. J'ai proposé de désinstaller le logiciel des postes qui ne s'en servaient pas : sur les 7, 5 ne l'utilisaient plus ; Sorbier a acheté 2 licences. »
3. « Ce sont des abonnements payés pour rien, et surtout des comptes actifs de personnes qui ne sont plus dans l'entreprise : un risque de sécurité. J'ai fait désactiver les comptes et réduire l'abonnement à l'échéance. La cause est organisationnelle : personne ne prévenait le service informatique des départs ; j'ai proposé un formulaire de départ déclenché par la direction. »
4. « Avant la sortie, j'ai fait effacer les disques avec un logiciel d'effacement certifié et j'ai joint les rapports d'effacement aux fiches, parce que des données personnelles qui partent avec un disque, c'est une violation de données. Les postes ont été confiés à une filière DEEE, et le bordereau est joint aux fiches, qui restent dans GLPI au statut Réformé : elles prouvent ce que sont devenus les postes. J'ai aussi retiré leurs licences OEM et leurs contrats de maintenance. »
5. « Les pratiques ITIL de gestion des actifs et des configurations pour le cycle de vie, et le guide d'hygiène informatique de l'ANSSI, qui place la connaissance du parc parmi les premières mesures de sécurité. Les statuts et la procédure de réforme suivent les règles internes de Sorbier, que j'ai rédigées avec le responsable. »
6. « J'aurais renseigné dès le début les coûts dans les tickets, pour que le coût total de possession calculé par GLPI ait un sens, et j'aurais planifié un rapprochement des licences tous les trimestres, pas une seule fois. »

Ce que la commission écoute : des chiffres, les enjeux économiques (coût, régularisation, abonnements inutiles) et juridiques (contrefaçon, données personnelles, DEEE), et ta contribution personnelle.

1. « La bibliothèque B, sous licence MIT. Elle couvre le besoin (un récapitulatif simple), et sa licence permissive impose seulement de conserver la mention de copyright et le texte de la licence : Sorbier pourra mettre l'application à disposition de ses partenaires sous les conditions qu'elle veut. La bibliothèque A, sous AGPL, ferait entrer l'application dans son copyleft : en la proposant à des partenaires par le réseau, Sorbier devrait leur fournir le code source de l'application sous AGPL, ou acheter la licence commerciale. C'est un coût et une contrainte que le besoin ne justifie pas. J'ajoute la bibliothèque à la liste des composants et de leurs licences. »
2. « Les pièces comptables se conservent dix ans (article L123-22 du Code de commerce). Je stocke les PDF hors du serveur web, dans un stockage dédié sauvegardé, avec un nom qui contient l'identifiant de la note et un contrôle d'intégrité (une empreinte SHA-256 enregistrée en base), pour pouvoir prouver qu'un document n'a pas été modifié. L'hébergement reste dans l'Union européenne. »
3. « Il faut respecter le RGPD : minimisation (le PDF ne contient que ce qui est utile au remboursement), accès réservé aux comptables et au salarié concerné, durée de conservation définie (dix ans pour la pièce comptable, puis suppression), et mise à jour du registre des traitements par le responsable. Dans le code : contrôle d'accès sur la route qui sert le PDF, pas de lien public devinable. »
4. « Une nouvelle licence ne s'applique qu'aux nouvelles versions : la version que j'utilise reste sous MIT. Je fixe la version dans le fichier des dépendances, et la veille sur les composants (avec un outil d'analyse des dépendances) signalerait un changement de licence avant une mise à jour. »

1. Offre A : 2 048 × 0,020 = 40,96 € par mois, soit 491,52 € par an ; un test de restauration complète télécharge 2 048 Go : 2 048 × 0,09 = 184,32 €, total 675,84 € par an. Offre B : 2 048 × 0,012 + 15 = 39,58 € par mois (39,576 arrondi), soit 474,91 € par an, sans frais de sortie : le test de restauration ne coûte rien de plus.
2. L'offre B. Le verrouillage des objets rend les copies non modifiables, même par un attaquant qui aurait volé les identifiants : c'est la protection demandée contre le rançongiciel (règle 3-2-1-1-0, sauvegarde et rançongiciel). L'absence de frais de sortie permet de tester la restauration chaque année sans y regarder, et facilite un changement de fournisseur. Un hébergeur français n'est pas soumis au CLOUD Act américain, et sa certification ISO/IEC 27001 (à vérifier sur le certificat : périmètre et validité) atteste d'une gestion méthodique de la sécurité.
3. La localisation des données (en France ou dans l'Union), les clauses de sous-traitance de l'article 28 du RGPD (les sauvegardes contiennent des données personnelles), le SLA (disponibilité du service, délai de restauration), la réversibilité (export de tous les objets, suppression attestée en fin de contrat), le chiffrement (de préférence par Sorbier avant l'envoi, avec des clés qu'elle garde), et l'évolution du prix.

1.1. L'article 5 contient deux obligations de résultat : un taux de disponibilité chiffré (« garantit… 99,7 % ») et un délai de rétablissement chiffré (« garantit le rétablissement… dans un délai de 4 heures »). Sorbier n'a qu'à prouver l'indisponibilité et le dépassement du délai, sans démontrer de faute. L'article 9 contient aussi des obligations de résultat, précises et vérifiables : valider les mises à jour sur un environnement de test avant de les appliquer, conserver les journaux douze mois. Le rapport d'incident montre que ni l'une ni l'autre n'a été respectée.

1.2. Mars compte 31 × 24 × 60 = 44 640 minutes. Indisponibilité : de 14 h 05 à 23 h 45, soit 9 h 40 = 580 minutes (le contrat tolère 44 640 × 0,003 = 133,92 minutes). Disponibilité : (44 640 − 580) ÷ 44 640 ≈ 98,70 %. Manque : 99,7 − 98,70 ≈ 0,999 point, soit 10 tranches entamées de 0,1 point : 10 × 5 % = 50 % de 1 450 €, soit 725 €. Dépassement de la GTR : le délai court à partir de la détection, à 14 h 07 ; le service devait être rétabli à 18 h 07 et ne l'a été qu'à 23 h 45, soit 5 h 38 de dépassement, donc 6 heures entamées : 6 × 150 = 900 €. Total avant plafond : 725 + 900 = 1 625 €. Plafond : 25 % × 1 450 = 362,50 € HT. Bréval doit 362,50 € HT de pénalités.

1.3. Coût pour Sorbier : appels 48 × 6 min = 288 min = 4,8 h × 30 € = 144 € ; coordination 3 × 45 = 135 € ; pénalités clients 2 × 400 = 800 € ; total 1 079 €, sans compter l'atteinte à l'image. Les pénalités n'en couvrent qu'un tiers.

Problème : la clause qui fait des pénalités « la seule indemnisation » empêche-t-elle Sorbier d'obtenir réparation de tout son préjudice ?

Règles : une clause limitative de responsabilité est en principe valable entre professionnels, mais elle est écartée en cas de faute lourde du débiteur (article 1231-3 du Code civil) et réputée non écrite si elle prive de sa substance l'obligation essentielle (article 1170). La pénalité, clause pénale, peut aussi être augmentée par le juge si elle est manifestement dérisoire (article 1231-5).

Application : Bréval a appliqué une mise à jour directement en production, contrairement à l'article 9, puis a désactivé la journalisation, contrairement au même article. Pour un professionnel de l'infogérance, violer ainsi les règles qu'il s'est engagé à suivre peut être qualifié de négligence d'une extrême gravité, donc de faute lourde. Par ailleurs, un plafond de 362,50 € pour près de dix heures d'arrêt d'un service garanti à 99,7 % peut être discuté comme dérisoire au regard de l'obligation essentielle de disponibilité, même si un plafond n'est pas illicite en soi.

Conclusion : Sorbier peut réclamer la réparation de son préjudice prouvé (1 079 €) en soutenant la faute lourde ; à défaut, elle obtient au moins les 362,50 € de pénalités. Elle doit d'abord mettre Bréval en demeure par écrit, pièces à l'appui (supervision, rapport d'incident, factures des pénalités clients).

2.1. Le site affiche les noms et adresses des destinataires : ce sont des données à caractère personnel. Leur indisponibilité accidentelle, même temporaire et sans fuite, est une violation de données au sens du RGPD (une atteinte à leur disponibilité). Bréval, sous-traitant, doit en informer Sorbier dans les meilleurs délais après en avoir pris connaissance (article 33 du RGPD). Sorbier, responsable de traitement, doit documenter la violation dans son registre des violations ; elle ne la notifie à la CNIL dans les 72 heures que si elle présente un risque pour les droits et libertés des personnes. Ici, l'indisponibilité a duré moins d'une journée et rien n'indique une fuite ; mais l'absence de journaux de 16 h 30 à 23 h 45 empêche d'exclure un accès illégitime (question 2.2). Sorbier demande à Bréval tous les éléments disponibles (supervision, journaux du pare-feu), consigne son analyse et notifie la CNIL si un doute sérieux subsiste sur la confidentialité.

2.2. Pour l'administrateur : il a enfreint une règle d'exploitation du contrat et probablement la charte administrateur de Bréval ; Bréval, son employeur, peut le sanctionner de façon proportionnée (il voulait rétablir le service, pas nuire, donc pas de faute lourde, et pas de responsabilité pécuniaire envers son employeur). Sorbier ne peut pas agir contre lui personnellement : il est resté dans sa mission. Pour Bréval : c'est une inexécution de l'article 9, dont elle répond envers Sorbier, et un argument en faveur de la faute lourde (question 1.3). Pour Sorbier : l'absence de journaux pendant sept heures empêche de vérifier ce qui s'est passé sur le serveur (une intrusion profitant de l'incident ne serait pas détectable), ce qui fragilise sa propre obligation de sécurité (article 32 du RGPD). La bonne pratique était d'étendre la partition ou de déplacer les journaux, jamais de les désactiver.

2.3. Non : une phrase sur la seule restitution des « données » ne dit ni quoi, ni sous quel format, ni quand, ni à quel prix. Ajouts possibles : la liste de ce qui est restitué (données, sauvegardes, configurations, documentation d'exploitation, journaux, comptes et secrets d'administration) dans des formats standard ; les délais et une assistance à la reprise pendant une période fixée, à un prix annexé ; un plan de réversibilité mis à jour et testé ; la suppression attestée des données chez Bréval et ses sous-traitants ; la survie de la clause après la fin du contrat (rédiger une clause de réversibilité).