Risques, priorité ITIL, RGPD et preuves : les thèmes transverses

Les thèmes transverses de l'E7 relient la technique à l'organisation et au droit : évaluer un incident avec les critères de sécurité, une échelle de gravité et une matrice de priorité ; dire quelles obligations légales il déclenche ; appliquer le RGPD aux données collectées et conservées ; préserver les preuves. Presque chaque sujet a un dossier qui s'ouvre ou se ferme sur ces questions, souvent rentables parce qu'elles demandent du raisonnement plus que de la technique.

Les critères de sécurité : D, I, C… et T

Ce que tu dois savoir. La sécurité d'une information se mesure sur trois critères : la disponibilité (elle est accessible quand on en a besoin), l'intégrité (elle n'a pas été modifiée sans autorisation) et la confidentialité (seules les personnes autorisées y accèdent). On y ajoute souvent la traçabilité (ou preuve) : savoir qui a fait quoi, et quand.

La question type : « Expliquer, en complétant avec des exemples, quels problèmes de sécurité pose l'architecture actuelle, en précisant quels critères ne seraient pas respectés » (2025). La réponse attendue prend chaque critère, et donne pour chacun un exemple tiré du cas.

Un incident touche souvent plusieurs critères : un rançongiciel frappe la disponibilité (données chiffrées), et la confidentialité si les données ont été copiées avant le chiffrement (double extorsion).

Évaluer un risque et sa gravité

Ce que tu dois savoir. Un risque combine la vraisemblance d'un scénario et la gravité de ses conséquences. La méthode d'analyse de risques de l'ANSSI, EBIOS Risk Manager, parle de valeurs métier (ce que l'organisation doit protéger), d'événements redoutés, de sources de risque et de scénarios. Son guide propose une échelle de gravité en quatre niveaux, de G1 (mineure) à G4 (critique), que certaines organisations complètent d'un niveau G5 (catastrophique).

Le sujet fournit toujours l'échelle à utiliser, qu'elle vienne de l'ANSSI, d'une norme AFNOR ou d'un référentiel interne. Ta réponse :

1. cite le niveau retenu, avec son intitulé exact ;
2. cite le critère de l'échelle qui correspond ;
3. relie ce critère aux faits du cas (nombre de personnes touchées, données de santé, arrêt d'activité, sécurité des personnes) ;
4. si le niveau se discute, dis pourquoi tu écartes le niveau voisin.

Dans le sujet de secours 2025, la question donnait une probabilité « assez faible » et une gravité « importante » pour une attaque contre le serveur de journaux, et demandait le niveau de criticité selon l'échelle fournie : la réponse se lit dans la grille du document, à l'intersection des deux. Ne réinvente pas l'échelle, lis-la.

La priorité ITIL : impact × urgence

Ce que tu dois savoir. En gestion des incidents, la priorité d'un ticket se déduit de son impact (combien d'utilisateurs, quels services, quelle part de l'activité) et de son urgence (à quelle vitesse la situation se dégrade, quelle échéance métier). Une matrice croise les deux et donne un niveau, souvent de P1 (majeure) à P4 ou P5, avec un délai de résolution cible. Le cours ITIL et gestion des incidents détaille la méthode.

Cette matrice est un exemple : utilise celle du sujet. La question type demande de réévaluer une priorité quand la situation évolue. En 2025, l'incident était classé P2 (service fortement dégradé) ; puis tous les services ne pouvaient plus travailler. Réponse attendue : l'impact devient élevé (toute l'organisation) et l'urgence élevée (blocage total, immédiat), donc la priorité passe en P1, avec le délai cible que donne la matrice du sujet. Justifie les deux axes séparément, avec les faits du récit.

Le RGPD dans les sujets d'infrastructure

Ce que tu dois savoir. Le règlement général sur la protection des données s'applique dès qu'un traitement porte sur des données à caractère personnel : une information qui identifie une personne directement ou indirectement (nom, adresse électronique, adresse IP, identifiant de connexion, journal de connexion nominatif). Les articles qui reviennent :

Une violation de données n'est pas seulement une fuite : c'est une destruction, une perte, une altération, une divulgation ou un accès non autorisé. Un rançongiciel qui chiffre un serveur de paie est une violation (perte de disponibilité), même sans exfiltration prouvée.

La minimisation en pratique. Pour chaque donnée d'un formulaire, demande-toi : à quel traitement sert-elle ? Est-elle nécessaire à ce traitement ? Dans le sujet 2025, le téléphone personnel d'un apprenant n'était utile à aucun des traitements annoncés (création du compte Wi-Fi, suivi commercial, statistiques de formation) : il devait disparaître du formulaire.

Les obligations légales après un incident

À la question « Déterminer si l'incident entraîne des obligations légales », passe en revue :

1. Notifier la CNIL dans les 72 heures après en avoir pris connaissance, si des données personnelles sont touchées et que la violation présente un risque pour les personnes (article 33). Documenter la violation dans le registre interne dans tous les cas. Ces obligations pèsent sur le responsable de traitement : un sous-traitant (un prestataire qui traite des données pour le compte d'un client, comme un cabinet qui fait la paie de ses clients) doit, lui, alerter le client « dans les meilleurs délais » (article 33.2), et c'est le client qui notifie.
2. Informer les personnes concernées si le risque est élevé (article 34).
3. Porter plainte. L'intrusion dans un système de traitement automatisé de données est un délit (article 323-1 du code pénal). Et si l'organisation veut être indemnisée par son assurance pour les pertes dues à l'attaque, la plainte doit être déposée au plus tard 72 heures après la connaissance de l'attaque (article L12-10-1 du code des assurances).
4. Respecter les obligations sectorielles que le dossier mentionne : un établissement de santé déclare aussi les incidents graves de sécurité de ses systèmes aux autorités sanitaires.

Argumente avec les faits : en 2026, le rapport d'intervention disait qu'aucune donnée ne semblait exfiltrée et qu'aucune offre ne circulait sur le dark web, mais les données de clients, de fournisseurs, de salariés et de paie avaient été rendues illisibles. Une perte de disponibilité de données personnelles reste une violation : il fallait l'analyser au regard de l'article 33, plutôt que conclure trop vite « pas de fuite, donc rien à faire ».

Conserver et archiver : les durées

Le sujet donne souvent ses propres contraintes (« conserver les journaux deux ans pour analyser les tendances ») : confronte-les au RGPD. Une durée plus longue que la recommandation doit être justifiée par une finalité précise, et les journaux archivés doivent être protégés (accès restreint, intégrité), informés aux personnes, et supprimés à l'échéance. Ce sont deux éléments attendus pour « rendre la politique d'archivage des journaux conforme au RGPD ».

Contrôler l'usage d'Internet des salariés

L'employeur peut filtrer et contrôler l'usage d'Internet, à condition de rester proportionné et transparent : informer préalablement les salariés (article L1222-4 du code du travail : aucune information les concernant ne peut être collectée par un dispositif qu'ils ne connaissent pas), consulter le comité social et économique sur les moyens de contrôle de l'activité, définir les règles dans une charte annexée au règlement intérieur, limiter la durée de conservation des journaux. La CNIL rappelle qu'un contrôle individuel et permanent de l'activité est disproportionné. Le cours CEJM : droit et le cours Droit du numérique et RGPD développent ces points.

Sensibiliser les utilisateurs : charte, hameçonnage, double authentification

Ce que tu dois savoir. Sensibiliser, c'est donner aux utilisateurs les règles et les réflexes qui empêchent les attaques les plus courantes : l'hameçonnage est l'une des premières portes d'entrée des rançongiciels. Trois outils reviennent dans les réponses.

• La charte informatique fixe les règles d'usage des ressources (messagerie, Internet, Wi-Fi, mots de passe, supports amovibles), les contrôles possibles et les sanctions. Annexée au règlement intérieur, elle devient opposable aux salariés.
• La sensibilisation à l'hameçonnage apprend à repérer un message piégé (expéditeur imité, urgence, lien vers un domaine qui ressemble au vrai, pièce jointe inattendue) et à le signaler au lieu de cliquer. Des campagnes de faux hameçonnage mesurent les progrès.
• La double authentification (MFA) protège un compte même quand le mot de passe a été volé par hameçonnage. Une application d'authentification ou une clé de sécurité FIDO2 résistent mieux qu'un code reçu par SMS.

Comment ça tombe. « Rédiger un message pour les utilisateurs », « proposer une action de sensibilisation » : la réponse vise un public non technicien, donne un comportement précis et dit à qui signaler.

Préserver les preuves

Ce que tu dois savoir. L'investigation après incident (forensique) cherche à comprendre l'origine et les étapes de l'attaque, à mesurer ses conséquences et à produire des éléments exploitables en justice. Elle n'est possible que si les traces existent encore.

En 2026, le serveur principal avait été formaté et réinstallé par le prestataire avant l'arrivée de l'équipe d'investigation, et il n'y avait aucun serveur de journaux : deux réponses directes à « identifier deux éléments qui pourraient rendre l'investigation difficile ».

Pour aller plus loin. L'évaluation d'un risque est développée dans le chapitre Matrice des risques, les obligations après un incident dans les chapitres Notifier un incident et Violation de données, la collecte des preuves dans le chapitre Preuves numériques.

Exercices

Exercice 1 sur 3 Réévaluer une priorité Réussi À revoir

Avec la matrice d'exemple de ce chapitre : un incident touche d'abord la messagerie de trois salariés du service comptable (impact faible, urgence moyenne). Deux heures plus tard, c'est la messagerie de toute l'entreprise qui est coupée, la veille d'une réponse à un appel d'offres. Donne la priorité initiale, puis la nouvelle, en justifiant chaque axe.

Voir la réponseMasquer la réponse de l'exercice 1

Priorité initiale : impact faible (trois utilisateurs), urgence moyenne (gêne réelle, contournement possible), soit P4 dans la matrice d'exemple.

Nouvelle priorité : l'impact devient élevé (toute l'entreprise est privée de messagerie) ; l'urgence devient élevée (l'échéance de l'appel d'offres est le lendemain, chaque heure compte). L'intersection donne P1. Il faut le signaler au responsable et traiter l'incident comme majeur.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Obligations légales Réussi À revoir

Un cabinet d'expertise comptable de 25 salariés découvre un lundi qu'un rançongiciel a chiffré son serveur de fichiers, qui contient les bulletins de paie de ses clients. Les journaux du pare-feu montrent, la nuit précédente, l'envoi de 4 Go depuis ce serveur vers une adresse inconnue. Le cabinet a une assurance cyber. Liste les obligations et démarches, avec leur délai et leur fondement.

Voir la réponseMasquer la réponse de l'exercice 2

1. Alerter chaque client sans délai (article 33.2 du RGPD) : pour la paie qu'il traite pour le compte de ses clients, le cabinet est sous-traitant ; ce sont les clients, responsables de traitement, qui notifient la CNIL dans les 72 heures et informent leurs salariés si le risque est élevé (articles 33 et 34) ; le cabinet leur fournit les éléments nécessaires. Ici, le risque est élevé : données financières et d'identité, exfiltration probable.
2. Notifier lui-même la CNIL dans les 72 heures pour les données dont il est responsable (ses propres salariés, ses fichiers de clients), puisque l'exfiltration probable crée un risque, et informer les personnes si le risque est élevé.
3. Documenter la violation dans le registre interne des violations.
4. Porter plainte (article 323-1 du code pénal) au plus tard 72 heures après la connaissance de l'attaque, condition de l'indemnisation par l'assurance (article L12-10-1 du code des assurances).

En parallèle : isoler les machines, préserver les preuves, ne pas payer la rançon sans conseil, faire appel à un prestataire de réponse à incident.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 Minimisation Réussi À revoir

Le formulaire d'inscription au Wi-Fi d'une médiathèque demande : nom, prénom, adresse électronique, date de naissance, adresse postale, numéro de carte d'abonné (facultatif). Les finalités annoncées sont : créer un compte Wi-Fi temporaire et respecter l'obligation de conservation des données de connexion. Quelles données sont pertinentes ?

Voir la réponseMasquer la réponse de l'exercice 3

• Nom, prénom : pertinents pour identifier l'utilisateur, ce qui est la raison d'être de l'obligation de conservation.
• Adresse électronique : pertinente pour envoyer les identifiants du compte temporaire.
• Date de naissance : non nécessaire à la création du compte ni à l'identification ; elle peut se justifier seulement si une règle d'accès dépend de l'âge (filtrage renforcé pour les mineurs), ce que le cas ne dit pas. À retirer, ou à remplacer par une case « majeur / mineur » si un filtrage adapté aux mineurs est prévu.
• Adresse postale : non nécessaire. À retirer.
• Numéro de carte d'abonné : facultatif, utile seulement si la médiathèque relie l'accès à l'abonnement ; acceptable s'il reste facultatif et que la finalité est annoncée.

Le formulaire doit aussi informer la personne (finalités, durée de conservation, droits).

Tu avais trouvé ?

Oui, j'avais bonPas encore