Analyse de risques et RGPD : les questions types

Les questions d'analyse de risques et de RGPD demandent d'évaluer ce qu'une organisation risque de perdre (sa disponibilité, l'intégrité ou la confidentialité de ses données, sa capacité à prouver) et ce que la loi l'oblige à faire pour les données personnelles. Elles ouvrent souvent le sujet, demandent peu de technique et rapportent vite. Ce chapitre donne les notions, une méthode pour chaque type de question et des réponses modèles tirées des sujets officiels.

Les quatre critères : DICP

Les sujets évaluent les besoins de sécurité avec quatre critères, que le référentiel appelle les principes de la sécurité.

Le critère de preuve est celui que les candidats oublient. Il recouvre deux idées liées : la traçabilité (les actions sont enregistrées et imputables à une personne) et la non-répudiation (l'auteur d'une action ne peut pas la nier, parce qu'une signature ou un journal fiable l'établit).

Justifier un niveau de besoin

Le sujet 2025 (cas Casterman) donnait, pour trois récits utilisateurs (user stories), un niveau par critère : sans objet, modéré ou important. On te demandait de justifier certains niveaux. La méthode tient en trois questions.

1. Quelle donnée ou quelle action est en jeu ? Lis le récit mot à mot : « enregistre » et « transmet » n'ont pas le même poids que « consulte ».
2. Que se passerait-il en cas d'atteinte à ce critère ? Une conséquence concrète, pour l'organisation ou pour les personnes.
3. Pour qui est-ce grave ? L'organisation (financier, juridique, image), les personnes (vie privée), un partenaire.

Exemple : justifier un niveau important en preuve pour le récit « l'éditeur transmet la bande dessinée finale au format PDF à l'imprimeur », et sans objet pour « l'assistant consulte les informations d'une bande dessinée ».

« La transmission du PDF final est un acte qui engage Casterman : elle déclenche une impression sur des milliers d'exemplaires et une facturation. En cas de litige (version imprimée erronée, retard, contestation de l'auteur), il faut pouvoir prouver qui a transmis quel fichier et à quel moment : le besoin de preuve est important. La simple consultation n'engage personne, ne modifie rien et ne déclenche aucun traitement : il n'y a rien à prouver, le critère est sans objet. »

Construire un scénario de risque

Un scénario de risque raconte comment une menace exploite une faiblesse pour produire un dommage. La méthode française d'analyse de risques, EBIOS Risk Manager (publiée par l'ANSSI), parle de source de risque, d'événement redouté, de gravité et de vraisemblance. À l'E7, tu n'as pas à dérouler la méthode : tu dois savoir écrire un scénario complet et utiliser ce vocabulaire.

La question A2.3 du sujet 2026 demandait de « proposer un autre scénario de risque, impliquant un acteur interne dont vous préciserez le rôle, contre lequel le chiffrement des adresses de courrier électronique stockées dans la base serait une protection ». Une réponse complète précise un rôle qui a accès à la base sans avoir besoin de lire ces adresses, puis montre pourquoi le chiffrement le bloque :

« Un administrateur de bases de données, ou un développeur ayant accès à la base de production pour la maintenance, extrait la table ContactExterne et revend les adresses électroniques des contacts à un concurrent ou à un fraudeur. Avec une colonne chiffrée par AES_ENCRYPT() et une clé conservée dans la configuration de l'application, et non dans la base, il n'obtient que des valeurs binaires inexploitables. »

Rançongiciel et hameçonnage

Ces deux menaces reviennent dans presque tous les contextes. Tu dois pouvoir citer leurs impacts et leurs parades sans hésiter.

Les indices d'un hameçonnage, demandés en 2023 (cas Lama Zoo, « citer cinq types d'indices ») : une adresse d'expéditeur qui imite un domaine connu, un lien dont l'adresse réelle diffère du texte affiché, un ton d'urgence ou de menace, une demande inhabituelle (identifiants, virement, coordonnées bancaires), des fautes ou une mise en forme approximative, une salutation impersonnelle, une pièce jointe inattendue.

Sauvegarde, archivage et plan de reprise

Une sauvegarde est une copie des données faite pour les restaurer après une perte ou une altération ; un archivage conserve, sur une longue durée et sans modification possible, des données qui ne servent plus au quotidien mais qu'il faut garder pour une raison légale ou de preuve. Les deux protègent la disponibilité et l'intégrité, mais ne répondent pas au même besoin. Le sujet 2024 (cas GSIC) demandait précisément d'« indiquer la différence d'objectif entre l'archivage et la sauvegarde » (question A1.2).

La règle 3-2-1 résume une stratégie de sauvegarde saine : 3 copies des données (l'original et deux sauvegardes), sur 2 supports différents, dont 1 hors du site. Face aux rançongiciels, qui chiffrent aussi les sauvegardes accessibles par le réseau, on ajoute une copie déconnectée ou immuable (bande retirée du lecteur, stockage en écriture seule). Une sauvegarde ne vaut que si l'on a testé sa restauration : c'est la mesure que les candidats oublient.

Deux plans organisent la réaction à un sinistre :

• le PCA (plan de continuité d'activité) maintient l'activité pendant l'incident, éventuellement en mode dégradé : serveurs redondants, bascule automatique, procédures manuelles de secours ;
• le PRA (plan de reprise d'activité) fait redémarrer l'activité après une interruption : restauration des sauvegardes sur un site de secours, ordre de redémarrage des applications, personnes à prévenir.

Deux indicateurs chiffrent ce que l'organisation accepte : la durée maximale d'interruption admissible (DMIA, ou RTO en anglais) et la perte de données maximale admissible (PDMA, ou RPO). Avec une sauvegarde chaque nuit à 2 h, une panne à 17 h fait perdre jusqu'à 15 heures de saisies : si la PDMA fixée est d'une heure, la stratégie ne convient pas, il faut sauvegarder plus souvent ou répliquer.

Réponse modèle (GSIC 2024, questions A1.2 et A1.3) : les journaux d'authentification sont archivés pour pouvoir retrouver, longtemps après, qui s'est connecté et quand (enquête après un incident, demande de l'autorité judiciaire), ce que la sauvegarde, écrasée au fil des rotations, ne permet pas. Pour l'archivage décrit, compressé et chiffré mais transféré sans somme de contrôle :

« La confidentialité est garantie : les fichiers sont chiffrés avant le transfert, ils sont illisibles sans la clé. L'intégrité ne l'est pas : sans empreinte calculée avant le transfert et vérifiée après, un fichier altéré pendant le transfert ou sur la bande ne serait pas détecté. Il faut calculer une empreinte SHA-256 de chaque fichier avant l'envoi, la conserver à part, et la recalculer à l'arrivée et avant toute exploitation. »

Le cours Sauvegarde, PCA et PRA détaille les types de sauvegarde, la protection contre le rançongiciel et les tests de restauration.

Les notions du RGPD à maîtriser

Le règlement général sur la protection des données (RGPD, règlement UE 2016/679) s'applique dès qu'une organisation traite des données à caractère personnel. Les sujets citent souvent un article dans le dossier documentaire (l'article 32 en 2026) : appuie-toi dessus.

Deux acteurs à distinguer : le responsable de traitement décide des finalités et des moyens (Casterman pour BDPro) ; le sous-traitant traite les données pour son compte (l'éditeur du progiciel, une agence web, un hébergeur). Si le sous-traitant découvre une violation, il en informe le responsable de traitement « dans les meilleurs délais » (article 33, paragraphe 2) ; c'est le responsable qui notifie la CNIL.

Les trois questions RGPD qui reviennent

1. Lister les données personnelles et sensibles d'un schéma. Méthode : passe chaque table en revue ; une colonne est une donnée personnelle si elle se rapporte à une personne physique, même indirectement. Une donnée sur une personne morale (raison sociale, SIRET) n'en est pas une, mais le nom de son dirigeant ou l'adresse électronique nominative de son contact en sont. Une donnée sensible doit figurer dans la liste de l'article 9 : un numéro de téléphone n'est pas sensible, un dossier médical l'est.

2. Obligation ou recommandation ? La question A2.2 de 2026 demandait si le chiffrement des données personnelles relève d'une obligation légale ou d'une recommandation. Réponse attendue :

« L'obligation légale est d'assurer un niveau de sécurité adapté au risque (article 32 du RGPD). Le chiffrement est l'une des mesures citées par cet article, “selon les besoins” : ce n'est donc pas une obligation en soi, mais une mesure recommandée, que l'analyse de risques peut rendre nécessaire. Ici, le risque d'hameçonnage contre les clients en cas de fuite la justifie. »

3. Que faire après une violation ? Applique l'arbre ci-dessus, avec les informations du sujet : qui est responsable de traitement, qui est sous-traitant, quel niveau de risque.

Pseudonymiser ou anonymiser

Pseudonymiser, c'est remplacer les données qui identifient une personne (nom, adresse électronique) par un pseudonyme, de sorte qu'on ne puisse plus la reconnaître sans une information supplémentaire conservée à part, comme une table de correspondance ou une clé (article 4 du RGPD). Anonymiser, c'est rendre toute réidentification impossible, de façon irréversible. La différence a une conséquence juridique que les sujets attendent : Le chapitre RGPD : donnée personnelle, traitement et principes du cours Droit et RGPD détaille la différence.

Une anonymisation se vérifie avec trois questions, issues de l'avis des autorités européennes de protection des données sur les techniques d'anonymisation (G29, 2014) : peut-on isoler une personne dans le jeu de données (individualisation) ? peut-on relier deux ensembles de données sur la même personne (corrélation) ? peut-on déduire une information sur une personne (inférence) ? Si la réponse à l'une d'elles est oui, les données sont au mieux pseudonymisées.

Deux questions de sujets l'ont mobilisé. En 2023 (cas Lama Zoo, question C.6), le tableau d'honneur des dix principaux parrains divulguait des données personnelles ; il fallait « ne plus divulguer de données personnelles mais que chaque parrain puisse quand même se reconnaître » : un pseudonyme choisi par le parrain à l'inscription, ou un numéro de parrainage connu de lui seul, à la place des données qui l'identifient. En 2023 encore (cas Yak, question B1.5), une table ClientAnonyme destinée à des statistiques par genre, tranche d'âge et département ne devait garder que ce dont ces statistiques ont besoin : la date de naissance devient une tranche d'âge, le code postal un département, et le nom, l'adresse, le téléphone et l'adresse électronique disparaissent. C'est l'application du principe de minimisation (article 5). Attention au nom de la table : si elle garde un identifiant qui permet de revenir au client, ses données sont pseudonymisées, pas anonymes.

Preuve électronique et identité numérique

La compétence « Préserver l'identité numérique de l'organisation » demande de savoir déployer une preuve électronique. Les notions utiles :

• valeur de l'écrit électronique : le Code civil lui reconnaît la même force probante que l'écrit papier, à condition que l'on puisse identifier la personne dont il émane et qu'il soit établi et conservé dans des conditions qui garantissent son intégrité (article 1366) ;
• signature électronique : une empreinte du document, chiffrée avec la clé privée du signataire et vérifiable avec sa clé publique, contenue dans un certificat délivré par une autorité de certification. Elle garantit l'intégrité (toute modification du document invalide la signature), l'authenticité (elle identifie le signataire) et la non-répudiation (le signataire ne peut pas nier avoir signé) ;
• signature GPG : avec GPG (GNU Privacy Guard, cas Casterman 2025), le principe est le même : l'éditeur signe l'empreinte du PDF avec sa clé privée, l'imprimeur vérifie avec la clé publique de l'éditeur, échangée et vérifiée au préalable, sans autorité de certification ;
• niveaux de signature : le règlement européen eIDAS distingue la signature simple, avancée et qualifiée, cette dernière ayant la même valeur qu'une signature manuscrite ;
• identité numérique de l'organisation : son nom de domaine, ses certificats, ses comptes officiels. Les menaces : usurpation (faux site, faux courriel au nom de l'organisation), typosquattage (un domaine presque identique). Les parades : dépôt des noms de domaine proches, certificats TLS, protocoles d'authentification des courriels.

Le droit pénal de la fraude informatique

Le Code pénal réprime les atteintes aux systèmes de traitement automatisé de données (STAD). Les peines ci-dessous sont celles en vigueur depuis la loi du 24 janvier 2023.

Les peines sont portées à 7 ans et 300 000 € quand le système est un traitement de données personnelles mis en œuvre par l'État. Dans une copie, cite l'infraction qui correspond au geste décrit : un attaquant qui vide une table par injection a accédé frauduleusement au système et a supprimé des données (323-1 aggravé, et 323-3).

Une charte informatique n'est opposable aux salariés, c'est-à-dire ne permet de les sanctionner, que si elle est annexée au règlement intérieur et a suivi la même procédure : avis du comité social et économique (CSE), communication à l'inspection du travail, dépôt et affichage.

Pour approfondir le droit, le cours Droit du numérique et RGPD traite chacune de ces notions en détail.

Pour aller plus loin. Le cours Analyse de risques reprend les besoins DICP, la matrice gravité × vraisemblance et l'AIPD ; le cours Droit et RGPD, les bases légales, les droits des personnes et la violation de données.

Exercices

Exercice 1 sur 6 Données personnelles d'un schéma Réussi À revoir

Une application de gestion de contrats utilise ces tables :

• OrganisationCliente (id, siret, denomination, adresseMel, nomPrenomDirigeant, adresseSiegeSocial, codePostal, telephone, ville)

• ContactExterne (id, nom, prenom, adresseMel, telephone, idOrganisation)

• Collaborateur (matricule, nom, prenom, adresseMel, telephone)

• Contrat (id, reference, label, dateCreation, idClient, idReferent, idResponsable)

1. Rappelle ce qui caractérise une donnée à caractère personnel et une donnée sensible.
2. Liste les données à caractère personnel et les données sensibles de ces tables.

Voir la réponseMasquer la réponse de l'exercice 1

1. Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom, prénom) ou indirectement (adresse électronique nominative, téléphone, matricule). Une donnée sensible appartient aux catégories particulières de l'article 9 du RGPD (origine, opinions, religion, appartenance syndicale, génétique, biométrie, santé, vie ou orientation sexuelle) ; son traitement est interdit sauf exceptions.
2. Données à caractère personnel :
   • OrganisationCliente : nomPrenomDirigeant. Les autres colonnes décrivent une personne morale ; l'adresse électronique et le téléphone peuvent devenir personnels s'ils sont nominatifs (prenom.nom@…) ;
   • ContactExterne : nom, prenom, adresseMel, telephone, et l'id, qui identifie indirectement la personne ;
   • Collaborateur : matricule, nom, prenom, adresseMel, telephone ;
   • Contrat : pas de donnée personnelle directe, mais idReferent et idResponsable relient le contrat à des personnes.
   Données sensibles : aucune. Aucune colonne ne relève de l'article 9.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 6 Justifier deux niveaux Réussi À revoir

Une clinique vétérinaire développe un portail. Voici deux récits utilisateurs :

• R1 : « En tant que propriétaire d'un animal, je consulte les horaires d'ouverture de la clinique. »
• R2 : « En tant que vétérinaire, je saisis une ordonnance pour un animal et je la signe. »

Justifie un besoin d'intégrité modéré pour R1 et important pour R2.

Voir la réponseMasquer la réponse de l'exercice 2

« Pour R1, une altération des horaires affichés aurait des conséquences limitées : un déplacement inutile, une gêne pour le client, sans danger ni engagement juridique ; elle se corrige facilement. Le besoin d'intégrité est modéré. Pour R2, une ordonnance modifiée (dose, médicament) peut nuire à la santé de l'animal et engage la responsabilité du vétérinaire qui l'a signée ; la clinique doit garantir que le document délivré est exactement celui qui a été saisi et signé. Le besoin d'intégrité est important. »

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 6 Une violation chez le sous-traitant Réussi À revoir

L'agence web Pixelune développe et héberge la boutique en ligne d'une enseigne de jardinage. Un lundi à 9 h, un développeur de Pixelune découvre qu'une sauvegarde de la base des clients (noms, adresses, téléphones, historique d'achats) est restée accessible publiquement pendant une semaine.

1. Qui est responsable de traitement, qui est sous-traitant ?
2. Quelles obligations pèsent sur chacun, et dans quels délais ?
3. Faut-il informer les clients ?

Voir la réponseMasquer la réponse de l'exercice 3

1. L'enseigne est responsable de traitement (elle décide des finalités : vendre, livrer, fidéliser). Pixelune est sous-traitant : elle traite les données pour le compte de l'enseigne.
2. Pixelune documente l'incident et informe l'enseigne dans les meilleurs délais (article 33, paragraphe 2). L'enseigne documente la violation dans son registre (article 33, paragraphe 5) et la notifie à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance : une base de clients exposée publiquement présente un risque pour les personnes.
3. Seulement si le risque est élevé (article 34). Des coordonnées et un historique d'achats exposés publiquement pendant une semaine permettent des escroqueries ciblées : l'enseigne peut estimer le risque élevé et informer ses clients, en leur conseillant la vigilance face aux messages frauduleux. La décision doit être argumentée et documentée.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 6 Qualifier une infraction Réussi À revoir

Un technicien du support utilise l'identifiant et le mot de passe d'un collègue, notés sur un papier, pour se connecter à l'application de paie et consulter les salaires. Le lendemain, il modifie le montant de sa propre prime. Quelles infractions du Code pénal peuvent être retenues ?

Voir la réponseMasquer la réponse de l'exercice 4

• Accès frauduleux à un STAD (article 323-1) : il se connecte avec des identifiants qui ne sont pas les siens. Comme des données ont été modifiées, la peine aggravée s'applique : 5 ans et 150 000 €.
• Modification frauduleuse de données (article 323-3) : il change le montant de sa prime. Peine : 5 ans et 150 000 €.

L'entreprise peut aussi le sanctionner sur le plan disciplinaire si la charte informatique, annexée au règlement intérieur, interdit l'usage des identifiants d'autrui.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 5 sur 6 Sauvegarde ou illusion de sauvegarde ? Réussi À revoir

Une médiathèque héberge sa base de prêts sur un serveur équipé de deux disques en RAID 1. Chaque nuit à 1 h, une sauvegarde complète est copiée sur un NAS placé dans la même salle, partagé en réseau avec tous les postes. Les copies sont conservées sept jours. Aucune restauration n'a jamais été testée.

1. Le RAID 1 protège-t-il contre un rançongiciel ? Justifie.
2. Relève les trois faiblesses de cette stratégie au regard de la règle 3-2-1 et des bonnes pratiques.
3. Le serveur tombe en panne à 16 h 30. Quelle quantité de saisies peut être perdue ? La direction fixe une perte de données maximale admissible d'une heure : que proposes-tu ?

Voir la réponseMasquer la réponse de l'exercice 5

1. Non. Le RAID 1 recopie chaque écriture sur le second disque : les fichiers chiffrés par le rançongiciel sont aussitôt chiffrés sur les deux disques. Il protège seulement contre la panne d'un disque.
2. • Pas de copie hors site : un incendie ou un dégât des eaux dans la salle détruit le serveur et le NAS ensemble.
   • Pas de copie déconnectée : le NAS est accessible par le réseau depuis tous les postes, un rançongiciel le chiffrera aussi.
   • Restaurations jamais testées : rien ne prouve que les sauvegardes sont exploitables le jour où on en a besoin.
   Solution : une troisième copie hors site et déconnectée ou immuable (bande retirée, stockage externe en écriture seule), un accès au NAS réservé au compte de sauvegarde, et un test de restauration planifié.
3. De 1 h à 16 h 30, soit 15 h 30 de saisies. Pour une perte maximale d'une heure, il faut au moins une sauvegarde par heure, ou mieux une réplication de la base vers un second serveur, complétée par les sauvegardes quotidiennes.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 6 sur 6 Pseudonymisé ou anonymisé ? Réussi À revoir

Pour chaque jeu de données, dis s'il est pseudonymisé, anonymisé ou ni l'un ni l'autre, et si le RGPD s'applique.

1. Une table des patients où le nom est remplacé par un numéro ; la correspondance numéro-nom est stockée dans une autre base, accessible au seul médecin-chef.
2. Le nombre de prêts par mois et par catégorie de livre, sans aucune information sur les lecteurs.
3. Une table des clients sans nom ni adresse, mais avec la date de naissance complète, le code postal et le sexe.
4. Une table où chaque adresse électronique est remplacée par son empreinte SHA-256, sans clé.

Voir la réponseMasquer la réponse de l'exercice 6

1. Pseudonymisé : la correspondance existe et permet de réidentifier. Le RGPD s'applique ; la séparation des deux bases est une bonne mesure de sécurité.
2. Anonymisé : des totaux agrégés, sans aucune donnée sur une personne, ne permettent ni d'isoler, ni de relier, ni de déduire. Le RGPD ne s'applique pas.
3. Ni anonymisé, ni vraiment pseudonymisé : la date de naissance, le code postal et le sexe, croisés, isolent souvent une seule personne, que l'on peut retrouver en reliant une autre source. Ce sont des données personnelles ; il faudrait généraliser (année ou tranche d'âge, département).
4. Pseudonymisé (faiblement) : avec une liste d'adresses, on recalcule les empreintes et on retrouve les personnes. Le RGPD s'applique.

Tu avais trouvé ?

Oui, j'avais bonPas encore