Sécurité des données : identifier, classer, protéger et restaurer l’information critique
Clients, salariés, contrats, données financières, secrets industriels, propriété intellectuelle ou sauvegardes : toutes les données n’ont ni la même valeur, ni les mêmes usages, ni les mêmes conséquences en cas de compromission.
La sécurité des données ne consiste pas à tout chiffrer ou à déployer un DLP : elle consiste d’abord à savoir quelles informations comptent, où elles se trouvent, qui doit y accéder et comment les protéger pendant tout leur cycle de vie.
Qu’est-ce que la sécurité des données ?
La sécurité des données protège l’information contre l’accès ou la divulgation non autorisés, l’altération, la destruction et l’indisponibilité. Elle s’appuie classiquement sur trois propriétés : confidentialité, intégrité et disponibilité.
Le NIST CSF 2.0 rattache explicitement la sécurité des données à ces trois propriétés. Pour les données personnelles, la CNIL définit également une violation comme un incident compromettant confidentialité, intégrité ou disponibilité.
Cette page traite l’information elle-même. Pour les identités : sécurité des systèmes. Pour les flux : sécurité réseau. Pour l’hébergement : sécurité cloud.
Expertise sécurité des données, RGPD ou audit : quelle différence ?
| Besoin | Réponse |
|---|---|
| Protéger les informations critiques | Expertise sécurité des données |
| Évaluer les protections | Audit cybersécurité |
| Traiter obligations et gouvernance | Gestion des risques & conformité |
| Réagir à une fuite | Réponse à incident |
Sécurité des données : l’essentiel
- Inventorier avant de choisir les contrôles.
- Classifier selon sensibilité, valeur et conséquences.
- Limiter les accès au besoin réel.
- Chiffrer lorsque le scénario le justifie, avec une gestion cohérente des clés.
- Prévenir et détecter les fuites sans supposer qu’un DLP peut tout bloquer.
- Sauvegarder et restaurer : une sauvegarde non testée ne démontre pas la capacité de reprise.
- Tracer et réagir aux accès sensibles et violations.
Comment protéger les données pendant tout leur cycle de vie ?
La protection suit la donnée depuis sa création ou sa collecte jusqu’à sa suppression, en passant par son stockage, son utilisation, son partage et sa conservation.
| Phase | Questions | Mesures possibles |
|---|---|---|
| Création / collecte | Pourquoi existe-t-elle ? Est-elle nécessaire ? | Propriétaire, minimisation lorsque applicable, classification initiale |
| Stockage | Où réside-t-elle et qui y accède ? | Contrôle d’accès, chiffrement selon le risque, sauvegarde, logs |
| Utilisation | Qui en a réellement besoin ? | Moindre privilège, séparation des rôles, traçabilité |
| Partage | À qui est-elle transmise et comment ? | Règles de partage, chiffrement en transit, tiers, DLP si pertinent |
| Conservation | Combien de temps et pourquoi ? | Durées, archivage, intégrité, accès |
| Suppression | Copies, exports et sauvegardes sont-ils pris en compte ? | Procédure documentée et gestion des copies résiduelles |
Quelles données faut-il protéger en priorité ?
| Information | Conséquence possible | Priorité |
|---|---|---|
| Données clients/personnelles | Atteinte aux personnes, obligations RGPD, confiance | Finalité, accès, minimisation, partage, conservation |
| Données financières | Fraude, erreur de décision, interruption | Intégrité, séparation des rôles, traçabilité |
| Secrets industriels / propriété intellectuelle | Perte d’avantage concurrentiel | Classification, accès, exfiltration, tiers |
| Identifiants, secrets et clés | Compromission d’autres systèmes | Stockage, rotation, exposition, privilèges |
| Données opérationnelles critiques | Arrêt ou dégradation de l’activité | Sauvegarde, restauration, intégrité, dépendances |
Classification des données : comment éviter une usine à gaz ?
Une classification utile doit conduire à des décisions. Multiplier les niveaux et exceptions sans lien avec des contrôles concrets crée surtout de la bureaucratie.
Une organisation peut distinguer quelques catégories adaptées à son contexte — par exemple public, interne, confidentiel, très sensible — puis associer à chacune des règles de stockage, partage, accès, chiffrement, conservation et destruction.
Quels niveaux de classification utiliser ?
Il n’existe pas un modèle universel obligatoire. Une classification simple peut néanmoins faciliter les décisions si chaque niveau déclenche des règles concrètes.
| Exemple | Usage | Conséquence |
|---|---|---|
| Public | Information destinée à être diffusée | Préserver intégrité, authenticité et disponibilité selon le contexte |
| Interne | Information professionnelle non publique | Limiter la diffusion aux usages prévus |
| Confidentiel | Données clients, financières, contractuelles ou métier sensibles | Accès restreint, partage contrôlé, protections renforcées |
| Très sensible | Secrets, clés ou informations à très fort impact | Accès strictement limité et traçabilité adaptée |
Les noms importent moins que les règles associées.
Chiffrement : protège-t-il les données même après un vol ?
Il peut fortement réduire le risque, mais pas dans tous les scénarios. Le chiffrement protège la confidentialité lorsque les clés et mécanismes d’accès restent eux-mêmes protégés. Si un attaquant compromet un compte autorisé, une application déverrouillée ou les clés, le chiffrement ne suffit plus.
- distinguer données au repos et en transit ;
- séparer autant que possible données et clés ;
- limiter les droits sur les clés ;
- organiser rotation, révocation et récupération ;
- éviter les mécanismes cryptographiques maison.
Source primaire : CNIL — Guide de la sécurité des données personnelles
Chiffrement, hachage et signature : quelle différence ?
| Mécanisme | Objectif principal |
|---|---|
| Chiffrement | Rendre une information illisible sans l’accès cryptographique approprié |
| Hachage | Produire une empreinte utile notamment pour vérifier certaines propriétés d’intégrité |
| Signature numérique | Apporter des garanties d’authenticité et d’intégrité selon le mécanisme utilisé |
Pseudonymisation, anonymisation et masquage : sont-ils équivalents ?
Non. Modifier ou masquer des identifiants ne suffit pas automatiquement à rendre un jeu de données anonyme. Le risque de réidentification dépend des données restantes, des informations auxiliaires et des moyens raisonnablement mobilisables.
Le NIST SP 800-188 traite spécifiquement de la désidentification de jeux de données gouvernementaux et du risque de réidentification. Il ne s’agit pas d’un référentiel général de « data governance ».
DLP : peut-on réellement empêcher toute exfiltration ?
Non. Un dispositif Data Loss Prevention peut détecter ou contrôler certains transferts selon les canaux, contenus, contextes et politiques disponibles, mais il ne garantit pas l’absence de fuite.
Une démarche DLP commence par la connaissance des données et usages, pas par le produit. Les politiques doivent éviter deux échecs : tout bloquer et provoquer des contournements, ou générer tellement d’alertes qu’elles ne sont plus traitées.
- identifier les données sensibles ;
- comprendre les canaux de sortie ;
- définir les usages légitimes ;
- observer avant de bloquer lorsque pertinent ;
- organiser alertes et exceptions ;
- associer technique, processus et sensibilisation.
Sauvegarde : pourquoi la restauration compte-t-elle davantage que la copie ?
Une sauvegarde n’a de valeur opérationnelle que si elle est disponible, protégée et restaurable. La CNIL recommande des sauvegardes régulières, au moins une copie hors ligne, une protection équivalente à celle des données de production et des tests réguliers d’intégrité et de restauration.
L’ANSSI recommande également la règle 3-2-1 : trois copies distinctes, sur deux supports différents, dont une hors ligne. Son guide insiste aussi sur la sécurisation des comptes d’administration des sauvegardes.
| Question | Pourquoi |
|---|---|
| La sauvegarde est-elle isolée ? | Éviter qu’un même incident atteigne production et toutes les copies |
| Les accès sont-ils séparés ? | Éviter qu’un compte compromis donne accès à toutes les copies |
| La restauration est-elle testée ? | Une copie inutilisable ne permet pas de reprendre |
| Les priorités sont-elles connues ? | Tout restaurer simultanément est rarement possible |
Sauvegarde, réplication et archivage : quelles différences ?
| Mécanisme | Finalité | Limite |
|---|---|---|
| Sauvegarde | Restaurer après perte, corruption ou incident | Une copie accessible comme la production peut subir le même incident |
| Réplication | Maintenir des données/services synchronisés | Une suppression ou corruption peut être répliquée |
| Archivage | Conserver selon durée, finalité et exigences | L’archive n’est pas nécessairement conçue pour restaurer rapidement un SI |
Comment maîtriser les accès et partages de données ?
Le moindre privilège doit s’appliquer aux données comme aux systèmes. Un collaborateur, prestataire, application ou service ne devrait disposer que des accès nécessaires à son rôle et pendant la durée utile.
- propriétaires identifiés ;
- habilitations cohérentes ;
- revues périodiques ;
- suppression rapide des droits inutiles ;
- contrôle des partages externes ;
- traçabilité des opérations sensibles lorsque pertinente.
Sécurité des données et RGPD sont-ils synonymes ?
Non. Le RGPD couvre bien davantage que la cybersécurité : licéité, finalités, minimisation, droits, conservation, sous-traitance et autres obligations. La sécurité constitue néanmoins une obligation importante.
La CNIL rappelle que l’article 32 impose des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. La sécurité des données couvre par ailleurs des informations non personnelles : secrets industriels, données financières ou propriété intellectuelle.
Pour la démarche réglementaire complète : Gestion des risques & conformité.
Source primaire : CNIL — Guide sécurité des données personnelles
Données d’entraînement IA : quels risques de sécurité et de confidentialité anticiper ?
Les projets d’IA ajoutent de nouveaux usages aux données : jeux d’entraînement, annotation, fine-tuning, évaluation, données synthétiques ou modèles susceptibles de mémoriser certaines informations.
Du point de vue sécurité, il faut maîtriser provenance des jeux, droits d’accès, copies de travail, transferts vers des prestataires, informations confidentielles incorporées et risques de restitution ou réidentification.
Pour les données personnelles, la CNIL a publié en juillet 2025 des recommandations dédiées. Elle rappelle que les bases d’entraînement peuvent contenir des données personnelles et que certains modèles peuvent eux-mêmes relever du RGPD lorsqu’ils mémorisent des données personnelles susceptibles d’être extraites avec des moyens raisonnables. Le CEPD/EDPB a également adopté en décembre 2024 un avis sur ces questions.
- identifier provenance et droits associés ;
- éviter les informations confidentielles non nécessaires ;
- contrôler les accès aux datasets, annotations, exports et checkpoints ;
- évaluer mémorisation, extraction et réidentification lorsque pertinent ;
- documenter traitements et responsabilités lorsque le RGPD s’applique.
Pour l’analyse juridique complète : Gestion des risques & conformité.
Que faire lorsqu’une donnée est exposée ou exfiltrée ?
Il faut d’abord traiter l’incident : contenir, préserver les éléments utiles, déterminer les données concernées, évaluer les conséquences et corriger le chemin de compromission.
Pour les données personnelles, les obligations RGPD relatives aux violations peuvent s’appliquer. La CNIL indique qu’une violation présentant un risque doit être notifiée dans les conditions prévues par le RGPD, avec un délai de 72 heures lorsqu’une notification est requise.
Voir Réponse à incident et gestion de crise · CNIL — Gérer les violations.
Quelles idées reçues fragilisent la protection des données ?
| Idée reçue | Réalité |
|---|---|
| « Nos données sont sauvegardées, donc sécurisées » | La sauvegarde traite surtout la restauration ; elle ne remplace ni confidentialité ni contrôle d’accès. |
| « Tout est chiffré, donc le risque est maîtrisé » | Le chiffrement dépend aussi des clés, identités et contextes d’accès. |
| « Un DLP empêche les fuites » | Il peut détecter ou contrôler certains scénarios, sans garantir zéro exfiltration. |
| « Pseudonymisé signifie anonyme » | Non. Une donnée pseudonymisée peut rester rattachable à une personne. |
| « Le cloud transfère la sécurité au fournisseur » | Non. Données, identités, accès et usages restent soumis à la responsabilité partagée. |
Comment évaluer et améliorer la sécurité des données ?
- Inventorier données, emplacements, copies et flux.
- Identifier propriétaires, usages et conséquences métier.
- Classifier selon confidentialité, intégrité et disponibilité.
- Cartographier les accès humains, techniques et tiers.
- Évaluer chiffrement, partages, sauvegardes, restauration, logs et DLP.
- Prioriser les mesures selon le risque réel.
- Tester régulièrement accès, restauration et procédures d’incident.
Quelles erreurs fragilisent le plus souvent la sécurité des données ?
- vouloir tout protéger au même niveau ;
- chiffrer sans gouverner les clés ;
- déployer un DLP avant de connaître les données ;
- confondre réplication et sauvegarde ;
- ne jamais tester la restauration ;
- laisser des partages externes sans propriétaire ;
- conserver des données sans besoin ni durée définie ;
- traiter RGPD et cybersécurité comme deux sujets sans relation.
Que faire après avoir identifié un risque sur les données ?
| Situation | Suite pertinente |
|---|---|
| Protections ou accès à évaluer | Audit cybersécurité |
| Obligations RGPD, NIS2, DORA ou gouvernance | Gestion des risques & conformité |
| Architecture cloud, partage ou stockage à revoir | Conseil cybersécurité |
| Fuite ou exfiltration suspectée | Réponse à incident |
Ce que cette expertise ne signifie pas
La sécurité des données ne promet ni « zéro fuite » ni « exfiltration impossible ». Chiffrement, DLP et sauvegardes réduisent certains risques, mais leur efficacité dépend de l’architecture, des identités, des processus et de leur exploitation.
Cette page décrit un domaine d’expertise, pas une certification DLP, cryptographique ou RGPD.
Une expertise données reliée au risque et au business
Gérard Levicki intervient directement dans les missions Mobhitech avec une approche reliant données, identités, systèmes, cloud, architecture, risque, gouvernance et conséquences métier. Son parcours dans les métiers de la cybersécurité s’étend sur plus de 25 ans.
Autres domaines d’expertise
Systèmes · Réseau · Applicatif · Cloud · Industrie & IoT
Questions fréquentes sur la sécurité des données
Quelle différence entre sécurité des données et RGPD ?
La sécurité des données protège les informations contre différents risques ; le RGPD est un cadre juridique beaucoup plus large applicable aux données personnelles.
Le chiffrement empêche-t-il une fuite ?
Pas dans tous les scénarios. Il protège surtout lorsque les clés et accès restent sécurisés.
Un DLP peut-il empêcher toute exfiltration ?
Non. Il peut détecter ou contrôler certains transferts selon sa couverture et ses politiques.
Pourquoi tester les restaurations ?
Parce que l’existence d’une sauvegarde ne garantit pas qu’elle soit intègre, disponible et restaurable au moment nécessaire.
La réplication remplace-t-elle la sauvegarde ?
Non. Une suppression, corruption ou compromission peut être répliquée.
Qu’est-ce qu’une violation de données personnelles ?
Un incident compromettant la confidentialité, l’intégrité ou la disponibilité de données personnelles, de manière accidentelle ou illicite.
Pseudonymiser des données les rend-il anonymes ?
Non. Elles peuvent rester rattachables à une personne à l’aide d’informations supplémentaires.
Les données utilisées pour entraîner une IA peuvent-elles relever du RGPD ?
Oui lorsqu’elles contiennent des données personnelles. Certains modèles peuvent également relever du RGPD lorsqu’ils mémorisent des données personnelles susceptibles d’être extraites avec des moyens raisonnables.
Savez-vous quelles données doivent être protégées en premier ?
Le diagnostic initial permet de clarifier données critiques, accès, partages, sauvegardes et scénarios de fuite avant d’ajouter de nouveaux outils.
La première étape n’est pas le DLP ou le chiffrement : c’est de savoir quelles informations ont réellement de la valeur et quelles conséquences leur compromission aurait.