La CNIL constate lors de contrôles que beaucoup de manquements à la loi Informatique et Libertés concernent des négligences en matière de sécurité qui pourraient être aisément évitées. Ces failles qui ont une incidence directe sur la vie privée des personnes concernées sont souvent à l’origine de mises en demeure ou de sanctions.
Pourquoi c’est important ?
La numérisation pousse naturellement les organismes à proposer des solutions en ligne pour faciliter les démarches du quotidien ou la collecte d’informations. Des mauvaises procédures de sécurité peuvent amener au vol ou à la perte de données personnelles et de documents confidentiels, par exemple :
- Des données facilitant les actes de piratage : les identifiant et mots de passe, etc.
- Des documents sensibles : fiche de paie, avis d’impositions, passeports, etc.
- Des données sensibles : rendez-vous médicaux, remboursement d’actes de soin, etc.
- Des données facilitant les usurpations d’identité : coordonnées, numéro de téléphone, etc.
-
Une authentification par un mot de passe trop souple
La solution. Respecter la recommandation de la CNIL dans le cas d’une authentification des utilisateurs basée sur des mots de passe, notamment en stockant les mots de passe de façon sécurisée et en appliquant les règles de complexité pour le mot de passe.
-
L’absence de règles d’authentification à un compte
Le problème. Le site qui collecte des informations n’intègre pas de fonctionnalités permettant de vérifier qu’un client est bien connecté à son espace personnel (« espace client ») avant de lui afficher son compte. Ainsi, il suffit d’être en possession de l’URL pour se connecter.
La solution. prévoir au minimum un mécanisme d’authentification avec un mot de passe complexe. Quand cela est possible, proposer un mécanisme « d’authentification fort » c’est-à-dire qui combine au moins deux de ces mécanismes :
- « ce que l’on sait », par exemple un mot de passe ;
- « ce que l’on a », par exemple une carte à puce ;
- « une caractéristique » qui est propre à l’utilisateur, par exemple une empreinte digitale, ou la manière de tracer une signature manuscrite.
La solution. Mettre en place un contrôle de droit d’accès dans les infrastructures : l’API chargée de répondre à votre requête devra préalablement vérifier si votre requête est légitime pour elle.
-
L’absence de chiffrement des données
Le problème. En cas de perte ou de faille, l’absence de chiffrement de bout en bout des documents rend possible leur consultation en clair par un tiers indésirable.
La solution. Le chiffrement des pièces permet de garantir sa confidentialité en cas de perte mais à condition d’utiliser des méthodes de chiffrement efficaces du moment où le document est collecté au moment où il est utilisé. Consultez notre guide pour en savoir plus.
-
L’indexation des données dans un moteur de recherche
Le problème. En plus de ne pas être protégés, les fichiers sont parfois indexés dans les moteurs de recherche. En tapant « site :nomdusite.com » + « filetype :pdf » sur un moteur de recherche n’importe qui peut être en mesure de mettre la main sur une document confidentiel ou sur des données personnelles détenues par l’organisme.
Les solutions. Empêchez les robots d’indexation (les « web crawlers ») d’accéder à tout ou partie de votre site web en utilisant un robot.txt. Les moteurs de recherche respectent cette convention et n’indexeront pas votre contenu. Mais attention, le robot.tx n’est pas une mesure de sécurité ! Vos documents seront accessibles à toute personne ayant ou trouvant l’URL. Afin de les sécuriser, un dispositif d’authentification et de gestion de droits est nécessaire
La sensibilisation des collaborateurs
La sensibilisation des employés à la sécurité informatique de leur poste peut leur éviter d’être vulnérables face à une attaque, un problème de sécurité ou une perte/vol de leur matériel. Pensez à rédiger une charte informatique et donner à cette charte une force contraignante. Organisez des ateliers de sensibilisation – par exemple à l’occasion du mois de la cybersécurité – et envoyez régulièrement des messages de sensibilisation.
Comment renforcer la sécurité de votre organisme ?
Consultez dès maintenant notre guide sécurité qui contient toutes les bonnes pratiques pour mieux sécuriser votre système d’information. Ce guide synthétique a été rédigé à l’attention des organismes et des décideurs qui veulent savoir concrètement quelles pratiques ils doivent mettre en œuvre pour protéger leurs sites, leurs serveurs … Une liste de tâche est à votre disposition à la fin de ce document.
ARTICLE PROVENANT DU SITE DE LA CNIL: https://www.cnil.fr/fr/securite-des-sites-web-les-5-problemes-les-plus-souvent-constates
